Actualités
Hameçonnage piloté par l'IA : ce qui cesse de fonctionner en 2026
2 avril 2026
Les fautes d'orthographe ont disparu. La voix au téléphone ressemble exactement à celle de votre directeur financier. L'IA a discrètement mis à la retraite la plupart des conseils anti-hameçonnage que nous donnons depuis une décennie — et il est temps de mettre la défense à jour.
Pendant des années, la sensibilisation à la sécurité s'est appuyée sur des indices : mauvaise grammaire, formules de politesse génériques, mise en forme maladroite, un sentiment d'urgence légèrement décalé. Ces heuristiques fonctionnaient parce que l'hameçonnage était produit à grande échelle par des personnes écrivant dans une langue seconde sous la contrainte du temps. En 2026, cette hypothèse est morte. L'IA générative rédige des messages fluides, contextuels et personnalisés à coût marginal nul — et l'ancien conseil fait désormais plus de mal que de bien en donnant aux gens une fausse assurance.
Ce qui a changé
Trois bouleversements comptent le plus. D'abord, la langue n'est plus un indice. L'hameçonnage généré par l'IA se lit naturellement dans n'importe quelle langue, imite le ton de votre entreprise et fait référence à de vrais projets glanés dans des sources publiques. Ensuite, la personnalisation est passée à l'échelle. Ce qui était autrefois un harponnage coûteux et artisanal visant les dirigeants est désormais automatisé et dirigé contre tout le monde. Enfin, le clonage de voix et de vidéo est arrivé dans le grand public. Un court échantillon d'une personne qui parle suffit à synthétiser une voix convaincante ; nous avons enquêté sur des cas de fraude au mandat où le personnel a agi sur la foi d'un appel téléphonique dont il était certain qu'il provenait d'un dirigeant.
Pourquoi l'ancienne détection échoue
- « Cherchez les fautes d'orthographe » — il n'y en a plus.
- « Vérifiez le nom de l'expéditeur » — les noms d'affichage et même les domaines sosies sont trivialement usurpés et sélectionnés par l'IA pour leur plausibilité.
- « Faites confiance à une voix familière » — une voix familière est désormais un identifiant falsifiable.
La question défensive s'est inversée. Ce n'est plus « ce message a-t-il l'air suspect ? ». C'est « ai-je vérifié cette demande via un canal que l'attaquant ne contrôle pas ? »
Ce qui fonctionne réellement en 2026
La défense passe de la détection à la vérification et à la friction. Formez les gens à vérifier les demandes à fort enjeu — paiements, changements d'identifiants, mises à jour de mandat — via un second canal hors bande, à chaque fois, sans exception. Mettez en place des contrôles de processus qui rendent insuffisant un seul message trompeur : double autorisation pour les paiements, rappels vers des numéros connus plutôt que vers des numéros fournis dans le message, et une culture où s'arrêter pour vérifier est valorisé, et non perçu comme une entrave.
Côté technique, l'authentification multifacteur résistante à l'hameçonnage compte plus que jamais, car elle déjoue l'hameçonnage d'identifiants même lorsque l'humain est berné. L'authentification des courriels, l'analyse des pièces jointes en bac à sable et la réécriture des liens restent utiles, mais traitez-les comme des filtres qui réduisent le volume — non comme la ligne qui tient.
Le résumé inconfortable : vous ne pouvez plus former vos équipes à repérer une contrefaçon parfaite. Vous pouvez en revanche instaurer des habitudes de vérification et des contrôles de processus qui rendent une contrefaçon convaincante inoffensive. Cessez d'apprendre aux gens à détecter ; commencez à leur apprendre à vérifier.
