Pendant des années, les recommandations données pour repérer un e-mail de phishing étaient simples : vérifier la présence de fautes d’orthographe, examiner attentivement le domaine de l’expéditeur et se méfier des formules d’accueil génériques. Et ces conseils ont largement fait leurs preuves face aux campagnes massives de phishing. Mais le spear phishing a toujours été un problème à part, bien plus complexe.
En 2026, l’IA a totalement changé la donne. Autrefois, le spear phishing avait l’inconvénient, pour les hackers, d’être chronophage et coûteux. Aujourd’hui, ces obstacles n’existent plus, et les stratégies de défense traditionnelles ne suffisent plus à nous protéger des attaques.
Mais tout n’est pas perdu. La mesure la plus efficace n’est ni un filtre ultra-performant, ni un énième module de formation. Elle consiste avant tout à réduire la quantité de données personnelles auxquelles les attaquants peuvent avoir accès, tout en renforçant la vigilance des utilisateurs.
Le spear phishing : késako ?
Le spear phishing, à ne pas confondre avec le spearfishing (chasse sous-marine) est une attaque de phishing ciblée, dirigée contre une personne ou une organisation en particulier. Ce qui en fait l’une des formes de cyberattaque les plus malveillantes et les plus efficaces, c’est qu’elle ne piège pas n’importe qui avec un leurre généraliste ; elle s’appuie sur des informations réelles et documentées sur la cible : nom, poste, identifiants, collègues, et activité récente en ligne.
Le spear phishing d’aujourd’hui est différent : l’IA a fait sauter les contraintes
Avant l’arrivée de l’IA, les attaquants devaient effectuer eux-mêmes tout le travail fastidieux : étudier la cible, imiter son style d’écriture, identifier les personnes à qui elle fait confiance, avant de rédiger un message suffisamment convaincant pour arriver sur sa boîte mail.
C’était un travail considérable. Et c’est la raison pour laquelle le spear phishing restait moins répandu que d’autres formes de phishing. Aujourd’hui, l’IA a complètement changé la donne.
Des attaques plus ciblées — l’IA se charge de la reconnaissance
Les LLM et les outils de scraping peuvent désormais rassembler en quelques minutes, et non plus en plusieurs heures, des informations sur l’employeur d’une cible, son poste, ses collègues, son style d’écriture, ses publications récentes et même des événements de sa vie, à partir de sources publiques (LinkedIn, biographies d’entreprise, réseaux sociaux et sites de courtiers en données).
Cette étape de reconnaissance, autrefois le goulot d’étranglement qui limitait le spear phishing aux cibles de grande valeur comme les dirigeants, est désormais largement automatisée. Aujourd’hui, les cadres intermédiaires et les individus lambda sont également concernés. Et comme la recherche nécessaire pour monter une attaque de spear phishing coûte moins cher, les petites entreprises et organisations qui ne se pensaient jamais visées entrent elles aussi dans le champ des cibles potentielles.
Des attaques plus faciles — création et envoi de l’attaque en un clic
Les messages rédigés par IA ne contiennent presque plus de signaux d’alerte traditionnels : fautes de grammaire, formulations maladroites, salutations génériques. Les repérer constituait jusqu’à présent le principal conseil donné lors des formations pour détecter une tentative de phishing.
Avec l’IA, les attaquants peuvent générer des dizaines de variantes personnalisées par cible pour un coût marginal proche de zéro, et associent de plus en plus l’e-mail à un message vocal cloné par IA ou à un extrait vidéo deepfake pour un appel de « confirmation » de suivi. Ce type de recoupement multicanal était coûteux et techniquement difficile à mettre en œuvre il y a un an ou deux. Aujourd’hui, c’est rapide et abordable, et les escrocs s’en donnent à cœur joie.
Les obstacles techniques et créatifs qui empêchaient de mener une campagne convaincante et personnalisée ont pratiquement disparu. Et quand les outils d’IA grand public sont dotés de mécanismes de protection destinés à empêcher leur utilisation à des fins frauduleuses, les attaquants trouvent régulièrement le moyen de les contourner.
Des attaques plus dangereuses — les défenses traditionnelles ont été conçues pour une menace différente
Les filtres anti-spam sont conçus pour détecter des messages malveillants envoyés en grand nombre et facilement reconnaissables. Le spear phishing est, par nature, à faible volume et inédit, ce qui lui permet de passer entre les mailles du filet.
La formation qui consiste à « repérer les signaux d’alerte » reposait sur l’hypothèse que les attaquants commettraient des erreurs humaines. Quand la grammaire est parfaite et que les détails sont précis, cette hypothèse ne tient plus. Ce n’est pas un hasard si le taux de clic et le taux de réussite des attaques personnalisées par IA sont nettement plus élevés que ceux du phishing générique : une étude a montré que les e-mails de spear phishing conçus par IA parviennent à tromper plus de la moitié de leurs cibles.
Comment se déroulent les nouvelles attaques de spear phishing
Pour repérer les signes d’une attaque de spear phishing moderne, voici à quoi ressemble une chaîne d’attaque type :
- Identification de la cible : l’attaquant repère une cible via un profil public, le site de son entreprise ou sa présence sur les réseaux sociaux.
- Établissement du profil : un outil d’IA compile un profil incluant le poste, le nom du/de la responsable, les projets récents, et le ton utilisé dans les écrits. Il dispose d’informations précises sur votre entreprise. C’est pourquoi les e-mails ou messages excessivement précis doivent vous alerter.
- Rédaction du message : l’IA rédige un message faisant référence à un élément réel et précis : une annonce récente de l’entreprise, le nom d’un collègue, un prétexte directement lié au poste occupé par la cible.
- Diffusion : le message arrive par le canal auquel la cible fait le plus confiance, e-mail, Slack ou Teams, parfois suivi d’un SMS ou d’un message vocal pour renforcer son effet.
- Action : la victime clique, répond, communique ses identifiants ou effectue un virement, car le message passe tous les contrôles traditionnels visant à vérifier « si tout cela semble légitime ».
Ce n’est pas de la théorie. L’arnaque par deepfake d’Arup, qui a coûté 25,6 millions de dollars, est l’un des exemples les plus célèbres d’attaque de spear phishing multicanal basée sur l’IA. Elle a débuté par un email usurpant l’identité du PDG et s’est poursuivie par une visioconférence deepfake.
Alors, dans ce contexte, que faire pour assurer notre sécurité ?
Quelle est la meilleure défense ? Limiter en amont ce que les attaquants peuvent découvrir
Les formations de sensibilisation et les simulations de phishing apprennent aux utilisateurs à reconnaître une attaque dès qu’elle arrive dans leur boîte mail, et ça reste essentiel.
Mais il existe une deuxième couche de défense, bien plus en amont et largement sous-estimée : réduire proactivement son empreinte numérique afin de laisser moins de matière première aux attaquants pour construire un prétexte convaincant. Moins il y a de détails exploitables, plus les attaquants sont contraints de recourir à des techniques de phishing grossières et génériques, celles-là mêmes que les gens ont appris à repérer.
Voici trois façons de mettre cela en pratique :
Étape 1 : réaliser un audit OSINT personnel et organisationnel
Considérez cela comme un jeu de rôle où vous incarnez l’escroc : effectuez une recherche en ligne sur vous-même, votre entreprise et vos collaborateurs clés, exactement comme le ferait un attaquant.
Identifiez ce qu’un inconnu pourrait apprendre sur vous en dix minutes : le nom de votre responsable, vos derniers projets, vos projets de voyage, vos relations avec vos fournisseurs, voire des détails sur votre famille. Que trouve-t-on sur LinkedIn ? Sur la page « À propos » de l’entreprise ? Quelles informations trouve-t-on sur les réseaux sociaux, les sites de courtiers en données, ou dans d’anciennes fuites de données ? Ne négligez aucun détail.
Étape 2 : apprendre à vos équipes à réduire leur surface d’exposition
Maintenant que vous avez une vision claire de ce qui est exposé, il est temps de reprendre la main en encourageant vos collaborateurs à :
- Réduire les informations publiques sur LinkedIn et dans la description d’entreprise. Cela inclut les intitulés de poste précis, les organigrammes et les rapports hiérarchiques directs. En résumé, supprimer tout ce qui n’est pas essentiel à l’activité.
- Se désinscrire des sites de courtiers en données qui revendent des informations personnelles ; il existe de plus en plus d’outils et de services qui méritent d’être explorés pour vous aider à le faire.
- Renforcer les paramètres de confidentialité sur les réseaux sociaux et bien réfléchir à ce qui est publié publiquement, en particulier leur localisation en temps réel, leurs déplacements et les détails liés à leur lieu de travail.
- Pour les organisations, il est important de limiter ce qui est publié sur les structures hiérarchiques internes, les noms des fournisseurs et les processus financiers dans les communiqués de presse, les offres d’emploi et les organigrammes publics. Ce sont précisément ces détails que les attaquants exploitent pour élaborer des prétextes.
- Un outil DLP comme Sonar peut aider les équipes à identifier précisément et à limiter quelles informations sensibles sont partagées, et où, ce qui vous permet d’évaluer concrètement les risques auxquels votre organisation est exposée.
Étape 3 : associer la réduction de l’empreinte numérique à une formation continue et concrète
Vérifiez toujours les demandes inhabituelles de paiement, de réinitialisation d’identifiants ou les demandes urgentes via un canal secondaire. Considérez une personnalisation excessivement familière comme un signal d’alerte, et non comme un gage de légitimité. Et encouragez vos collaborateurs à signaler rapidement les messages suspects plutôt que de juste les supprimer, pour que l’ensemble de l’équipe puisse être alerté.
La sensibilisation permet de détecter ce qui passe entre les mailles du filet. La réduction de l’empreinte numérique limite d’emblée ce qui peut être mis en place. En 2026, aucune de ces deux approches ne suffit à elle seule. Un programme organisé de simulation de phishing associé à un véritable travail de réduction de l’empreinte numérique, voilà ce qui fait réellement la différence aujourd’hui.
À propos de faire bouger les lignes, pourquoi ne pas consulter notre checklist gratuite de simulation de phishing ?
Pourquoi cette approche fonctionne-t-elle contre les attaques pilotées par l’IA ?
Au vu des rapports montrant à quel point les outils d’IA peuvent être puissants pour orchestrer des attaques de spear phishing, on pourrait croire qu’il est vain de lutter contre les attaques pilotées par l’IA. Mais il convient de rappeler ce que fait réellement l’IA : elle permet d’exploiter les données publiques existantes à moindre coût et plus rapidement. Elle ne crée pas de nouvelles données. Si l’information n’est pas publique, l’IA n’a rien pour travailler, aussi sophistiqué que soit le modèle.
C’est votre levier d’action, et il dépend entièrement de vous. C’est précisément là que les outils ESPM (Employee security posture management) prennent tout leur sens : ils contribuent activement à limiter les informations partagées par vos collaborateurs et vous offrent une visibilité sur l’empreinte numérique globale de votre organisation, plutôt que de simplement réagir une fois les attaques survenues.
Une plateforme de sensibilisation adaptée permet de détecter le spear phishing
La stratégie de défense qui a fonctionné pendant des années contre le spear phishing reposait sur une hypothèse simple : les attaquants devaient déployer des efforts considérables pour personnaliser leurs attaques. Cette hypothèse n’est plus valable. L’IA a rendu la recherche d’informations, la rédaction et la diffusion multicanal rapides et extrêmement faciles.
Ce qui reste sous votre contrôle, c’est la matière première accessible aux attaquants, et la vigilance de vos équipes lorsqu’elles reçoivent un message un peu trop renseigné pour être vrai. Réduire votre empreinte numérique et rester vigilant ne sont plus des options. Ce sont les deux stratégies qui fonctionnent réellement, et qu’il faut mettre en oeuvre.
Pour savoir comment Riot peut vous aider à protéger vos équipes contre les attaques de spear phishing en 2026 et au-delà, contactez l’un de nos experts dès maintenant.
FAQ
- Qu’est-ce que le spear phishing ? Le spear phishing est une forme ciblée de phishing qui utilise des détails personnels et documentés sur un individu ou une organisation précise pour rendre un message frauduleux crédible, plutôt que de s’appuyer sur un piège générique diffusé à grande échelle.
- Quelle est la différence entre le spear phishing et le phishing classique ? Le phishing classique consiste à envoyer un grand nombre de messages génériques à un maximum de personnes. Le spear phishing cible un destinataire ou un petit groupe précis, en utilisant des informations réelles les concernant pour rendre le message bien plus convaincant.
- L’IA peut-elle vraiment rendre le spear phishing plus difficile à détecter ? Oui. L’IA élimine les signes classiques : fautes de grammaire, formulations maladroites, détails génériques. Elle peut générer des messages très personnalisés, des messages vocaux clonés, et même créer des vidéos deepfake à très faible coût, ce qui rend les attaques plus difficiles à distinguer des communications légitimes.
- Quel est le moyen le plus efficace de réduire les risques de spear phishing ? Réduire son empreinte numérique. Moins il y a d’informations personnelles et organisationnelles précises et accessibles publiquement, moins les attaquants et les outils d’IA auront de matière pour construire un scénario convaincant.
- Que faire si je pense avoir reçu un email de spear phishing ? En cas de doute, ne cliquer sur aucun lien et ne pas répondre. Vérifier la demande via un canal distinct et connu (par exemple en appelant directement la personne concernée), et prévenir immédiatement l’équipe sécurité ou informatique.
- Que faire si je pense avoir déjà été victime d’une attaque de spear phishing ? Prévenir immédiatement votre équipe informatique ou sécurité, modifier tous les identifiants susceptibles d’avoir été exposés, et si de l’argent ou des données sensibles sont en jeu, contacter votre banque et les autorités compétentes dans les plus brefs délais. Agir rapidement permet de limiter les dégâts.
