Un email de votre banque vous demande de confirmer un virement. L’objet est précis, le ton professionnel, votre prénom correctement orthographié. Aucune faute, aucun logo pixelisé. Le phishing assisté par intelligence artificielle produit désormais des messages que même un utilisateur averti peine à distinguer d’une communication légitime.
Taux de clics du phishing généré par IA : pourquoi les filtres classiques échouent
Les filtres anti-spam traditionnels reposent sur des bases de signatures connues, des listes noires d’expéditeurs et la détection de mots-clés suspects. Face à un email truffé de fautes ou envoyé depuis un domaine douteux, ces outils fonctionnent encore correctement.
Le problème survient quand l’email frauduleux ne présente plus aucun de ces signaux. Selon le Hoxhunt 2026 Phishing Trends Report, la part des emails de phishing comportant des signaux d’assistance IA est passée de moins de 5 % courant 2025 à 56 % en décembre 2025, avant de se stabiliser autour de 40 % début 2026. Cette bascule s’est produite en quelques semaines.
Les emails générés par IA atteignent un taux de clic d’environ 54 %, contre des taux nettement plus bas pour les campagnes artisanales. Un filtre conçu pour repérer des anomalies linguistiques se retrouve démuni face à un texte parfaitement rédigé, contextualisé et personnalisé grâce à des données récupérées sur les réseaux sociaux ou des fuites de bases de données.
Deepfake vocal et vidéo : le phishing dépasse la boîte mail
Vous avez déjà reçu un appel d’un collègue dont la voix semblait parfaitement naturelle ? Les outils de clonage vocal par IA permettent aujourd’hui de reproduire une voix à partir de quelques secondes d’enregistrement. Ce procédé, appelé vishing (voice phishing), sert à valider par téléphone une demande frauduleuse initiée par email.
Le scénario type fonctionne en deux temps. D’abord un email professionnel crédible demandant un virement ou un changement de coordonnées bancaires. Puis un appel vocal, parfois même un appel vidéo, où le visage et la voix d’un dirigeant sont générés par deepfake pour confirmer la demande.
Le deepfake transforme le phishing en attaque multi-canal. La victime reçoit une confirmation visuelle et sonore qui renforce la confiance déjà accordée à l’email. Des cas documentés montrent des détournements de fonds par ce biais, où la combinaison email plus appel vidéo a suffi à convaincre un service comptable d’exécuter un transfert.
Ce qui rend la détection difficile pour un humain
Un email classique laissait des indices : urgence exagérée, adresse d’expéditeur approximative, formulations génériques. L’IA corrige chacun de ces défauts. Elle adapte le registre de langue au destinataire, utilise des informations contextuelles (projet en cours, nom du supérieur hiérarchique) et calibre le niveau d’urgence pour qu’il reste plausible.
- Le nom de domaine de l’expéditeur peut être un domaine légitime compromis, pas un domaine typosquatté facile à repérer
- Le contenu de l’email reprend des éléments réels tirés de profils LinkedIn ou de communications publiques de l’entreprise
- La demande s’inscrit dans un flux de travail existant, ce qui réduit le réflexe de vérification
Rapport ENISA 2025 : le phishing reste le premier vecteur d’intrusion
Le rapport ENISA Threat Landscape 2025, couvrant 4 875 incidents survenus entre juillet 2024 et juin 2025, confirme que le phishing reste le principal vecteur d’intrusion, présent dans environ 60 % des attaques. Plus marquant encore, plus de 80 % de l’activité mondiale d’ingénierie sociale observée début 2025 s’appuyait déjà sur des campagnes assistées par IA.
Ces chiffres signifient que la menace ne se limite plus à des groupes criminels sophistiqués. L’IA réduit le coût de production d’une campagne de phishing de plus de 95 %, selon un rapport de Gartner sur la sécurité des emails. Un attaquant qui devait auparavant rédiger manuellement chaque message et cibler ses victimes une par une peut désormais industrialiser l’ensemble du processus.
Conséquence directe sur les messageries professionnelles
Les attaques par compromission de messagerie professionnelle (BEC, pour Business Email Compromise) exploitent cette industrialisation. L’attaquant ne se contente plus d’envoyer un email générique à des milliers d’adresses. Il cible un individu précis, avec un message taillé sur mesure, envoyé au bon moment.
La hausse des attaques par emails frauduleux entre 2024 et 2025 atteint 131 % selon le rapport cybersécurité 2026 de Hornetsecurity. Cette accélération reflète directement la démocratisation des grands modèles de langage utilisés pour générer des contenus de phishing.
Protections concrètes contre le phishing par IA : authentification et détection comportementale
Face à des messages qui contournent les filtres linguistiques, la sécurité des emails doit changer d’approche. Deux axes se distinguent par leur efficacité réelle.
Le premier concerne l’authentification renforcée des expéditeurs. Les protocoles SPF, DKIM et DMARC vérifient que l’email provient bien du serveur autorisé pour le domaine affiché. Ces protocoles ne sont pas nouveaux, mais leur déploiement reste incomplet dans de nombreuses organisations.
Le second axe repose sur la détection comportementale pilotée par IA défensive. Au lieu d’analyser le contenu d’un message isolé, ces outils surveillent les habitudes de communication : fréquence des échanges entre deux contacts, horaires habituels, style rédactionnel. Un email qui rompt ce schéma déclenche une alerte, même si son contenu semble irréprochable.
- Activer l’authentification multifacteur (MFA) sur toutes les messageries professionnelles, y compris les comptes de service
- Configurer des alertes automatiques quand un email interne demande un changement de coordonnées bancaires ou un virement non planifié
- Former les équipes à la vérification par un second canal (appel sur un numéro connu, confirmation en personne) avant toute action financière déclenchée par email
- Mettre à jour les enregistrements DMARC avec une politique de rejet stricte pour limiter l’usurpation de domaine
La détection par IA défensive et l’authentification technique ne suppriment pas le risque. Elles réduisent la fenêtre d’exposition. Le maillon décisif reste la vérification humaine par un canal distinct de celui utilisé pour la demande initiale. Un appel passé sur un numéro que vous connaissez déjà, pas celui indiqué dans l’email, reste la parade la plus fiable contre un message parfaitement imité.
