Spear phishing
Hameçonnage ciblé : un message personnalisé, préparé pour une personne ou une entreprise précise, afin d’inspirer confiance.
Définition complète
Le spear phishing, ou hameçonnage ciblé (on dit aussi harponnage), est une forme d’hameçonnage dirigée vers une personne ou une organisation précise. Il repose généralement sur une usurpation de l’identité de l’expéditeur et sur une ingénierie sociale poussée.
Contrairement au phishing de masse, envoyé à des milliers d’adresses, le message est préparé à partir d’informations réelles : noms des collègues, projets en cours, fournisseurs, organigramme publié sur le site ou les réseaux sociaux. Il vise souvent les personnes qui ont des accès ou des pouvoirs particuliers : dirigeants, comptables, RH, administrateurs informatiques.
L’objectif peut être de voler des identifiants, de faire ouvrir une pièce jointe piégée ou de préparer une fraude au virement. Selon le CERT-FR, des attaquants utilisent désormais des services d’IA générative pour produire du contenu d’hameçonnage et faire de la reconnaissance sur leurs cibles.
Source : ANSSI, CyberDico, NIST, glossaire du CSRC (spear phishing), CERT-FR, L’IA générative face aux attaques informatiques (2026)
Exemple concret
Le directeur administratif d’une ETI agroalimentaire a publié sur LinkedIn sa participation à un salon professionnel. Le lendemain, il reçoit un courriel au nom de l’organisateur du salon, avec son nom, le numéro de son stand et un lien pour « télécharger la liste des visiteurs ». La page lui demande de se connecter avec son compte Microsoft 365. Ses identifiants sont récupérés en direct.
Comment se protéger
- Former en priorité les profils les plus exposés (direction, finance, RH, informatique) avec des exemples réalistes et des exercices d’hameçonnage simulés.
- Limiter les informations publiques exploitables : organigramme détaillé, adresses nominatives, déplacements.
- Instaurer une règle simple : toute demande inhabituelle (paiement, identifiants, fichier sensible) se vérifie par un autre canal.
- Déployer une authentification multifacteur résistante à l’hameçonnage sur les comptes sensibles.
- Configurer SPF, DKIM et DMARC pour compliquer l’usurpation du domaine de l’entreprise.
- Faciliter le signalement d’un courriel suspect au service informatique ou au prestataire.
Questions fréquentes
Le phishing classique est envoyé en masse avec un message générique. Le spear phishing est préparé pour une cible précise, avec des détails réels qui le rendent crédible, ce qui le rend beaucoup plus difficile à repérer.
C’est un spear phishing qui vise spécifiquement les dirigeants, les « gros poissons », souvent pour obtenir un virement ou un accès à des informations stratégiques.
Termes liés
Phishing
Technique d'hameçonnage par email pour voler des données sensibles.
DMARC
Politique publiée dans le DNS qui indique quoi faire des courriels usurpant un domaine et fournit des rapports sur leur authentification.
Fraude au président (faux ordre de virement, FOVI)
Escroquerie où un fraudeur usurpe l’identité d’un dirigeant ou d’un fournisseur pour obtenir un virement urgent vers un compte frauduleux.
Hameçonnage assisté par IA
Hameçonnage dont les messages, faux sites ou faux profils sont produits ou personnalisés à l’aide d’IA générative pour être plus crédibles.
Vous avez besoin d'un expert en Spear phishing ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.