JADEPUFFER : le premier rançongiciel mené de bout en bout par une IA.
Une IA qui s'introduit, s'adapte à ses échecs en 31 secondes et réclame une rançon, sans humain aux commandes. Ce que ce précédent impose à la défense.
Pendant des années, on a appris à repérer l'hameçonnage à ses défauts : fautes d'orthographe, français bancal, logo pixelisé. C'était le faux billet mal imprimé - repérable à l'œil nu. Ce temps est révolu. L'IA générative produit désormais des messages impeccables, personnalisés et fabriqués en masse : le faux billet est devenu parfait. Résultat : la vieille consigne « méfiez-vous des fautes » ne protège plus personne. Il faut changer de radar.
En résumé
- La consigne « méfiez-vous des fautes » ne protège plus personne : l'IA générative produit des messages impeccables, personnalisés et fabriqués en masse. Le faux billet est devenu parfait.
- Le message ultra-personnalisé, autrefois artisanal et réservé aux grosses cibles, se produit désormais à la chaîne : l'IA lit vos réseaux sociaux et votre site, puis rédige le piège sur mesure.
- Les deepfakes clonent la voix d'un dirigeant au téléphone ou son visage en visio : la voix de votre patron peut désormais mentir.
- Le nouveau radar se règle sur l'intention, pas sur la forme : une urgence anormale, une demande hors processus (changement de RIB, virement exceptionnel), un canal inattendu.
- La règle d'or tient en une phrase : raccrocher et rappeler soi-même, sur le numéro habituel. Un imposteur ne peut pas être à deux endroits à la fois - trente secondes de contre-vérification font s'effondrer le deepfake le plus convaincant.
- Côté technique, une clé FIDO2 refuse de fonctionner sur une fausse page, même parfaite. Côté humain, signaler un message douteux doit être encouragé, jamais puni : la peur du gendarme fait taire les alertes.
Ce que l'IA change pour l'attaquant
- Des messages parfaits. Plus de fautes, un français naturel, le bon ton, le bon vocabulaire métier. Impossible de juger le loup à son déguisement.
- Un ciblage industrialisé. Le message ultra-personnalisé (le fameux spear phishing), autrefois artisanal et réservé aux grosses cibles, se produit maintenant à la chaîne : l'IA lit vos réseaux sociaux, votre site, vos communiqués, et rédige le piège sur mesure pour chaque destinataire.
- L'imitation de la voix et du visage. Les « deepfakes » permettent de cloner la voix d'un dirigeant au téléphone, ou son visage en visio, pour ordonner un virement. La voix de votre patron peut désormais mentir.
Arrêter de juger la forme, juger l'intention
Puisque l'apparence n'est plus fiable, le nouveau radar se règle sur le contexte et l'intention, pas sur l'orthographe. Trois signaux doivent faire tiquer :
- Une urgence ou une pression anormale - « paiement immédiat », « strictement confidentiel », « n'en parle à personne ». La précipitation est l'outil préféré de l'escroc : elle empêche de réfléchir.
- Une demande qui sort du processus habituel - changement d'un RIB, virement exceptionnel, communication d'un mot de passe. Les procédures existent justement pour ces cas-là.
- Un canal inattendu - le « dirigeant » qui vous écrit soudain par SMS ou sur une messagerie personnelle.
La règle d'or : raccrocher et rappeler soi-même
Toute demande de paiement ou de changement de coordonnées bancaires se vérifie par un second canal connu : on raccroche, et on rappelle la personne sur son numéro habituel (pas celui fourni dans le message). Aussi parfait soit-il, un imposteur ne peut pas être à deux endroits à la fois. Une contre-vérification hors ligne de trente secondes fait s'effondrer le deepfake le plus convaincant.
Se protéger : l'humain et la technique, ensemble
- Une authentification résistante à l'hameçonnage. Même si un salarié saisit ses identifiants sur une fausse page parfaite, une clé FIDO2 refusera de fonctionner ailleurs que sur le vrai site : voir notre guide sur le MFA.
- Une sensibilisation vivante. Des équipes entraînées, et surtout une culture où signaler un message douteux (ou avouer avoir cliqué) est encouragé, jamais puni. La peur du gendarme fait taire les alertes.
- Du filtrage et de la détection : protection de la messagerie, analyse des liens, surveillance des connexions pour repérer un compte détourné.
- Un réflexe de réaction si quelqu'un a mordu à l'hameçon : voir que faire dans les premières heures.
En conclusion
L'IA n'a pas inventé l'hameçonnage ; elle l'a rendu indétectable à l'œil et industriel à produire. La défense ne consiste plus à « chercher les fautes », mais à douter des demandes anormales et à vérifier par un autre canal, le tout adossé à une authentification forte. On ne juge plus le message, on juge la démarche - et dans le doute, on rappelle.
Renforcer votre résistance à l'hameçonnage
Kenawek combine sensibilisation, MFA anti-hameçonnage et détection pour réduire concrètement votre exposition. Parlons-en.