Hameçonnage assisté par IA
Hameçonnage dont les messages, faux sites ou faux profils sont produits ou personnalisés à l’aide d’IA générative pour être plus crédibles.
Définition complète
L’hameçonnage assisté par IA désigne l’usage de l’intelligence artificielle générative par des attaquants pour préparer et mener des campagnes d’hameçonnage : rédaction de courriels sans fautes dans la langue de la cible, personnalisation à partir d’informations publiques, création de faux sites, de faux profils ou de contenus audio et vidéo truqués.
Le CERT-FR constate que les modèles d’IA générative sont utilisés tout au long de la chaîne d’attaque, notamment pour la conception de contenus d’ingénierie sociale et la reconnaissance des cibles. Il cite des opérateurs ayant généré du contenu d’hameçonnage, créé de faux profils d’entreprises et d’employés sur les réseaux sociaux, et des sites d’apparence légitime, semblant générés par IA, servant à héberger des charges malveillantes.
L’agence nuance : aucun système d’IA n’a mené seul l’ensemble d’une attaque, mais ces outils permettent d’améliorer le niveau, la quantité et l’efficacité des attaques. Les repères traditionnels (fautes d’orthographe, formules maladroites) ne suffisent donc plus : la vérification des demandes et la protection des comptes deviennent décisives.
Source : CERT-FR, L’IA générative face aux attaques informatiques : synthèse de la menace en 2025, Verizon, Data Breach Investigations Report 2026
Exemple concret
Une société de transport reçoit un courriel de son « assureur » : français impeccable, logo exact, référence de contrat réelle trouvée dans un document public, et mention du sinistre déclaré le mois précédent sur le blog de l’entreprise. Le lien mène à un espace client parfaitement imité, créé en quelques minutes. Sans double authentification, la gestionnaire aurait livré l’accès à la messagerie de toute la direction administrative.
Comment se protéger
- Mettre à jour la sensibilisation : un message sans faute et très personnalisé peut être frauduleux.
- Organiser des exercices d’hameçonnage simulé réalistes, suivis d’explications plutôt que de sanctions.
- Généraliser l’authentification multifacteur, idéalement résistante à l’hameçonnage pour les comptes sensibles.
- Maintenir la règle de vérification par un second canal pour toute demande de paiement, d’identifiants ou de données.
- Limiter les informations publiques exploitables sur les collaborateurs, les partenaires et les projets.
- Configurer SPF, DKIM et DMARC et filtrer les courriels entrants avec une solution à jour.
Questions fréquentes
Elle supprime les indices faciles comme les fautes, mais pas le fond de l’attaque : une demande inhabituelle, une urgence, un lien vers une page de connexion. Vérifier l’adresse réelle, ne pas se connecter depuis un lien reçu et confirmer par un autre canal restent efficaces.
Les filtres de messagerie modernes utilisent déjà l’apprentissage automatique et sont utiles. Mais aucun filtre ne bloque tout : la double authentification et les procédures de vérification protègent quand un message passe.
Termes liés
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
Deepfake
Contenu audio, image ou vidéo généré ou modifié par IA qui imite de façon réaliste une personne réelle, utilisé notamment pour l’escroquerie.
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
Ingénierie sociale
Manipulation psychologique pour obtenir des informations ou un accès.
Vous avez besoin d'un expert en Hameçonnage assisté par IA ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.