Le phishing désigne toute tentative d’obtenir des identifiants, des coordonnées bancaires ou des accès professionnels en se faisant passer pour un interlocuteur légitime. Depuis fin 2025, l’IA générative a modifié la nature même de ces attaques : les messages frauduleux ne ressemblent plus à des tentatives maladroites truffées de fautes, mais à des communications professionnelles calibrées, parfois indiscernables d’un échange authentique.
Phishing et IA générative : le saut qualitatif des mails frauduleux
Les modèles de langage permettent de rédiger un e-mail de hameçonnage dans un français fluide, avec un ton adapté au contexte de l’entreprise ciblée. Le résultat dépasse ce qu’un escroc moyen pouvait produire seul, même avec du temps.
A voir aussi : Qu'est-ce que la prévention du phishing ?
Cette montée en qualité se traduit directement dans les chiffres d’engagement. Selon le Microsoft Digital Defense Report 2025, les campagnes de phishing générées par IA atteignent un taux de clic de 54 %, contre 12 % pour les campagnes traditionnelles. L’écart est tel qu’il remet en question l’efficacité des formations de sensibilisation classiques.
Lire également : L'authentification biométrique progresse sur les smartphones
Côté volume, la bascule a été brutale. D’après le Phishing Trends Report 2026 de Hoxhunt, la part des attaques présentant des signes d’IA générative est passée de moins de 5 % à 56 % entre novembre et décembre 2025, avant de se stabiliser autour de 40 % en janvier 2026. Il ne s’agit pas d’une progression linéaire mais d’un changement de régime en quelques semaines.
Le rapport cybersécurité 2026 de Hornetsecurity confirme la tendance : les attaques par e-mails frauduleux ont augmenté de 131 % entre 2024 et 2025.
Spear phishing piloté par IA : personnalisation à grande échelle
Le phishing de masse existait déjà. Ce qui change, c’est la capacité des outils d’IA à industrialiser le spear phishing, cette variante qui cible un individu précis en exploitant des données personnelles ou professionnelles.
Un modèle génératif peut analyser le profil LinkedIn d’un directeur financier, croiser les informations avec des communiqués de presse récents, puis rédiger un message qui imite le style d’un fournisseur habituel. Le tout en quelques minutes, sans intervention humaine au-delà du paramétrage initial.
Les attaquants combinent parfois cette personnalisation textuelle avec des deepfakes audio ou vidéo. Un appel téléphonique dont la voix est clonée par IA suffit à valider la légitimité d’un mail reçu quelques heures plus tôt. Ce double canal (mail puis appel) rend la détection par le destinataire beaucoup plus difficile.
Le rapport M-Trends 2025 de Mandiant place les identifiants volés au deuxième rang des vecteurs d’accès initial en 2024, avec 16 % de toutes les intrusions. C’est le niveau le plus élevé jamais enregistré, et le phishing personnalisé par IA est le principal levier de cette collecte d’identifiants.
Détection du phishing IA : pourquoi les filtres classiques ne suffisent plus
Les outils de sécurité traditionnels reposent sur des listes de blocage, des signatures connues et des règles syntaxiques. Un mail truffé de fautes d’orthographe ou envoyé depuis un domaine suspect se fait intercepter. Un mail grammaticalement irréprochable, envoyé depuis un compte compromis légitime, passe à travers.
Plusieurs éléments expliquent cette perte d’efficacité des filtres existants :
- Les modèles génératifs produisent des messages sans les marqueurs habituels du spam (fautes, formatage incohérent, liens suspects visibles).
- Les attaquants peuvent générer des variantes uniques de chaque message, ce qui rend la détection par signature quasi impossible.
- La vitesse de création des pages de phishing a chuté : un site frauduleux peut être opérationnel en moins de 90 minutes, rendant les listes de blocage obsolètes avant même leur mise à jour.
- Les mails de phishing générés par IA passent les filtres de messagerie dans environ la moitié des cas, selon les données d’Aegis AI.
La détection doit migrer vers l’analyse comportementale : observer les schémas d’envoi, les incohérences contextuelles et les anomalies de session plutôt que les seuls indicateurs techniques du message lui-même.
Compromission de comptes et données volées : le vrai coût du hameçonnage par IA
Le phishing n’est pas une fin en soi. C’est un vecteur d’accès. Ce que les attaquants recherchent, c’est un identifiant valide, un jeton de session ou un accès VPN qui ouvre la porte au système d’information d’une entreprise.
Les données du régulateur néerlandais (rapport 2025 de l’autorité de protection des données AP) apportent un éclairage utile. Les notifications de violation de données n’ont augmenté que de 4 % d’une année sur l’autre. En revanche, les violations causées par des compromissions de comptes ont progressé de manière significative. L’IA générative amplifie donc un type précis de menace plutôt que l’ensemble du spectre des cyberattaques.
IBM chiffre le coût moyen d’une brèche liée à une cyberattaque alimentée par IA à 6,04 millions de dollars par incident. Le retour sur investissement pour les attaquants est considérable, puisque le coût de génération d’une campagne de phishing par IA est négligeable comparé aux montants détournés.
Mesures de cybersécurité face au phishing généré par IA
La réponse ne peut pas se limiter à la sensibilisation des utilisateurs. Quand un message frauduleux est indiscernable d’un message légitime, demander aux collaborateurs de « rester vigilants » devient insuffisant.
Les approches qui montrent des résultats concrets face à cette menace reposent sur plusieurs axes :
- L’authentification multifacteur résistante au phishing (clés FIDO2, passkeys) empêche l’exploitation d’un identifiant volé même si le clic a eu lieu.
- L’analyse comportementale des sessions détecte les connexions anormales (géolocalisation inhabituelle, enchaînement d’actions atypique) après compromission d’un compte.
- Les outils de détection spécifiquement entraînés sur les patterns IA identifient les caractéristiques statistiques des textes générés, même lorsqu’ils sont grammaticalement corrects.
Anthropic, l’entreprise derrière Claude, a renforcé ses garde-fous pour limiter l’utilisation de ses modèles dans la création de campagnes de phishing. D’autres fournisseurs de modèles suivent une trajectoire similaire, mais ces protections restent contournables par des acteurs déterminés qui utilisent des modèles open source ou des versions débridées.
La course entre attaquants et défenseurs a changé de rythme. Les filtres de messagerie doivent désormais évoluer au même tempo que les modèles génératifs, ce qui suppose des mises à jour quasi continues et une capacité d’analyse en temps réel que beaucoup d’entreprises n’ont pas encore déployée.
