On reçoit un mail de la banque qui demande de confirmer nos coordonnées, un message du service informatique qui exige un changement de mot de passe immédiat, une facture d’un fournisseur avec un lien de paiement. Chaque jour, notre boîte de réception mêle messages légitimes et tentatives de phishing. Le problème, c’est que les critères classiques pour repérer un hameçonnage (fautes grossières, logo pixelisé) ne suffisent plus.
Phishing généré par IA : les fautes d’orthographe ne protègent plus
Pendant des années, on repérait un mail frauduleux à ses tournures bancales et ses accents oubliés. Ce réflexe est devenu insuffisant. Les campagnes de phishing récentes s’appuient sur des outils d’intelligence artificielle capables de produire un français impeccable, avec un vocabulaire adapté au secteur d’activité de la cible.
Le signal d’alerte s’est inversé. Un message trop bien rédigé et extrêmement personnalisé, qui cite un projet en cours ou le nom d’un collègue, mérite autant de méfiance qu’un mail truffé de coquilles. Quand ce message arrive juste après un événement visible (une promotion annoncée sur LinkedIn, un changement de poste), la coïncidence n’en est probablement pas une.
Concrètement, sur un poste de travail, on ne peut plus se fier au seul contenu textuel pour juger de la légitimité d’un message. Il faut croiser plusieurs indices, et c’est là que la lecture technique de l’email prend le relais.
Anatomie d’un mail de phishing : les vérifications qui comptent
Plutôt que de lister dix indices vagues, concentrons-nous sur les trois contrôles qui détectent la majorité des tentatives d’hameçonnage dans un usage quotidien.
L’adresse de l’expéditeur, pas le nom affiché
Le nom qui s’affiche dans la boîte de réception (« Service Client BNP », « Support Microsoft ») est modifiable par n’importe qui. On clique sur le détail de l’expéditeur pour lire l’adresse complète. Un domaine qui ne correspond pas à l’entreprise supposée (par exemple [email protected] au lieu d’une adresse en @bnpparibas.fr) trahit presque toujours une usurpation d’identité.
Le lien avant le clic
On survole chaque lien avec le curseur sans cliquer. L’URL qui apparaît en bas du navigateur ou dans l’infobulle doit pointer vers le domaine officiel du service. Un lien raccourci ou un domaine inconnu dans un mail professionnel est suspect par défaut. Sur iPhone ou sur un autre mobile, un appui long sur le lien affiche la destination réelle.
Le levier psychologique
Les mails de phishing exploitent presque toujours un ressort émotionnel pour court-circuiter notre vigilance :
- Urgence artificielle : « Votre compte sera suspendu dans 24 heures si vous ne confirmez pas vos données. »
- Appât financier : remboursement inattendu, gain à un concours auquel on n’a pas participé.
- Autorité hiérarchique : un message supposé venir de la direction qui demande un virement ou un code d’accès, souvent marqué « confidentiel ».
Quand un message cumule une demande d’action rapide et un de ces leviers, ne pas cliquer et vérifier par un autre canal (appel direct, message interne) reste la meilleure protection.
Phishing combiné email et téléphone : un scénario encore peu connu
On parle beaucoup du mail frauduleux isolé. Les attaques les plus efficaces ne s’arrêtent pourtant plus au courrier électronique. Un scénario de plus en plus documenté combine un email de phishing avec un appel téléphonique de suivi, parfois dans l’heure qui suit.
Le principe : on reçoit un mail qui semble provenir d’un fournisseur ou d’un service interne. Peu après, un appel confirme le message et pousse à agir vite, valider un virement, communiquer un code d’authentification multifacteur, ouvrir une pièce jointe. Un appel insistant qui répète l’urgence d’un mail reçu juste avant est un signal d’alerte fort.
Dans certains cas récents, la voix au téléphone est générée par IA pour imiter celle d’un supérieur hiérarchique. Les retours varient sur la qualité de ces imitations, mais le mécanisme fonctionne parce qu’on ne s’attend pas à devoir douter d’un appel vocal en complément d’un email.
La parade est simple : raccrocher et rappeler soi-même la personne supposée, en utilisant un numéro trouvé dans l’annuaire interne ou sur le site officiel, jamais le numéro affiché par l’appelant.
Sécurité email en entreprise : les réflexes à ancrer au quotidien
Sur le terrain, la protection contre le phishing repose moins sur la technologie que sur des habitudes concrètes répétées par chaque utilisateur. Voici les gestes qui réduisent réellement le risque :
- Ne jamais saisir un mot de passe ou un code MFA depuis un lien reçu par mail. Ouvrir soi-même le site dans le navigateur, manuellement.
- Signaler tout mail suspect au service informatique, même en cas de doute. Un faux positif coûte quelques minutes, un clic malheureux peut compromettre tout le réseau.
- Vérifier les demandes de virement ou de modification de coordonnées bancaires par un second canal (appel, échange en personne) avant toute action.
- Mettre à jour son client de messagerie et son navigateur : les filtres anti-phishing intégrés progressent vite, mais seulement si les mises à jour sont appliquées.
Le phishing cible la réaction émotionnelle, pas la compétence technique. Un développeur pressé clique aussi vite qu’un comptable distrait. La seule différence, c’est l’habitude de marquer une pause avant chaque action demandée par un message inattendu.
Les campagnes d’hameçonnage ne cesseront pas de se perfectionner, surtout avec l’appui de l’IA. La lecture attentive de l’adresse expéditeur, le survol des liens et le refus systématique de l’urgence imposée restent les trois gestes qui bloquent la grande majorité des attaques, quel que soit le niveau de sophistication du mail reçu.
