Pendant des années, on a appris à repérer l'hameçonnage à ses défauts : fautes d'orthographe, français bancal, logo pixelisé. C'était le faux billet mal imprimé - repérable à l'œil nu. Ce temps est révolu. L'IA générative produit désormais des messages impeccables, personnalisés et fabriqués en masse : le faux billet est devenu parfait. Résultat : la vieille consigne « méfiez-vous des fautes » ne protège plus personne. Il faut changer de radar.
Ce que l'IA change pour l'attaquant
- Des messages parfaits. Plus de fautes, un français naturel, le bon ton, le bon vocabulaire métier. Impossible de juger le loup à son déguisement.
- Un ciblage industrialisé. Le message ultra-personnalisé (le fameux spear phishing), autrefois artisanal et réservé aux grosses cibles, se produit maintenant à la chaîne : l'IA lit vos réseaux sociaux, votre site, vos communiqués, et rédige le piège sur mesure pour chaque destinataire.
- L'imitation de la voix et du visage. Les « deepfakes » permettent de cloner la voix d'un dirigeant au téléphone, ou son visage en visio, pour ordonner un virement. La voix de votre patron peut désormais mentir.
Arrêter de juger la forme, juger l'intention
Puisque l'apparence n'est plus fiable, le nouveau radar se règle sur le contexte et l'intention, pas sur l'orthographe. Trois signaux doivent faire tiquer :
- Une urgence ou une pression anormale - « paiement immédiat », « strictement confidentiel », « n'en parle à personne ». La précipitation est l'outil préféré de l'escroc : elle empêche de réfléchir.
- Une demande qui sort du processus habituel - changement d'un RIB, virement exceptionnel, communication d'un mot de passe. Les procédures existent justement pour ces cas-là.
- Un canal inattendu - le « dirigeant » qui vous écrit soudain par SMS ou sur une messagerie personnelle.
Toute demande de paiement ou de changement de coordonnées bancaires se vérifie par un second canal connu : on raccroche, et on rappelle la personne sur son numéro habituel (pas celui fourni dans le message). Aussi parfait soit-il, un imposteur ne peut pas être à deux endroits à la fois. Une contre-vérification hors ligne de trente secondes fait s'effondrer le deepfake le plus convaincant.
Se protéger : l'humain et la technique, ensemble
- Une authentification résistante à l'hameçonnage. Même si un salarié saisit ses identifiants sur une fausse page parfaite, une clé FIDO2 refusera de fonctionner ailleurs que sur le vrai site : voir notre guide sur le MFA.
- Une sensibilisation vivante. Des équipes entraînées, et surtout une culture où signaler un message douteux (ou avouer avoir cliqué) est encouragé, jamais puni. La peur du gendarme fait taire les alertes.
- Du filtrage et de la détection : protection de la messagerie, analyse des liens, surveillance des connexions pour repérer un compte détourné.
- Un réflexe de réaction si quelqu'un a mordu à l'hameçon : voir que faire dans les premières heures.
En résumé
L'IA n'a pas inventé l'hameçonnage ; elle l'a rendu indétectable à l'œil et industriel à produire. La défense ne consiste plus à « chercher les fautes », mais à douter des demandes anormales et à vérifier par un autre canal, le tout adossé à une authentification forte. On ne juge plus le message, on juge la démarche - et dans le doute, on rappelle.
Kenawek combine sensibilisation, MFA anti-hameçonnage et détection pour réduire concrètement votre exposition. Parlons-en.