Phishing dopé à l'IA : les nouvelles cyberattaques en 2026

En 2025, le phishing IA est devenu la première menace cyber pour les entreprises. Le problème n'est pas forcément un plus grand nombre d'attaques, mais le fait qu'elles sont devenues bien plus efficaces. Dans cet article, on vous explique précisément ce qui a changé dans les techniques d'attaque, pourquoi vos outils de protection actuels dans les organisations ont du mal à suivre, et ce que vous pouvez faire concrètement en tant que DSILa DSI est la direction des systèmes d'informations d'une organisation. pour réduire votre exposition. Et pour ceux qui préfèrent nous écouter, ces informations sont tirées de notre dernier épisode de podcast avec Achraf Hamid de Mailinblack.

Le phishing, c'est quoi ?

Le phishing est un type de cyberattaque qui ne repose pas sur une faille informatique, mais plutôt sur l'exploitation des failles humaines. Même si la forme varie, le fond reste le même : l'attaquant se fait passer pour un tiers de confiance afin de vous inciter à accomplir une action précise, comme cliquer sur un lien malveillant, télécharger une pièce jointe infectée ou fournir des identifiants confidentiels. Le but final est simple : dérober des données sensibles ou s'introduire dans le réseau de l'entreprise.

La dernière mode en la matière ? Un SMS annonçant qu'un colis n'a pas pu être livré, accompagné d'une photo du fameux paquet avec votre nom bien visible dessus. Vous l'avez peut-être déjà reçu !

Le phishing boosté à l'IA : de l'artisanal à l'industriel

Pendant longtemps, les attaques par phishing reposaient sur un principe un peu trop simple : envoyer le même mail à des milliers de personnes et espérer qu'au moins une personne tombe dans le piège. C'était souvent assez grossier, et pour la plupart d'entre nous, le filtre humain suffisait encore à peu près.

Mais depuis quelques années, ce monde est révolu. L'IA générative permet aujourd'hui de produire des messages sans aucune faute, dans n'importe quelle langue, et surtout contextualisés à l'extrême. L'attaquant ne lance plus des centaines de messages au hasard ; au contraire, il construit un message qui ressemble à quelque chose que vous pourriez vraiment recevoir, d'une source que vous connaissez et à un moment qui fait sens.

Et pour aller encore plus loin dans le côté obscur, des variantes de ChatGPT comme WormGPT ou FraudGPT ont émergé. Ces outils sont tout simplement des IA sans aucune restriction, entraînés sur du code malicieux. Même un attaquant qui ne sait pas coder peut aujourd'hui demander à ces outils comment mener une attaque étape par étape, puis se faire corriger en direct. En gros, c'est un assistant dédié au piratage, disponible à la demande. Et on va pas se le cacher : c'est terrifiant.

Cybersécurité : quelles sont les attaques qui font le plus de dégâts en 2026 ?

Le phishing reste le grand classique des attaques en cyber, mais il s'est profondément transformé. Voici les trois approches qui cartonnent aujourd'hui :

La première, c'est la copie d'identité visuelle. L'attaquant reproduit à 100 % l'apparence d'un outil que vous utilisez tous les jours : votre banque, une notification Teams, un mail RH, une alerte de livraison. L'utilisateur est en zone de confiance totale parce que rien ne cloche visuellement. Il clique parce qu'il a toujours cliqué sur ce type de mail. Ici, l'attaquant va jouer sur l'habitude et donc la mise en confiance.

La deuxième, c'est l'attaque en plusieurs étapes. L'attaquant commence par envoyer un premier mail complètement anodin, une simple prise de contact, sans lien ni rien de suspect. Par exemple : "Suite à notre rencontre au salon X, je souhaitais vous envoyer un document. Qui dans votre équipe serait concerné ?". Le filtre de sécurité voit un échange normal entre deux personnes et commence à faire confiance à cet expéditeur. C'est seulement au deuxième ou troisième échange que l'attaque arrive, dans un contexte de confiance déjà installé. Les filtres classiques basés sur la réputation de l'expéditeur ne voient donc rien venir.

La troisième, c'est le spear phishing augmenté. Autrement dit, l'attaque ciblée et personnalisée à grande échelle grâce à l'IA. Avant, ce type d'attaque demandait un travail manuel considérable car il fallait collecter des informations sur une personne, comprendre son contexte et construire un message sur mesure. Aujourd'hui, les agents IA font ce travail automatiquement. Ils parcourent LinkedIn, identifient votre poste et vos interactions récentes, s'informent sur les dernières actualités de votre entreprise. Imaginez : un collaborateur a récemment piloté une opération importante annoncée publiquement ? Il peut recevoir le lendemain un mail de son dirigeant le félicitant et lui annonçant une prime dans un mail parfaitement rédigé et contextualisé.

Cybersécurité en 2026 : les filtres classiques fonctionnent-ils encore ?

Les outils de filtrage classiques ne sont pas devenus inutiles du jour au lendemain. Ils font toujours un bon travail sur les menaces connues : vérification de l'expéditeur, listes noires, signatures de pièces jointes. Mais ils ont été conçus pour détecter des anomalies, et les nouvelles attaques n'en ont presque plus

Un mail de phishing bien construit aujourd'hui ressemble parfaitement à un vrai mail. L'attaque en plusieurs étapes va même jusqu'à conditionner les filtres à considérer l'expéditeur comme fiable avant de frapper. Et avec les agents IA, les attaques s'adaptent en temps réel aux règles de filtrage qu'elles rencontrent.

Il y a un chiffre qui résume bien la situation : 9 attaques sur 10 passent par l'humain. Les systèmes techniques sont contournés parce que l'attaquant va directement chercher le maillon humain, qui reste au final la plus grosse faiblesse de la cybersécurité.

Phishing et IA en 2026 : qu'est-ce qui change pour les DSI ?

La première chose à intégrer, c'est que n'importe quelle entreprise peut désormais être ciblée. Avant, les attaques sophistiquées étaient réservées aux grandes organisations parce qu'elles nécessitaient un travail de préparation humain très important. Avec les agents IA, ce travail est automatisé. Une PME est aujourd'hui aussi exposée qu'un grand groupe, à partir du moment où ses collaborateurs sont présents sur LinkedIn et possèdent une boîte mail.

La deuxième chose, c'est qu'il existe des périodes à risque. Les études comportementales le montrent : un collaborateur qui revient de congé, submergé de mails après une semaine d'absence, ou qui est en pleine période de fêtes, est statistiquement plus vulnérable. Sa vigilance va baisser : il traite les messages plus vite, il est moins attentif aux signaux. Et ça, les attaquants le savent et en tiennent compte.

La troisième chose, c'est que la trace numérique de vos équipes est une surface d'attaque réelle. Que ce soit les profils LinkedIn détaillés, les annonces de l'entreprise, les interactions publiques des dirigeants… tout ça est du carburant pour des attaques ciblées. Ça ne veut pas dire qu'il faut disparaître d'internet, mais ça mérite d'en avoir conscience.

Et enfin, c'est peut-être le point le plus important : le premier mail suspect n'est peut-être pas l'attaque. C'est peut-être juste l'étape 1 d'une séquence conçue pour vous mettre en confiance. Savoir que cette mécanique existe, c'est déjà un avantage.

Cybersécurité en 2026 : une question d'IA (et de psychologie)

La réponse honnête, c'est qu'il n'y a pas de solution unique qui règle le problème. Les outils de filtrage restent indispensables, mais ils doivent être complétés. L'analyse comportementale, c'est-à-dire comprendre les habitudes de communication des utilisateurs plutôt que de chercher des mots suspects dans un mail, commence à changer vraiment la donne. Et la formation des collaborateurs, pensée comme un entraînement régulier et personnalisé plutôt que comme une présentation annuelle reste l'un des leviers les plus efficaces.

Le phishing à l'IA s'attaque d'abord à la psychologie humaine. La réponse doit donc être à la fois technique et humaine. L'une sans l'autre, ça ne suffit plus !

On a consacré un épisode entier à ce sujet dans notre podcast, avec Achraf Hamid, Data Scientist et responsable IA chez Mailinblack. Bonne écoute et à bientôt !