Phishing généré par IA : comment protéger les équipes marketing et commerciales des usurpations crédibles
Et c'est pas cool !
Le phishing ne repose plus sur des e-mails remplis de fautes, des logos approximatifs ou des scénarios faciles à identifier. L’intelligence artificielle permet aux attaquants de produire des messages plus fluides, plus personnalisés et mieux adaptés au vocabulaire de leur cible. Pour une équipe marketing ou commerciale, une attaque peut prendre la forme d’un faux brief client, d’une demande urgente de changement de RIB, d’un avertissement prétendument envoyé par Google Ads, Meta Ads ou un CMS, d’un export CRM demandé par un dirigeant ou d’un appel vocal imitant un fournisseur.
La meilleure défense ne consiste pas à demander aux collaborateurs de tout reconnaître à l’œil. Elle repose sur des contrôles qui ne dépendent pas uniquement de la vigilance : authentification multifacteur, comptes nominatifs, droits limités, validation hors canal, protection de messagerie et culture de signalement rapide sans culpabilisation.
Pourquoi le phishing généré par IA est plus crédible
L’IA réduit plusieurs signaux qui permettaient auparavant de repérer certains messages malveillants : fautes d’orthographe, traduction approximative, formulations incohérentes ou vocabulaire éloigné du métier ciblé. Un attaquant peut désormais produire rapidement un e-mail dans un français correct, adapté au ton d’une agence, d’un client, d’un dirigeant ou d’une plateforme.
L’IA peut aussi exploiter des informations disponibles publiquement : nom des collaborateurs, rôle, clients annoncés, outils utilisés, campagnes en cours, événements, partenaires, communiqués de presse ou publications sur les réseaux sociaux. Cette personnalisation donne l’impression qu’un message s’inscrit dans une relation réelle.
| Ancien réflexe | Pourquoi il devient insuffisant | Réflexe plus fiable |
|---|---|---|
| Repérer les fautes et formulations maladroites | Un message généré ou relu par IA peut être parfaitement rédigé | Vérifier l’identité, le domaine, le contexte et la procédure demandée |
| Faire confiance à un nom d’expéditeur connu | Un nom affiché peut être imité ou associé à une adresse frauduleuse | Examiner l’adresse complète et confirmer les demandes sensibles hors canal |
| Considérer un message urgent comme prioritaire | L’urgence est souvent utilisée pour empêcher une vérification | Ralentir, appliquer la procédure et faire valider par une seconde personne |
| Se fier à un logo ou une mise en page familière | Les visuels peuvent être copiés ou générés facilement | Accéder au service via un favori ou une adresse saisie manuellement |
| Vérifier uniquement l’e-mail | La fraude peut passer par SMS, QR code, appel vocal, messagerie instantanée ou vidéo | Utiliser un canal indépendant et connu pour toute action sensible |
Le message central est simple : la qualité rédactionnelle ne constitue plus un indicateur de confiance. L’identité vérifiée, le processus métier et la validation hors canal deviennent plus importants que l’apparence du message.
Les sept scénarios qui ciblent les équipes marketing et commerciales
Les attaquants adaptent leurs scénarios aux outils et aux responsabilités de leur cible. Les équipes marketing et commerciales sont particulièrement exposées parce qu’elles gèrent des accès à des CRM, des budgets publicitaires, des listes clients, des campagnes et des plateformes externes.
- Le faux changement de RIB : un fournisseur, une agence ou un prestataire demande de modifier ses coordonnées bancaires avant un paiement urgent.
- Le faux brief client : un message contient un lien vers un document prétendument partagé ou une pièce jointe liée à une campagne importante.
- Le faux avertissement de plateforme : un e-mail prétend venir de Google Ads, Meta, Microsoft, Shopify, WordPress ou d’un CMS et réclame une connexion immédiate.
- La fausse demande d’export CRM : un dirigeant ou un commercial demande de lui transmettre rapidement une liste de contacts ou un rapport de pipeline.
- L’usurpation d’agence ou de régie : un faux interlocuteur propose de résoudre un blocage de campagne, de modifier un moyen de paiement ou de rétablir un compte.
- Le deepfake vocal ou vidéo : un appel ou une réunion imite la voix ou l’image d’un dirigeant, d’un client ou d’un partenaire pour demander une action sensible.
- La fausse opportunité commerciale : un prospect prometteur envoie un document, un lien de signature ou une demande d’accès qui vise en réalité à obtenir des identifiants ou à déposer un logiciel malveillant.
Le faux avertissement Google Ads, Meta Ads ou CMS
Les équipes acquisition reçoivent régulièrement des alertes authentiques : problème de paiement, compte suspendu, non-conformité d’une annonce, demande de validation ou modification de politique. Cette familiarité rend les faux messages particulièrement efficaces.
Ne cliquez pas sur le lien d’un e-mail inattendu pour résoudre un problème de compte. Ouvrez directement la plateforme depuis un favori, l’adresse officielle connue ou l’application habituelle. Vérifiez dans l’interface si une alerte ou une notification identique apparaît réellement.
Le faux document partagé
Une demande de devis, un brief de campagne, un plan média ou un fichier créatif peut sembler légitime, surtout lorsqu’elle mentionne un client, un secteur ou un projet en cours. Avant d’ouvrir un lien ou de saisir vos identifiants, vérifiez que l’expéditeur est bien la personne attendue et que le document provient du canal habituel.
Une bonne pratique consiste à contacter le client ou partenaire à partir de ses coordonnées déjà connues dans le CRM ou le carnet d’adresses. Ne répondez pas simplement au message suspect : vous pourriez continuer à échanger avec l’attaquant.
Les réflexes de vérification qui ne reposent pas sur la mémoire
La sensibilisation est nécessaire, mais elle ne doit pas transformer chaque collaborateur en analyste sécurité isolé. Une entreprise doit mettre en place des règles simples, connues et applicables dans les situations sensibles.
- Vérifier l’adresse complète et le domaine de l’expéditeur, pas uniquement son nom affiché.
- Accéder aux plateformes critiques depuis des favoris ou URL connues, jamais depuis un lien inattendu.
- Confirmer un changement de RIB, de budget, de bénéficiaire ou de droits par un canal indépendant.
- Demander une seconde validation pour les paiements, exports CRM, modifications de compte et ajouts d’administrateur.
- Utiliser un gestionnaire de mots de passe afin d’éviter de saisir vos identifiants sur un site ressemblant au service réel.
- Activer le MFA sur les comptes e-mail, CRM, CMS, publicitaires, cloud et automatisations.
- Signaler immédiatement un message suspect, un clic ou une demande inhabituelle sans attendre d’avoir une preuve complète.
La CNIL recommande de vérifier les demandes sensibles par un canal différent de l’e-mail reçu. Cette règle s’applique particulièrement aux demandes urgentes de paiement, de partage de données, de changement de coordonnées bancaires ou de modification d’accès.
Une validation hors canal ne signifie pas rappeler le numéro indiqué dans l’e-mail. Utilisez un numéro déjà connu, une fiche fournisseur, votre CRM, un annuaire interne ou un contact enregistré avant l’incident.
Les défenses techniques à associer aux bons réflexes
Une équipe ne doit pas porter seule la responsabilité de déjouer des messages de plus en plus crédibles. Les contrôles techniques réduisent la portée d’une erreur humaine et permettent une réaction plus rapide lorsqu’un compte est ciblé.
| Défense | Ce qu’elle réduit | Limite à connaître |
|---|---|---|
| Authentification multifacteur | Le risque lié à un mot de passe volé ou réutilisé | Ne bloque pas tous les scénarios de phishing ou de session compromise |
| Gestionnaire de mots de passe | Réutilisation de mots de passe et saisie manuelle sur de faux sites | Doit être protégé et intégré à une procédure de récupération | Protection de messagerie | Liens, pièces jointes, domaines suspects et campagnes connues | Certains messages ciblés peuvent passer les filtres |
| DMARC, SPF et DKIM | Usurpation de votre propre domaine d’envoi | Ne protègent pas contre tous les domaines ressemblants ni les comptes légitimes compromis |
| Restrictions de droits | Impact d’un compte compromis | Les rôles doivent être revus régulièrement pour rester efficaces |
| Journaux d’audit | Détection d’exports, de connexions et de changements anormaux | Ils doivent être activés, consultés et associés à une procédure de réponse |
| Double validation | Fraude aux paiements, changements de RIB et actions sensibles | La règle doit rester applicable même en cas d’urgence |
Pour renforcer la protection des actifs marketing, consultez notre guide sur la sécurisation des CRM, campagnes publicitaires et outils marketing. Il détaille les comptes à privilèges, les accès prestataires, les audits trimestriels et les actions à mener lorsqu’un compte est compromis.
Comment l’IA peut aider à se défendre, sans devenir un arbitre autonome
L’IA peut assister les équipes de sécurité en analysant des volumes importants d’e-mails, de journaux ou de rapports. Elle peut notamment détecter des signaux de fraude, résumer un message suspect, identifier une demande inhabituelle ou préparer une liste de vérifications.
Elle peut aussi contribuer à la formation en générant des simulations réalistes adaptées aux métiers marketing et commerciaux : faux brief, faux message de régie, fausse demande de devis ou tentative d’usurpation de dirigeant. Ces exercices doivent rester encadrés, proportionnés et orientés vers l’apprentissage, non vers la sanction ou l’humiliation.
Une IA de détection peut toutefois produire des faux positifs et des faux négatifs. Elle ne doit pas supprimer seule un e-mail critique, désactiver un compte, bloquer une campagne ou conclure qu’un collaborateur a commis une faute. Utilisez-la comme une aide à l’analyse et conservez une validation humaine pour les actions importantes.
Pour comprendre comment l’IA peut assister la détection, le tri d’alertes et la réponse à incident, consultez notre guide sur l’IA et la cybersécurité pour les PME.
Vous avez cliqué ou saisi vos identifiants : que faire immédiatement ?
Un clic ou une saisie d’identifiants ne doit pas être caché par peur d’être blâmé. Plus le signalement est rapide, plus l’entreprise peut révoquer une session, modifier un secret, contrôler les actions réalisées et limiter l’impact.
- Signalez immédiatement l’événement. Prévenez le référent IT, sécurité, direction ou prestataire selon la procédure interne.
- Ne supprimez pas l’e-mail ni les éléments utiles. Conservez le message, l’adresse de l’expéditeur, le lien, la pièce jointe et l’heure approximative de l’action.
- Déconnectez les sessions lorsque la procédure le prévoit. L’équipe compétente peut révoquer les sessions actives et vérifier les appareils connectés.
- Changez les secrets concernés. Cela peut inclure le mot de passe, les mots de passe applicatifs, les tokens, les clés API ou les webhooks associés.
- Vérifiez les changements récents. Contrôlez les règles de transfert de messagerie, nouveaux administrateurs, exports CRM, campagnes créées, modifications de budget et connexions inhabituelles.
- Examinez les outils liés. Si la messagerie est concernée, vérifiez les réinitialisations de mots de passe possibles sur CRM, publicités, CMS et automatisations.
- Documentez les faits confirmés. Distinguez ce qui est observé, ce qui est suspecté et ce qui reste à investiguer.
La CNIL alerte notamment sur les escroqueries qui visent des personnes déjà touchées par une violation de données. Ces campagnes peuvent demander des informations complémentaires ou inviter à cliquer sur un lien sous prétexte de supprimer les données diffusées. La règle reste la même : ne répondez pas, ne cliquez pas et utilisez les canaux officiels connus pour vérifier une information.
Former les équipes sans les culpabiliser
Un collaborateur qui signale rapidement un clic est une ressource pour l’entreprise. Un collaborateur qui a peur d’être sanctionné peut attendre, supprimer le message ou tenter de résoudre seul le problème. Cette réaction augmente le risque.
Une culture de signalement utile
- Créer un canal simple pour signaler un e-mail, SMS, appel ou QR code suspect.
- Répondre rapidement au signalement, même lorsque le message est finalement légitime.
- Expliquer les scénarios ciblant réellement le marketing, la vente et la finance.
- Organiser des simulations proportionnées et pédagogiques.
- Valoriser le signalement rapide plutôt que la détection parfaite.
- Mettre à jour les procédures après chaque incident ou tentative observée.
Les équipes marketing et commerciales doivent être particulièrement formées aux demandes qui paraissent urgentes, valorisantes ou liées à une opportunité : accès à un compte, lancement de campagne, offre commerciale, budget, fichier client, partenariat, changement de prestataire ou message d’un dirigeant.
Questions fréquentes
Quelle différence entre phishing et spear phishing ?
Une IA peut-elle reconnaître tous les e-mails malveillants ?
Un appel vocal ou une réunion vidéo peut-il être falsifié ?
Faut-il bloquer toutes les pièces jointes reçues par e-mail ?
Que faire si un e-mail semble venir de Google, Meta ou Microsoft ?
Comment former les commerciaux au phishing sans les culpabiliser ?
Le phishing généré par IA ne rend pas les équipes impuissantes. Il rend simplement insuffisants les anciens réflexes fondés sur les fautes d’orthographe ou l’apparence du message. La défense doit reposer sur l’identité vérifiée, les procédures de validation hors canal, le MFA, les droits limités, les journaux d’audit et une culture où signaler un doute est toujours préférable à agir dans l’urgence.
Commencez par identifier les scénarios qui touchent réellement vos équipes : demande de paiement, compte publicitaire, faux brief, export CRM, changement de RIB ou message de plateforme. Formalisez ensuite une règle simple : aucune action sensible ne doit reposer sur un seul e-mail, un seul SMS, un seul appel ou une seule réunion vidéo.
Explorer les analyses sur la sécurité numériqueSources et pour aller plus loin
- CNIL — Les attaques sur les messageries : phishing, spear phishing, vérification hors canal et contrôles à mettre en place après une compromission.
- CNIL — Victimes de violations de données : restez vigilants face aux nouvelles tentatives de fraude : exemple de phishing ciblant des personnes déjà touchées par une violation de données.
- CNIL — Attaque par credential stuffing sur un site web : authentification multifacteur, limitation de tentatives et organisation de la réponse à incident.
- CNIL — Sécurité des données : les règles essentielles : gestionnaire de mots de passe, double authentification, sauvegardes et sensibilisation.
- IA & Marketing — Sécuriser CRM, campagnes publicitaires et outils marketing : guide complémentaire sur les comptes sensibles, les droits, les prestataires et les accès marketing.
- IA & Marketing — IA et cybersécurité : protéger une PME : usages réalistes de l’IA défensive, sécurité des agents et limites de l’automatisation.
