Phishing IA en PME : pourquoi les anciens réflexes ne suffisent plus

Pendant longtemps, on nous a appris à repérer un courriel d’hameçonnage grâce aux mêmes indices : des fautes d’orthographe, une formulation étrange, un message trop générique ou une traduction douteuse.

Ces indices existent encore, mais ils ne suffisent plus.

L’intelligence artificielle permet aujourd’hui de créer rapidement des messages bien écrits, personnalisés et beaucoup plus crédibles. Le Centre canadien pour la cybersécurité indique que les auteurs de cybermenace utilisent l’IA pour améliorer la personnalisation et le pouvoir de persuasion de leurs attaques, notamment en générant des courriels d’hameçonnage à grande échelle, dans un style naturel et sans erreurs grammaticales.

Pour une PME, le changement est important : le bon réflexe n’est plus seulement de chercher ce qui « a l’air louche ». Il faut surtout vérifier qu’une demande est normale avant d’agir.

Les 5 réflexes à retenir

• Vérifier l’adresse réelle de l’expéditeur.
• Se méfier des demandes inhabituelles, urgentes ou financières.
• Confirmer toute demande sensible par un autre canal.
• Traiter un code QR reçu par courriel comme un lien.
• Protéger les comptes sensibles avec une authentification multifacteur adaptée.

Dans cet article

• Ce que l’IA a changé pour les attaquants
• Pourquoi les anciens réflexes ne suffisent plus
• Les nouvelles formes d’hameçonnage à connaître
• Ce qui protège réellement une PME aujourd’hui
• Questions fréquentes
• Mettre votre défense à jour

Ce que l’IA a changé pour les attaquants

Avant, créer une campagne d’hameçonnage crédible demandait un minimum de travail.

Il fallait écrire correctement, imiter une entreprise ou une personne, trouver les bons arguments et, pour une attaque vraiment ciblée, recueillir suffisamment d’informations sur la victime.

L’IA facilite une bonne partie de ce travail.

Un fraudeur peut aujourd’hui générer rapidement des messages dans un français naturel, adapter le ton selon la personne ciblée et utiliser des informations publiques trouvées sur LinkedIn, le site Web d’une entreprise ou ses publications pour rendre son scénario plus crédible.

Imaginez par exemple un courriel qui mentionne réellement votre entreprise, votre poste, le nom d’un collègue ou un fournisseur avec lequel vous travaillez.

À première vue, rien ne semble anormal.

C’est précisément ce qui change la donne.

Le Centre canadien pour la cybersécurité estime que les technologies d’IA réduisent les obstacles à l’entrée pour les auteurs de menace et augmentent la qualité, l’ampleur et la précision des activités malveillantes. Il souligne également que l’IA générative est utilisée pour créer des courriels d’hameçonnage personnalisés à grande échelle et plus difficiles à repérer.

Pour une PME, cela signifie que le simple fait qu’un courriel soit bien écrit, précis et personnalisé ne constitue plus un signe de légitimité.

Pourquoi les anciens réflexes ne suffisent plus

« Regardez s’il y a des fautes. »

C’était un bon conseil, mais ça l’est beaucoup moins aujourd’hui.

Un message frauduleux peut être parfaitement écrit.

Même chose pour le fameux ton bizarre ou la traduction maladroite. Une IA peut rédiger un français naturel et adapter son vocabulaire au contexte professionnel.

La personnalisation n’est plus une garantie non plus.

Un courriel qui connaît votre prénom, votre fonction ou le nom de votre entreprise n’est pas nécessairement légitime. Ces informations sont souvent publiques et faciles à récupérer.

Cela ne veut pas dire qu’il n’existe plus aucun indice.

Le Centre canadien pour la cybersécurité recommande toujours de surveiller certains éléments : une demande inhabituelle ou urgente, une demande d’information confidentielle, un lien de connexion inattendu, une pièce jointe non sollicitée, un code QR ou encore une adresse d’expéditeur douteuse.

La différence, c’est qu’il faut maintenant regarder au-delà de l’apparence du message.

Posez-vous plutôt quelques questions simples :

• Est-ce normal que cette personne me demande ça ?
• Est-ce la procédure habituelle ?
• Pourquoi faut-il agir aussi vite ?
• Pourquoi me demande-t-on de changer des coordonnées bancaires par courriel ?
• Est-ce que je peux confirmer la demande autrement ?

Le meilleur réflexe devient donc la vérification, plutôt que la simple recherche d’une faute ou d’un détail visuellement suspect.

Les nouvelles formes d’hameçonnage à connaître

L’IA ne rend pas seulement les courriels plus crédibles. Elle renforce aussi d’autres formes d’ingénierie sociale.

Le clonage de voix

Un appel téléphonique ne constitue plus une preuve suffisante de l’identité d’une personne.

Le Centre canadien pour la cybersécurité et le Centre antifraude du Canada ont déjà averti le public de campagnes dans lesquelles des fraudeurs utilisent des voix générées par IA pour imiter des personnes connues et rendre des demandes financières plus convaincantes.

Dans une entreprise, le scénario peut être simple : une personne reçoit un appel qui semble venir d’un dirigeant et lui demande de faire rapidement un paiement ou de transmettre une information sensible.

La voix semble familière. Le ton aussi.

Pourtant, l’appel peut être frauduleux.

Le bon réflexe n’est pas d’essayer de déterminer si la voix « sonne fausse ». Il faut confirmer la demande par un autre moyen connu.

Le quishing : l’hameçonnage par code QR

Le code QR est devenu tellement banal qu’on le scanne souvent sans trop réfléchir.

Les fraudeurs le savent.

Un code QR peut être intégré dans un faux avis de livraison, une facture, une demande de connexion Microsoft 365 ou un autre message qui semble parfaitement légitime.

Une fois scanné, il peut rediriger vers un faux site conçu pour voler des identifiants ou des informations personnelles.

Le Centre canadien pour la cybersécurité rappelle également que l’hameçonnage par code QR peut contourner certains mécanismes conçus pour analyser les liens ou les pièces jointes contenus dans les courriels.

Le réflexe à développer : un code QR reçu par courriel doit être traité avec autant de prudence qu’un lien.

La fraude au paiement dans une vraie conversation

C’est probablement l’un des scénarios les plus trompeurs.

Un compte courriel est compromis et l’attaquant observe les échanges pendant un certain temps. Il comprend qui parle à qui, quel fournisseur doit être payé et comment les demandes sont habituellement formulées.

Puis il intervient au bon moment.

« Nous avons changé de compte bancaire, voici les nouvelles coordonnées pour le prochain paiement. »

Le fil de discussion est vrai. Les anciens messages sont vrais. Le fournisseur existe réellement.

Seule la demande de paiement est frauduleuse.

Dans ce type de situation, chercher des fautes dans le courriel ne sert pratiquement à rien.

Ce qui protège réellement une PME aujourd’hui

Il n’existe pas de bouton magique capable d’éliminer l’hameçonnage.

Une bonne défense repose plutôt sur plusieurs couches qui se complètent.

1. Des procédures claires

Dire à ses employés de « faire attention » n’est pas une procédure.

Une règle claire, oui.

Par exemple : tout changement de coordonnées bancaires doit être confirmé par téléphone auprès d’un contact connu, en utilisant un numéro déjà enregistré et non celui fourni dans le nouveau message.

Même principe pour un paiement inhabituel ou une demande urgente provenant d’un dirigeant.

Cette procédure peut sembler un peu contraignante.

Elle l’est beaucoup moins qu’un virement envoyé au mauvais endroit.

2. Une authentification plus solide

L’authentification multifacteur reste une mesure essentielle pour limiter les conséquences du vol d’un mot de passe.

Il faut toutefois aller plus loin lorsque c’est possible.

Le Centre canadien pour la cybersécurité recommande désormais l’utilisation d’une authentification multifacteur résistante à l’hameçonnage, notamment parce que certaines techniques d’hameçonnage plus avancées peuvent également intercepter des codes ou des jetons d’authentification.

Pour une PME, cela signifie au minimum protéger les comptes importants : courriel, Microsoft 365, Google Workspace, systèmes financiers, applications infonuagiques et comptes administrateurs.

3. Une sensibilisation qui évolue avec les attaques

Une formation faite il y a trois ans sur les « cinq fautes à repérer dans un courriel suspect » ne couvre plus suffisamment la réalité actuelle.

Les employés doivent aussi connaître les scénarios qu’ils peuvent réellement rencontrer aujourd’hui :

• faux changements de coordonnées bancaires;
• codes QR malveillants;
• appels utilisant une voix imitée;
• fausses pages Microsoft 365;
• demandes urgentes d’un dirigeant;
• messages provenant d’un vrai compte compromis.

Les simulations de phishing peuvent aider à mesurer les réflexes des équipes, à condition qu’elles ressemblent aux attaques actuelles.

C’est aussi l’intérêt d’un programme de sensibilisation continu : faire évoluer les réflexes au même rythme que les menaces, plutôt que de cocher la case « formation annuelle ».

L’enjeu est important, car un simple courriel peut parfois devenir le point de départ d’une compromission beaucoup plus large, allant du vol de compte jusqu’au rançongiciel.

Une question simple à intégrer dans vos procédures

Lorsqu’une demande sensible arrive par courriel, téléphone ou messagerie, la bonne question n’est plus :

« Est-ce que ce message semble vrai ? »

La bonne question est :

« Est-ce que cette demande est normale, et est-ce que je peux la confirmer par un canal indépendant ? »

Cette distinction est importante.

Une attaque moderne peut sembler parfaitement crédible. Une bonne procédure, elle, reste la même que le message soit vrai ou faux.Phishing IA en PME : pourquoi les anciens réflexes ne suffisent plus

------

Besoin d'accompagnement pour sensibiliser vos équipes, contactez-nous : https://rdcybersecurite.ca/contact