🔐 Cybersécurité
Phishing dopé à l'IA : pourquoi les faux messages sont devenus crédibles
ST
Les signes qui trahissaient autrefois une arnaque (fautes, ton maladroit) ont disparu. L'IA permet d'écrire vite, bien, et à grande échelle. Voici ce que cela change pour votre organisation.
20/10/2026
10:10
Le faux ne se distingue plus du vrai. La défense se déplace vers les processus.
Pendant des années, on a appris à repérer un e-mail frauduleux à ses défauts : fautes d'orthographe, formules bancales, logo pixelisé. Ce réflexe est en train de devenir inutile. Avec les outils d'intelligence artificielle générative, un escroc rédige aujourd'hui un message propre, dans un français correct, au ton juste, et peut l'adapter à chaque destinataire. Le problème n'est donc plus la qualité du faux, mais notre manière de nous en protéger. Tant que la vigilance repose sur « ça sent l'arnaque », elle est vouée à être prise en défaut. Selon le rapport 2025 de Verizon sur les violations de données, le facteur humain intervient dans 60 % des cas : c'est précisément ce levier que l'IA permet d'actionner plus facilement.
Ce que l'IA change vraiment
L'IA ne crée pas de nouvelle faille technique. Elle améliore ce qui marchait déjà. Trois effets concrets. D'abord la crédibilité : plus de fautes, un style naturel, une mise en forme soignée. Ensuite la personnalisation à grande échelle : à partir d'informations publiques (site, réseaux sociaux, organigramme), un message peut citer le bon nom, le bon projet, le bon fournisseur. Enfin la rapidité : ce qui demandait du temps à un attaquant se produit désormais en masse, et peut s'étendre à la voix ou à la vidéo imitée.
Ce qu'on observe sur le terrain
Chez les organisations que nous accompagnons, les tentatives les plus efficaces ne ressemblent plus à du spam. Ce sont des messages plausibles : une fausse relance de facture reprenant le nom d'un vrai fournisseur, une demande interne cohérente avec un projet en cours, un ton qui colle à la personne imitée. Le résultat, c'est que la question « est-ce que ça a l'air vrai ? » ne protège plus. Une personne compétente et prudente peut tout à fait se faire piéger par un message bien construit, surtout un jour chargé.
Se protéger sans compter sur la seule vigilance
Puisqu'on ne peut plus se fier à l'apparence, la défense se déplace vers les processus et les habitudes. Quelques principes concrets. Vérifier par un second canal : toute demande sensible (virement, changement de coordonnées bancaires, envoi de données) se confirme par un autre moyen que l'e-mail reçu, par exemple un appel au numéro connu. Ralentir sur l'urgence : un message qui presse est un signal en soi. Prendre le temps de vérifier n'est jamais une faute professionnelle. Outiller la messagerie : authentification du domaine (SPF, DKIM, DMARC) pour limiter l'usurpation, et authentification à plusieurs facteurs pour que voler un mot de passe ne suffise plus. Faciliter le signalement : une équipe qui ose signaler un doute, sans crainte d'être jugée, repère les campagnes bien plus vite qu'un filtre.
L'approche Computis
Nous traitons le phishing comme un sujet d'organisation, pas seulement d'outil. Concrètement, nous aidons à poser les garde-fous techniques (authentification du domaine, MFA, filtrage), à écrire des procédures simples pour les demandes sensibles, et à entraîner les équipes avec des simulations réalistes plutôt que des rappels théoriques. Le but n'est pas de transformer vos collaborateurs en experts, mais de faire en sorte qu'une erreur isolée ne se transforme pas en incident.
Les signes qui trahissaient autrefois une arnaque (fautes, ton maladroit) ont disparu. L'IA permet d'écrire vite, bien, et à grande échelle. Voici ce que cela change pour votre organisation.
FAQ
L'IA crée-t-elle de nouvelles attaques ?
Pas vraiment. Elle rend les attaques existantes, surtout le phishing, plus crédibles, plus personnalisées et plus rapides à produire. Le vecteur reste l'humain et la messagerie.
Comment repérer un e-mail frauduleux s'il est bien écrit ?
En ne se fiant plus au style, mais au contexte et à la demande. Une sollicitation inhabituelle, urgente, touchant à l'argent ou aux données, se vérifie par un autre canal, quelle que soit la qualité du message.
L'authentification à plusieurs facteurs suffit-elle ?
Elle est indispensable mais pas suffisante seule. Elle limite l'effet d'un mot de passe volé ; elle se combine avec l'authentification du domaine, le filtrage et la sensibilisation.
Les simulations de phishing sont-elles utiles ?
Oui, quand elles servent à apprendre et non à piéger. L'objectif est de créer des réflexes et une culture du signalement, pas de sanctionner.
Une petite structure est-elle concernée ?
Oui. La personnalisation à grande échelle rend justement les petites organisations atteignables, car l'effort pour l'attaquant est désormais faible.
Sujets abordés
Cybersécurité
Phishing
Intelligence artificielle
Facteur humain
PME suisse
Vos équipes sauraient-elles réagir à un faux message bien construit ?
En quinze minutes, voyons où en est votre protection et par quoi commencer, des réglages techniques à la sensibilisation.
