Entre janvier et juin 2026, la proportion d’e-mails de phishing présentant des marqueurs d’assistance par intelligence artificielle a été multipliée par plus de dix en quelques semaines, selon le rapport PhishFort Digital Threat Intelligence. Cette accélération ne concerne pas un futur hypothétique. Elle décrit un changement de régime déjà mesurable dans les boîtes de réception professionnelles et sur les terminaux mobiles des salariés.
Phishing assisté par IA : ce que les rapports 2026 mesurent réellement
Pendant la majeure partie de 2025, la part des e-mails frauduleux portant des signaux d’assistance IA restait sous les 5 %. Le basculement s’est produit autour des fêtes de fin d’année 2025, avec un pic massif documenté par le Hoxhunt Phishing Trends Report (édition 2026). Le reflux observé début 2026 n’a pas ramené les volumes au niveau antérieur : le palier post-pic reste nettement supérieur à celui de 2024.
A lire aussi : L'importance de la sauvegarde régulière des données professionnelles
Le rapport cybersécurité 2026 de Hornetsecurity chiffre l’augmentation des attaques par e-mails frauduleux à 131 % entre 2024 et 2025. Ce pourcentage agrège toutes les formes de phishing par courriel, mais la corrélation temporelle avec la diffusion des outils d’IA générative grand public est difficile à ignorer.
Les données disponibles ne permettent pas d’isoler la part exacte de l’IA dans cette hausse. Les rapports s’appuient sur des heuristiques de détection (structure syntaxique, métadonnées, patterns de personnalisation) dont la fiabilité varie d’un éditeur à l’autre. Le chiffre de 131 % traduit une tendance, pas une mesure chirurgicale.
Lire également : ODT en DOCX en toute sécurité : protéger vos documents sensibles
Terminaux mobiles et QR codes : le phishing IA migre hors de la boîte mail
Réduire le phishing à l’e-mail revient à observer un tiers du problème. Un rapport Zimperium publié en 2026 fait état de plus de 2,5 millions d’attaques de phishing détectées sur des terminaux mobiles d’entreprise sur douze mois, avec une hausse de 400 % des clics sur liens malveillants.
Trois vecteurs mobiles concentrent l’essentiel de la pression :
- Le smishing (phishing par SMS) représente près de 40 % des menaces mobiles identifiées par Zimperium, avec des messages dont la qualité linguistique et la personnalisation portent la marque d’une génération automatisée.
- Le phishing par QR code (quishing) a progressé rapidement au premier trimestre 2026. Un QR code imprimé sur un faux avis de livraison ou affiché dans un espace de coworking échappe aux filtres anti-phishing classiques, qui analysent des URL textuelles.
- Les PDF malveillants prennent une part croissante dans les charges utiles. Un document PDF généré par IA peut reproduire la charte graphique d’une banque ou d’un fournisseur avec un niveau de détail qui trompe un oeil exercé.
Le point commun entre ces trois vecteurs : l’IA abaisse le coût de production de chaque leurre. Générer un SMS personnalisé à partir d’un profil LinkedIn public ou encoder une URL piégée dans un QR code ne demande plus de compétences techniques avancées.
Deepfakes vocaux et vidéo dans les fraudes au virement
La DGSI a documenté en décembre 2025 un cas concret d’entreprise française visée par une tentative d’escroquerie combinant hypertrucage du visage et clonage vocal du dirigeant. Le scénario suit un schéma désormais identifié : un appel vidéo urgent, un interlocuteur visuellement crédible, une demande de transfert de fonds vers un compte inhabituel.
Ce type d’attaque repose sur des modèles de synthèse vocale et de génération vidéo en temps réel accessibles en ligne. Quelques minutes d’enregistrement audio suffisent pour cloner une voix avec un degré de ressemblance qui trompe des collaborateurs proches du dirigeant.
En revanche, les deepfakes vidéo en temps réel présentent encore des artefacts détectables : micro-décalages de synchronisation labiale, texture de peau uniforme sous certains éclairages, absence de réaction naturelle aux interruptions. Ces limites techniques s’amenuisent à mesure que les modèles progressent, mais elles offrent aujourd’hui une fenêtre de détection humaine.
Pourquoi la fraude au virement par deepfake échappe aux filtres techniques
Un filtre anti-phishing analyse du texte, des URL, des pièces jointes. Un appel vidéo sur Teams ou Zoom ne transite pas par ces couches de détection. La fraude par deepfake contourne l’infrastructure de sécurité e-mail en se déplaçant vers un canal de confiance : la visioconférence interne.
Les contre-mesures actuelles relèvent davantage du protocole organisationnel que de la technologie. Vérifier une demande de virement par un second canal (rappel téléphonique sur un numéro connu, confirmation physique) reste la parade la plus fiable, mais elle suppose une culture de sécurité que toutes les organisations n’ont pas encore intégrée.
Détection du phishing IA : les limites des outils actuels
Selon une enquête citée par Hornetsecurity, 77 % des RSSI considèrent le phishing généré par l’IA comme une menace sérieuse et émergente. Cette perception ne se traduit pas encore par des capacités de détection proportionnées.
Les filtres anti-phishing traditionnels s’appuient sur des listes de blocage d’URL et des signatures connues. Un article de Security Boulevard (août 2026) souligne qu’un attaquant peut désormais monter un site de phishing fonctionnel en environ 90 minutes. À ce rythme, la liste de blocage est déjà obsolète au moment où elle est mise à jour.
Les outils de détection par IA existent, mais ils affrontent un problème structurel : les modèles génératifs utilisés en attaque et en défense partagent souvent les mêmes architectures. Un e-mail rédigé par un grand modèle de langage n’a pas de signature distinctive stable. Les retours terrain divergent sur la capacité réelle des solutions de détection à maintenir un taux de faux positifs acceptable sans dégrader l’expérience utilisateur.
L’entrée en application du règlement européen sur l’IA, dont la Commission européenne a rappelé les contours le 2 août 2026, impose des obligations de transparence sur les contenus générés par IA (deepfakes, textes synthétiques). Les effets concrets sur le phishing restent à observer : un attaquant opérant depuis une juridiction hors UE n’a aucune raison de se conformer à ces exigences d’étiquetage.
Le phishing assisté par IA ne crée pas une menace radicalement nouvelle. Il comprime les délais, réduit les coûts de production des leurres et déplace les attaques vers des canaux que l’infrastructure de sécurité classique ne couvre pas. La réponse technique progresse, mais le décalage entre la vitesse de génération des attaques et la vitesse de mise à jour des défenses reste, pour l’instant, le problème central.
