La prévention du phishing ne se résume plus à filtrer les emails entrants. Les vecteurs d’attaque se sont diversifiés vers le SMS, les messageries instantanées et, de manière croissante, vers des sites web falsifiés exploitant le typo-squatting et le brand-jacking. Une stratégie de prévention efficace doit couvrir l’ensemble de ces surfaces d’exposition, pas seulement la boîte de réception.
Typo-squatting et brand-jacking : les vecteurs de phishing que les filtres email ne voient pas
Les travaux du BSI (Office fédéral allemand de la sécurité des technologies de l’information) confirment une augmentation significative des incidents liés à des sites web de phishing imitant des marques. Le principe repose sur deux mécanismes complémentaires.
A lire aussi : Est-ce qu'un numéro de téléphone est une donnée personnelle ?
Le typo-squatting enregistre des domaines proches du nom légitime (une lettre manquante, une substitution de caractère). Le brand-jacking, lui, intègre un nom de marque dans une URL crédible pour tromper la vigilance de l’utilisateur, y compris sur mobile où la barre d’adresse est tronquée.
Nous observons que ces attaques contournent les passerelles de sécurité email parce qu’elles ne transitent pas par la messagerie. Le lien frauduleux arrive via un QR code, un SMS, un post sponsorisé ou un résultat de recherche empoisonné. La prévention passe alors par un autre registre :
Lire également : Comment savoir si j’ai un ransomware ?
- Surveillance active des enregistrements de noms de domaine proches de la marque, via des services de monitoring DNS dédiés
- Procédures internes de vérification d’URL avant toute saisie de credentials, avec politique de bookmarks pour les portails critiques
- Déploiement de solutions de filtrage web (Secure Web Gateway) capables de bloquer les domaines nouvellement créés ou à faible réputation
Phishing généré par IA : pourquoi les signaux classiques de détection ne fonctionnent plus
La génération de contenu par IA a changé la donne sur un point précis : les fautes d’orthographe et le style maladroit ne sont plus des indicateurs fiables d’un message frauduleux. Les emails de phishing générés par des modèles de langage produisent un français correct, contextualisé, et adaptent le ton au secteur visé.
Ce constat invalide une part significative des formations traditionnelles de sensibilisation qui enseignent aux utilisateurs de repérer les « signaux d’alerte » linguistiques. Un message de spear phishing ciblant un DAF peut désormais reprendre le vocabulaire métier, référencer une opération en cours et imiter le style rédactionnel d’un collègue identifié sur LinkedIn.
Adapter la formation à cette réalité
Les programmes de sensibilisation doivent se recentrer sur des réflexes vérifiables plutôt que sur l’analyse stylistique. Nous recommandons de former les collaborateurs à un protocole simple : toute demande impliquant un transfert financier, un changement de coordonnées bancaires ou un partage de credentials doit être confirmée par un canal secondaire (appel téléphonique direct, échange en face-à-face).
La simulation de phishing reste un outil utile, mais elle doit intégrer des scénarios exploitant du contenu généré par IA pour être représentative des menaces actuelles.
Authentification résistante au phishing : au-delà du MFA classique
L’authentification multi-facteurs par SMS ou par application TOTP freine les attaques opportunistes. Elle ne résiste pas aux kits de phishing en temps réel de type adversary-in-the-middle (AiTM), qui interceptent le jeton de session après la saisie du second facteur.
Les passkeys (FIDO2/WebAuthn) constituent le seul mécanisme d’authentification nativement résistant au phishing, parce que la clé cryptographique est liée au domaine légitime. Si l’utilisateur se trouve sur un site falsifié, l’authentification échoue silencieusement, sans intervention humaine nécessaire.
Déploiement en environnement professionnel
Le passage aux passkeys ne se décrète pas du jour au lendemain. Les prérequis incluent un inventaire des applications compatibles FIDO2, une stratégie de fallback pour les systèmes legacy, et un accompagnement des utilisateurs habitués au mot de passe plus OTP.
En attendant un déploiement complet, désactiver les méthodes MFA les plus faibles (SMS) sur les comptes à privilèges réduit déjà la surface d’attaque. Les solutions de conditional access permettent d’imposer une méthode résistante au phishing uniquement pour les opérations sensibles.
Cadre réglementaire européen et obligations de prévention
Le Cyber Resilience Act (CRA) européen et la directive NIS2 renforcent les obligations des organisations en matière de prévention des cyberattaques, phishing inclus. NIS2 impose aux entités concernées de mettre en place des mesures techniques et organisationnelles proportionnées, ce qui inclut explicitement la gestion du risque lié à l’ingénierie sociale.
Pour les entreprises soumises à NIS2, l’absence de programme de sensibilisation documenté constitue un manquement auditable. Les autorités de contrôle peuvent vérifier l’existence de politiques de sécurité email (SPF, DKIM, DMARC correctement configurés), de procédures de signalement interne et de campagnes de formation récurrentes.
- Configuration DMARC en mode « reject » (et non « none ») pour empêcher l’usurpation du domaine de l’entreprise dans les campagnes de phishing sortantes
- Mise en place d’un processus de signalement accessible (bouton intégré au client mail) avec boucle de retour vers les équipes SOC
- Documentation des exercices de simulation et des taux de signalement, exigée lors des audits de conformité NIS2
- Surveillance proactive des noms de domaine proches pour anticiper le brand-jacking
La prévention du phishing se joue désormais sur plusieurs fronts simultanés : la couche technique (authentification forte, filtrage DNS, protocoles email), la couche humaine (formation actualisée face aux contenus générés par IA) et la couche réglementaire (conformité NIS2, documentation des mesures). Négliger l’un de ces axes revient à laisser une porte ouverte que les attaquants exploiteront en priorité.
