Hameçonnage alimenté par l’IA : comment les escrocs utilisent l’IA pour vous cibler

Tactiques courantes

• • L’IA analyse votre profil LinkedIn, votre historique Instagram et les métadonnées de vos e-mails pour identifier votre poste, le nom de votre manager, vos projets récents et vos habitudes de communication, puis génère un e-mail de phishing hyper-personnalisé faisant référence à des détails que seuls vos véritables collègues connaissent.
• • Les escrocs utilisent la technologie vidéo deepfake pour créer des vidéos convaincantes de votre PDG, directeur des ressources humaines ou gestionnaire bancaire demandant des virements urgents ou des réinitialisations de mot de passe, avec des expressions faciales, des intonations et des décors de bureau extraits de vidéos publiques.
• • L’IA de synthèse vocale reproduit les caractéristiques vocales exactes, l’accent et les intonations de contacts de confiance, permettant des attaques de phishing téléphonique où les victimes entendent une voix familière demandant des informations sensibles lors d’une « urgence » temporelle.
• • Les modèles d’apprentissage automatique copient les modèles d’e-mails, la charte graphique, les avertissements de sécurité et les informations en pied de page des banques ou entreprises légitimes, incorporant même l’historique récent des transactions pour renforcer la crédibilité.
• • Les chatbots IA engagent des conversations réalistes à plusieurs échanges avec les victimes, posant des questions ciblées pour instaurer la confiance et extraire progressivement des identifiants au lieu de faire des demandes suspectes évidentes en un seul message.
• • Les escrocs utilisent l’IA pour générer de faux mais plausibles badges d’employés, cartes de sécurité et documents internes respectant les standards graphiques de votre organisation, rendant les revendications d’autorité fausses parfaitement crédibles.

Comment l'identifier

• Vous recevez un e-mail de votre PDG ou manager demandant une action urgente (réinitialisation de mot de passe, virement bancaire, vérification d’identifiants) avec une charte graphique parfaite et des références précises à des projets, mais l’adresse e-mail réelle de l’expéditeur présente une différence subtile comme « c0m » au lieu de « com » ou un domaine similaire.
• Un appel vidéo ou un message enregistré d’un contact de confiance semble légèrement décalé dans le timing ou la synchronisation labiale, avec des pauses non naturelles, des mouvements oculaires robotiques ou des incohérences d’éclairage inhabituelles qui ne correspondent pas à leur environnement habituel.
• Vous recevez un appel téléphonique d’une personne prétendant appartenir au service fraude de votre banque, utilisant votre vrai numéro de compte et des détails de transactions récentes, mais qui demande des informations sensibles que votre vraie banque ne vous demanderait jamais.
• Un e-mail d’un contact interne IT ou RH utilise la mise en forme exacte et le logo de votre entreprise mais vous demande de cliquer sur un lien pour « vérifier votre compte » ou « confirmer votre identité », surtout s’il crée une urgence artificielle autour d’un incident de sécurité inexistant.
• Vous remarquez lors d’appels vidéo que l’arrière-plan, les vêtements ou l’environnement de la personne correspondent exactement aux informations publiques de son profil LinkedIn ou site web de l’entreprise, donnant une impression presque mise en scène ou générée par ordinateur.
• Une conversation par messages montre un échange naturel mais trop parfait — faisant référence à vos événements récents avec une précision inhabituelle, utilisant des blagues internes au bon moment, ou anticipant vos objections avant même que vous ne les exprimiez.

Comment se protéger

• Mettez en place une authentification multifactorielle (MFA) sur tous vos comptes e-mail, bancaires et financiers en utilisant des applications d’authentification plutôt que des codes SMS, plus faciles à intercepter lors d’attaques alimentées par l’IA.
• Établissez un protocole de vérification hors bande : lorsque vous recevez des demandes urgentes d’exécutifs ou d’institutions financières, rappelez toujours en utilisant un numéro trouvé indépendamment (pas celui fourni dans l’e-mail), et ne cliquez jamais sur les liens ni ne composez les numéros fournis dans des messages suspects.
• Utilisez des outils de vérification d’images et vidéos inversées comme Google Lens ou des logiciels spécialisés de détection de deepfake pour analyser les vidéos suspectes avant d’en accepter l’authenticité — recherchez des artefacts d’IA tels que texture de peau non naturelle, mouvements oculaires, ou anomalies en arrière-plan.
• Formez-vous à reconnaître les schémas d’ingénierie sociale en prenant au moins 10 minutes de pause avant de répondre à des demandes urgentes évoquant des urgences, des pannes système ou des actions immédiates — les institutions légitimes attendront une vérification appropriée.
• Configurez les standards d’authentification des e-mails (SPF, DKIM, DMARC) sur les domaines de votre entreprise et activez les indicateurs stricts dans votre client mail qui signalent les messages non authentifiés ou usurpés, puis signalez immédiatement toute tentative de phishing authentifiée à votre équipe de sécurité informatique.
• Créez une clé de vérification personnelle ou une question de sécurité avec vos contacts de confiance (famille, collègues proches, conseillers financiers) que vous établissez à l’avance — lorsque vous recevez des demandes urgentes, demandez-leur de fournir la réponse à cette question préétablie avant de poursuivre.

Cas réels

Questions fréquentes

Où signaler — France

Canaux officiels de votre région pour signaler cette escroquerie.