L'IA change le paysage du phishing à toute vitesse

L'IA abaisse énormément la barre pour les cybercriminels. Alors qu'auparavant, les attaquants avaient besoin de temps pour mettre en place des campagnes de phishing crédibles, les outils d'IA générative peuvent aujourd'hui automatiser presque tout, par exemple :

• la rédaction d'e-mails d'hameçonnage ;
• la collecte d'informations d'entreprise ;
• l'analyse des cibles ;
• l'adaptation de la communication à des publics spécifiques.

Cela nous amène à voir deux évolutions claires. D'une part, le nombre d'attaques de phishing augmente fortement. Il devient plus facile de diffuser des campagnes à grande échelle, souvent avec des variantes différentes par public cible ou par fonction.

D'autre part, la qualité augmente également. Les e-mails de phishing modernes contiennent rarement les erreurs typiques que les employés savaient autrefois repérer. De nombreux messages sont rédigés de manière professionnelle, utilisent un contexte d'entreprise correct et s'alignent parfaitement sur la communication quotidienne. Cela rend le phishing beaucoup plus dangereux aujourd'hui qu'il y a quelques années.

Nouvelles formes d'attaque à l'ère de l'IA

L'IA n'a pas remplacé le hameçonnage, mais a considérablement renforcé les techniques existantes. Les cybercriminels combinent l'ingénierie sociale classique avec de nouveaux outils d'IA pour rendre les communications plus convaincantes, personnalisées et difficiles à reconnaître.

Certaines formes d'attaque existent depuis plus longtemps, mais acquièrent une nouvelle dimension grâce à l'IA. D'autres techniques ne sont apparues à grande échelle que récemment. Nous passons en revue certaines des évolutions les plus frappantes auxquelles les entreprises doivent prêter attention aujourd'hui.

Deepfakes : quand la vidéo n'est plus fiable en soi

La vidéo continue de paraître crédible pour beaucoup de gens. C'est précisément pour cela que les deepfakes sont si puissants. Avec la technologie deepfake, les cybercriminels peuvent imiter de manière réaliste les visages et les mimiques. Ce qui était autrefois une technologie complexe devient aujourd'hui de plus en plus accessible grâce aux outils d'IA.

Imaginez qu'un dirigeant, lors d'un appel vidéo, demande à partager un document en urgence ou à approuver un paiement. De nombreux employés hésiteront moins lorsqu'ils voient un visage familier. Et c'est précisément là que réside le danger : les gens font souvent instinctivement confiance à la communication visuelle. Les cybercriminels jouent habilement là-dessus.

Le clonage vocal et le vishing deviennent plus convaincants

Le hameçonnage téléphonique évolue également rapidement. Dans le vishing, les attaquants tentent de convaincre les victimes par téléphone de partager des informations sensibles ou d'effectuer certaines actions. L'IA rend cette technique beaucoup plus crédible aujourd'hui grâce au clonage vocal.

Avec seulement quelques courts extraits audio, les voix peuvent être imitées de manière étonnamment précise par l'IA. Par exemple, un employé reçoit un appel de quelqu'un qui sonne comme un collègue ou un supérieur. Il est demandé de transmettre rapidement un code MFA, d'effectuer un paiement ou d'accorder un accès à un système.

Parce que la voix semble familière, une partie de la méfiance naturelle disparaît. Cela peut être particulièrement dangereux dans des situations stressantes ou lors de journées de travail chargées.

Le hameçonnage hyperpersonnalisé exploite le contexte

Le phishing devient de plus en plus personnel. Les outils d'IA peuvent collecter des informations publiques via :

• LinkedIn
• sites web d'entreprise
• les médias sociaux
• communiqués de presse
• données publiques

Sur cette base, ils génèrent des messages qui semblent étonnamment pertinents. Au lieu de recevoir un courriel d'hameçonnage générique, un employé reçoit soudain un message faisant référence à un client réel, un projet récent ou une réunion interne. Les cybercriminels n'ont plus besoin d'être des experts techniques pour appliquer une ingénierie sociale crédible aujourd'hui. L'IA les aide à imiter la confiance.

QR-hameçonnage ou quishing : scanner sans réfléchir

Les QR-codes sont désormais entièrement entrés dans les mœurs. Nous les utilisons pour les paiements, les réunions, les applications de stationnement, l'accès au wifi et les processus logistiques. Les cybercriminels en profitent. Avec le quishing, un QR-code redirige les utilisateurs vers un site web frauduleux ou une fausse page de connexion. Cela se produit souvent via des smartphones, où les utilisateurs vérifient moins rapidement l'URL exacte vers laquelle ils sont envoyés.

Un code QR sur une facture, une affiche ou un e-mail semble inoffensif à première vue. Pourtant, un seul scan peut suffire à voler des identifiants de connexion ou à installer des logiciels malveillants. Parce que les codes QR inspirent une confiance visuelle, beaucoup de gens les abordent avec moins de scepticisme qu'un lien ordinaire dans un e-mail.

Détournement de conversation : hameçonnage au milieu d'une vraie conversation

Avec le détournement de conversation, un attaquant obtient l'accès à une boîte aux lettres et l'IA analyse les conversations par e-mail existantes. Ensuite, l'attaquant envoie une réponse dans une conversation par e-mail en cours. Cela peut concerner des factures, des contrats, des livraisons ou le suivi de projets.

Étant donné que le contexte est approprié et que la communication fait partie d'une conversation existante, les employés sont souvent moins méfiants. Le courriel semble en effet s'appuyer sur des communications précédentes. Cela rend cette forme de phishing particulièrement difficile à reconnaître.

Le phishing évolue vers Teams et les plateformes de chat

ou des outils de collaboration comme Équipes Microsoft Sur Slack, les attaques de phishing sont de plus en plus fréquentes. Les gens traitent généralement les messages de chat plus rapidement et de manière plus informelle que les e-mails. Un court message du type “ Peux-tu jeter un œil à ça ? ” semble souvent anodin.

L'IA aide les cybercriminels à générer exactement ce type de communication crédible et informelle. Un faux fichier, un lien de connexion frauduleux ou une fausse demande d'approbation peuvent ainsi paraître plus crédibles et susciter la confiance beaucoup plus rapidement. Et justement parce que les employés traitent constamment des notifications et des messages, il y a plus de chances que quelqu'un réagisse impulsivement.

Injection indirecte d'invites : les assistants IA comme nouvelle cible

Au fur et à mesure que les assistants IA tels que Microsoft Copilot au quotidien, de nouvelles techniques d'attaque émergent également. Un exemple est l'injection indirecte d'invites. Les attaquants n'essaient pas de tromper directement un employé, mais plutôt l'assistant d'IA qui le soutient.

Supposons qu'un employé reçoive un document et demande à son assistant IA de résumer le contenu ou de formuler les principaux points d'action. Lorsqu'un attaquant a incorporé des instructions cachées dans ce document, il existe un risque que l'IA les interprète également.

L'employé ne voit pas ces instructions, mais l'IA pourrait les voir. Dans certains cas, cela peut amener l'IA à donner des recommandations erronées, à considérer un lien suspect comme fiable ou à ignorer des avertissements importants.

La technologie seule ne résoudra pas le problème

De nombreuses organisations investissent à juste titre dans les technologies de sécurité telles que :

• filtrage de courriel
• pare-feu
• authentification multifacteur (MFA)
• sécurité des points d'accès
• surveillance et détection

Cela reste absolument nécessaire. Pourtant, la technologie seule ne suffit plus. En effet, le phishing moderne ne cible pas exclusivement les systèmes, mais surtout les personnes.

Les gens restent une cible importante car les cybercriminels savent que la confiance, la pression du temps et la routine sont souvent plus fortes que les contrôles techniques. C'est pourquoi la formation de sensibilisation à la sécurité devient de plus en plus importante.

Refaire des employés une solide couche de défense

Chez VanRoey, nous constatons que les organisations obtiennent les meilleurs résultats lorsque sensibilisation à la sécurité Cela devient un processus continu plutôt qu'un exercice ponctuel. Grâce à des plateformes telles que KnowBe4 et Phished, nous aidons notamment les organisations à :

• formations de sensibilisation à la sécurité des appareils;
• simulations de phishing réalistes;
• continuer la sensibilisation;
• rapportage et suivi clairs.

Ainsi, il devient visible où se situent les plus grands risques et quelles équipes ou utilisateurs ont besoin d'un soutien supplémentaire. Connaître4 offre des possibilités de formation étendues et sa renommée est bien établie dans le monde sensibilisation à la sécurité, pendant que Phished zich onderscheidt met een gebruiksvriendelijke, Belgische aanpak en slimme automatisering.

Le but n'est pas d'attraper les employés, mais de les rendre plus forts étape par étape dans la reconnaissance des menaces modernes. Car au final, un réflexe reste crucial : s'arrêter un instant avant de cliquer, scanner, partager ou approuver.

Souhaitez-vous savoir dans quelle mesure votre organisation est résiliente face aux techniques de phishing modernes ? Nos experts en cybersécurité se feront un plaisir d'examiner avec vous quelle approche convient le mieux à votre organisation. N'hésitez pas à demander un entretien sans engagement ou une démonstration de la plateforme. Vous aurez ainsi un aperçu immédiat des possibilités et de la manière de renforcer vos collaborateurs de manière pratique contre le phishing et l'ingénierie sociale.