Cybersécurité · 5 min de lecture
Vos équipes savent reconnaître un email de phishing. Du moins, c’est ce qu’elles croient. Elles ont été formées, elles connaissent les signaux d’alerte classiques : fautes d’orthographe, expéditeur inconnu, demande urgente, lien suspect. Le problème, c’est que ces signaux décrivent le phishing de 2015. Pas celui de 2025.
Ce qui a changé
Les outils d’IA génèrent aujourd’hui des emails parfaitement rédigés, dans la langue et le registre exact de votre secteur. Finies les fautes grossières et les formulations approximatives. Un email de phishing moderne peut imiter le style de votre DG, reprendre des éléments de contexte réels piochés sur LinkedIn ou dans des emails précédemment compromis, et arriver au bon moment — pendant une période de clôture, juste avant une assemblée générale, en plein projet de cession.
L’autre évolution majeure, c’est le spear phishing : des attaques ciblées sur une personne précise, avec des informations personnalisées. Ce n’est plus « un email envoyé à 100 000 personnes dont 0,1% cliquera ». C’est un email conçu pour vous, vous spécifiquement, pour lequel le taux de succès est bien plus élevé.
Les techniques qui passent aujourd’hui
Le compromis de messagerie d’entreprise (BEC). L’attaquant prend le contrôle de la boîte email d’un fournisseur ou d’un partenaire. Il surveille les échanges pendant quelques semaines, apprend le contexte, puis intervient au bon moment pour rediriger un virement ou modifier des coordonnées bancaires. La demande vient d’une vraie adresse email, avec un vrai historique de conversation. Aucune formation classique ne protège contre ça.
Le phishing vocal (vishing) et les deepfakes audio. Des outils permettent désormais de cloner une voix en quelques secondes à partir d’un extrait audio public. Des collaborateurs ont transféré des fonds après avoir reçu un appel de leur « directeur » — avec sa voix, son accent, ses expressions. C’est rare, mais ça existe, et ça va se généraliser.
Les SMS et applications de messagerie. WhatsApp, Teams, SMS : les attaquants ne se limitent plus à l’email. Un message WhatsApp d’un numéro inconnu qui prétend être votre expert-comptable en déplacement, demandant un virement urgent — c’est un vecteur d’attaque efficace précisément parce que les réflexes de méfiance y sont moins développés.
Ce que ça change pour la formation
Former vos équipes à repérer les signaux d’alerte visuels (fautes, expéditeur bizarre, lien suspect) reste utile. Mais ça ne suffit plus. Ce qui compte maintenant, c’est de former à un réflexe de vérification indépendant du canal : toute demande inhabituelle — virement, modification de coordonnées, accès à un document sensible — doit être confirmée par un autre canal que celui par lequel elle est arrivée.
Un email qui demande un virement urgent ? Vous rappelez la personne sur son numéro habituel avant d’agir. Pas « répondre à l’email », pas « appeler le numéro indiqué dans l’email » — son numéro habituel, celui que vous avez dans votre répertoire.
C’est simple. C’est presque trop simple. Et c’est précisément pour ça que ça marche.
Les cibles privilégiées
Les attaques les plus sophistiquées ciblent en priorité les personnes qui ont accès aux fonds ou aux données sensibles : comptables, assistants de direction, associés. Ce sont aussi souvent les personnes les moins formées à la cybersécurité — parce qu’elles ne font « pas partie de l’IT ». Intégrez-les à vos formations. Ce sont elles qui sont dans le viseur.