Réfléchissez avant de cliquer sur : L’hameçonnage à l’ère de l’IA

Pendant des années, la sensibilisation au phishing s’est concentrée sur l’identification de signes évidents tels que des mots mal orthographiés et des phrases maladroites. Bien que ces indicateurs existent toujours, ils ne servent plus d’outils de dépistage fiables. Les messages créés par l’IA peuvent être affinés, personnalisés et alignés sur le langage habituel d’une personne ou d’une organisation.

La question la plus utile n’est plus : « Ce message a-t-il l’air professionnel ? » C’est : « Cette demande a-t-elle du sens et ai-je vérifié qui la formule ? »

Ce changement est important, car un attaquant n’a besoin que de sa victime pour effectuer une seule action, comme ouvrir un fichier, scanner un code QR, révéler des informations sensibles ou transférer de l’argent. Par conséquent, la protection contre l’hameçonnage à l’ère de l’IA devrait se concentrer moins sur les défauts superficiels des messages que sur les actions que le message vise à déclencher.

Le message n’est que le mécanisme de livraison

L’hameçonnage reste efficace, car il constitue un point d’entrée vers plusieurs formes de compromission. Une page de collecte d’informations d’identification peut capturer un nom d’utilisateur et un mot de passe. Une pièce jointe malveillante peut déclencher une infection par un logiciel malveillant. Une demande de paiement frauduleuse peut rediriger des fonds. Et un compte compromis peut ensuite être utilisé pour envoyer des messages plus convaincants à partir d’une adresse de confiance.

Le message d’hameçonnage est souvent la partie technique la moins complexe d’une attaque. Son objectif est de persuader le destinataire de franchir une limite de confiance en saisissant des informations d’identification, en approuvant une demande d’authentification, en ouvrant un fichier ou en modifiant un processus établi. Une fois que cela se produit, l'attaquant peut voler des identifiants ou des jetons de session, installer des logiciels malveillants, établir une persistance ou utiliser le compte compromis pour cibler d'autres personnes. L’ajout de l’IA n’a pas fondamentalement modifié ces objectifs. Au lieu de cela, elle a amélioré la qualité, la personnalisation et l’évolutivité de l’attrait, augmentant ainsi la probabilité qu’une chaîne d’attaque autrement familière réussisse.

Les attaquants créent également souvent des campagnes liées à des événements qui attirent déjà l’intérêt public. Par exemple, FortiGuard Labs a trouvé plus de 13 000 domaines liés à la Coupe du Monde de la FIFA 2026 enregistrés entre janvier et mai, dont environ 8,8 % identifiés comme malveillants ou suspects. Il s’agit notamment de faux billets, d’annonces d’emploi, de liens de streaming et de comptes d’usurpation d’identité, tous efficaces parce qu’ils semblent pertinents et crédibles dans le contexte actuel. Les améliorations de l’IA ont permis de rendre ces domaines légitimes tout en supprimant bon nombre des mentions qui identifient un message ou un site d’hameçonnage.

L’IA change l’économie de l’ingénierie sociale

L’IA a également rendu le spear phishing plus efficace. Le spear phishing efficace nécessitait traditionnellement du temps, avec un attaquant ayant besoin de rechercher une cible, de comprendre le rôle et les relations de la cible, puis de construire un message adapté à ce contexte. L’IA réduit les efforts requis à chaque étape.

Les capacités d’IA peuvent prendre en charge des images, des fichiers audio et des emprunts d’identité vidéo convaincants. Bien sûr, ces techniques ne rendent pas toutes les tentatives d’hameçonnage sophistiquées, et ne garantissent pas la réussite. Cependant, ils rendent les signaux familiers tels que la grammaire polie, un ton approprié ou une voix reconnaissable moins utiles comme preuve d’authenticité.

C’est pourquoi les programmes de sensibilisation doivent évoluer de la détection de messages mal écrits à la validation de l’identité, du contexte et de l’intention.

Vérifier la demande, pas seulement le message

Les employés doivent faire preuve de prudence et ralentir s’ils reçoivent une communication demandant des informations d’identification, de l’argent, des données sensibles, l’approbation de l’AMF ou une action urgente, en particulier si la demande est inhabituelle ou s’écarte des procédures standard.

La vérification doit être effectuée indépendamment. Évitez d’utiliser le numéro de téléphone, l’adresse de réponse ou le lien du message suspect. Contactez plutôt la personne par le biais d’un numéro de confiance, d’un répertoire d’entreprise ou d’un canal interne officiel. Pour tout changement de paiement ou de compte, suivez les procédures d’approbation de l’organisation, même si la demande semble provenir d’un cadre ou d’un fournisseur de confiance.

Les employés doivent également tenir compte du contexte entourant la demande. La communication était-elle attendue ? Est-ce comme cela que la personne fait normalement ce type de demande ? Le domaine de destination correspond-il à l’organisation qu’il prétend représenter ? Le message demande-t-il au destinataire d’éviter un examen normal ou de garder l’action confidentielle ?

Aucune réponse unique ne peut prouver qu’un message est malveillant. Ensemble, cependant, ces vérifications peuvent révéler des incohérences selon lesquelles un langage poli et une image de marque réaliste sont conçus pour dissimuler.

Formez-vous aux décisions, pas seulement à la reconnaissance

Les organisations doivent former leurs employés à reconnaître et à répondre aux tentatives de manipulation des attaquants. La formation doit inclure les e-mails, les SMS, les outils de collaboration, les codes QR, les appels téléphoniques et les nouveaux types de médias synthétiques. Il doit également se concentrer sur les rôles et les processus métier les plus vulnérables aux attaques ciblées.

Les simulations d’hameçonnage offrent un moyen contrôlé de mesurer la façon dont les utilisateurs réagissent à des scénarios réalistes et de déterminer où des formations supplémentaires ou des contrôles de sécurité sont nécessaires. FortiSAT, la plateforme unifiée de sensibilisation à la sécurité et de simulation d’hameçonnage de Fortinet, qui intègre des fonctionnalités précédemment fournies par FortiPhish, utilise des campagnes d’hameçonnage réalistes et des données sur les risques pour identifier les comportements à risque, calculer les scores de risque individuels et fournir des mesures correctives ciblées. Ces scores de risque peuvent également être exploités par d’autres produits de sécurité Fortinet pour appliquer dynamiquement des contrôles de sécurité plus stricts aux utilisateurs à haut risque, permettant une approche plus adaptative et basée sur les risques de la sécurité.

L’objectif n’est pas de détecter les employés qui commettent des erreurs. Il s’agit de leur donner la pratique répétée de reconnaître quand une demande franchit une limite de confiance et de savoir quoi faire ensuite.

L’hameçonnage évolue, mais la réponse la plus efficace est simple : Pause. Vérifier. Rapport. Traitez avec prudence les demandes inattendues d’informations d’identification, d’argent, d’informations sensibles ou d’actions urgentes, et vérifiez-les indépendamment avant de continuer.

En savoir plus sur FortiSAT.