En 2025, le phishing n’est plus une arnaque grossière envoyée en masse. C’est une attaque chirurgicale, personnalisée, souvent indiscernable d’une vraie communication. Les PME françaises sont en première ligne : selon l’ANSSI, 60 % des cyberattaques signalées en 2024 commençaient par un e-mail frauduleux. Voici ce que vous devez savoir pour protéger votre organisation.
1. Le spear phishing dopé à l’IA générative
Les attaquants n’envoient plus des milliers d’e-mails génériques. Ils ciblent une personne précise, souvent un comptable, un DRH ou un dirigeant, en exploitant les données disponibles en ligne : LinkedIn, site web de l’entreprise, réseaux sociaux. Notre article sur les nouvelles fraudes BEC ciblant les dirigeants détaille ces techniques de pointe
Grâce aux modèles de langage (LLM), ils génèrent des messages parfaitement rédigés en français, adaptés au contexte de la victime. Le message mentionne un projet réel, un collègue par son prénom, une échéance précise. Résultat : les filtres antispam ne les détectent pas et les destinataires baissent leur garde.
Face aux liens malveillants de plus en plus indétectables, la Remote Browser Isolation, proposée en France par VirtualBrowser, neutralise la menace en exécutant la page à distance et en ne renvoyant qu’une image à l’utilisateur.
Exemple concret : Un faux e-mail du PDG à la comptable, rédigé avec le style exact du dirigeant (analysé depuis ses anciens e-mails), demandant un virement urgent vers un fournisseur inconnu. C’est la « fraude au président » version 2025.
2. Le vishing et les deepfakes vocaux
Le vishing (voice phishing) a franchi un cap technologique. Avec seulement quelques minutes d’audio, récupérées sur YouTube, un podcast ou une vidéo d’entreprise, les attaquants clonent la voix d’un dirigeant ou d’un partenaire de confiance.
Un appel téléphonique avec la voix synthétisée de votre directeur financier peut convaincre un collaborateur de divulguer des identifiants, d’effectuer un paiement ou d’ouvrir un accès VPN. Ces attaques sont en hausse de 300 % en Europe selon les données de Proofpoint 2024.
Signaux d’alerte
- Urgence inhabituelle dans le ton
- Demande de confidentialité stricte
- Légères déformations dans la voix
- Numéro inconnu ou masqué
- Demande hors procédure habituelle
Réflexes à adopter
- Raccrocher et rappeler sur le numéro officiel
- Vérifier via un canal différent (SMS, messagerie interne)
- Appliquer le protocole « double validation » pour les paiements
- Ne jamais agir dans l’urgence imposée
3. Le quishing : le phishing par QR code
Le quishing (QR code phishing) contourne les filtres e-mail en remplaçant les liens cliquables par des QR codes intégrés dans les pièces jointes PDF ou directement dans le corps du message. Les solutions de sécurité e-mail classiques ne « lisent » pas les QR codes ; l’attaque passe donc inaperçue.
La victime scanne le code avec son smartphone (généralement moins protégé que son PC professionnel) et atterrit sur une fausse page de connexion Microsoft 365, Google Workspace ou une interface bancaire.
4. L’attaque « adversary-in-the-middle » (AiTM)
Cette technique avancée permet de contourner l’authentification à deux facteurs (2FA). Un serveur proxy malveillant se place entre la victime et le vrai site (ex. : votre espace Microsoft 365). Il transmet en temps réel les identifiants ET le code 2FA, permettant à l’attaquant de voler la session active.
La protection ? Les clés de sécurité physiques FIDO2 (comme YubiKey) sont la seule défense efficace contre AiTM, car elles vérifient l’origine du site lors de l’authentification.
5. Comment protéger votre PME concrètement
- Simulez des attaques de phishing en interne avec des outils comme Gophish ou GoPhish pour mesurer la résistance réelle de vos équipes.
- Activez le DMARC, DKIM et SPF sur votre domaine e-mail pour empêcher l’usurpation de votre nom de domaine.
- Déployez des clés FIDO2 pour les comptes critiques (finance, RH, direction, IT).
- Établissez des procédures de vérification pour tout virement ou accès inhabituel, indépendamment de qui en fait la demande.
- Formez régulièrement vos équipes ; pas une fois par an, mais trimestriellement, avec des exemples concrets et actualisés.
Checklist Cybersécurité PME – Gratuit
29 actions prioritaires pour protéger votre PME.
PDF à imprimer · Conformité RGPD & NIS2
Gratuit · Désabonnement en 1 clic
Votre PME est-elle prête à faire face au phishing de nouvelle génération ? Consultez notre guide complet de cybersécurité pour PME ou découvrez nos recommandations d’outils pour renforcer votre posture de sécurité dès aujourd’hui.
Et pour une vision complète des technologies IA au service de la cybersécurité de votre entreprise, consultez notre panorama des technologies IA pour la cybersécurité des PME en 2026.
