Pendant longtemps, les tentatives de phishing les plus grossières se repéraient à leurs fautes, leurs traductions maladroites ou leurs formulations étranges. Ce repère devient moins fiable.
Les outils d’intelligence artificielle générative peuvent produire en quelques secondes un e-mail professionnel, une annonce de recrutement, une page commerciale ou un faux profil. Ils peuvent adapter le ton, traduire le contenu et personnaliser le message.
ChatGPT et les autres assistants ne piratent pas automatiquement un compte. Ils réduisent surtout le temps, le coût et les compétences nécessaires pour préparer des attaques convaincantes.
L’IA ne réinvente donc pas la cybercriminalité. Elle améliore surtout la présentation, la vitesse et l’échelle de méthodes déjà connues.
Des messages de phishing mieux écrits
Un fraudeur peut générer un message ressemblant à une notification bancaire, à un avis de livraison ou à une communication du service informatique. Il peut demander un ton plus formel, plus rassurant ou plus urgent, puis adapter le même scénario à plusieurs marques et plusieurs pays.
Cette capacité réduit les fautes et les traductions approximatives qui permettaient autrefois de repérer certaines campagnes.
Un message frauduleux peut désormais respecter les codes professionnels et présenter une demande plausible.
L’absence de fautes n’est donc plus un indicateur de sécurité. Il faut vérifier l’expéditeur, le domaine du site, le contexte et l’action attendue.
Un phishing personnalisé à grande échelle
Le phishing ciblé existait avant l’IA, mais il demandait davantage de travail manuel. À partir d’informations publiques trouvées sur un site d’entreprise, un réseau professionnel ou un communiqué, une IA peut désormais aider à construire un message adapté à un poste précis.
Un responsable financier peut recevoir une fausse demande de paiement. Un salarié des ressources humaines peut être contacté au sujet d’un CV. Un dirigeant peut être sollicité au nom d’un partenaire réel.
Le message paraît crédible parce qu’il contient des informations exactes. Mais le nom d’un collègue, d’un fournisseur ou d’un projet ne prouve rien : ces données peuvent être publiques ou provenir d’une fuite.
Le véritable changement réside dans l’échelle. Les criminels peuvent produire rapidement de nombreuses variantes au lieu de rédiger chaque message manuellement.
De faux sites plus rapides à produire
Un faux site crédible peut inclure une page d’accueil, une FAQ, des descriptions de produits, des conditions générales et un faux service client.
Les IA génératives peuvent accélérer la rédaction, la traduction et l’organisation de ces contenus. Elles ne réalisent cependant pas toute l’attaque : le fraudeur doit encore enregistrer un domaine, héberger le site, attirer les victimes et récupérer les données saisies.
Lorsqu’une adresse est bloquée, le site peut être recréé avec un autre nom, une nouvelle apparence ou une autre langue.
Une présentation professionnelle, un cadenas dans le navigateur et des textes sans faute ne suffisent donc pas à authentifier un site.
Faux CV et fraudes au recrutement
Les outils génératifs peuvent produire des CV, lettres de motivation et profils professionnels très convaincants.
Cet usage n’est pas frauduleux en soi. Le problème apparaît lorsque l’IA sert à inventer des expériences, usurper une identité ou construire un profil destiné à infiltrer une organisation.
Un faux candidat peut adapter rapidement son CV à chaque offre, reprendre les mots-clés de l’annonce et préparer ses réponses. Il peut chercher à obtenir un poste à distance, accéder à des données internes ou recevoir du matériel appartenant à l’entreprise.
La fraude fonctionne aussi dans l’autre sens. Un faux recruteur peut publier une offre attractive, organiser un entretien puis demander au candidat des documents personnels, des coordonnées bancaires ou le paiement de prétendus frais.
L’IA améliore la cohérence de l’annonce, des messages, du contrat et du faux site.
Employeurs et candidats doivent vérifier l’existence réelle de l’organisation et l’identité des interlocuteurs.
Une usurpation d’identité plus crédible
Une IA peut aider à reproduire le style d’écriture d’une personne à partir de contenus publics. D’autres outils peuvent créer un portrait fictif, modifier une voix ou produire un enregistrement ressemblant à celle d’un dirigeant, d’un conseiller ou d’un proche.
Dans les attaques les plus élaborées, plusieurs éléments sont combinés : e-mail crédible, faux profil, photographie artificielle, document contrefait et appel téléphonique.
Une voix familière ou un visage en visioconférence ne doivent donc plus être considérés comme des preuves absolues, surtout lorsqu’une demande concerne de l’argent, des identifiants ou des données sensibles.
Les assistants génératifs peuvent aussi aider l’escroc à répondre aux objections. Cette fluidité crée une impression de compétence, mais ne prouve rien sur son identité.
Pour une opération importante, il faut vérifier par un canal indépendant : rappeler un numéro déjà connu, contacter directement la personne ou utiliser une procédure interne.
Des données volées mieux exploitées
Les cybercriminels disposent parfois de coordonnées, d’anciens mots de passe, de documents ou d’historiques de conversations. L’IA peut les aider à trier ces informations et à préparer des approches plus ciblées.
Une personne ayant récemment acheté un logement peut recevoir une fausse facture liée à des travaux. Un salarié cité dans un communiqué peut être contacté au sujet d’un projet réel.
L’attaque devient crédible non parce que l’IA connaît naturellement la victime, mais parce qu’elle permet d’exploiter plus efficacement des données déjà accessibles ou volées.
La connaissance de votre nom, de votre adresse ou de votre date de naissance ne constitue donc pas une preuve d’identité.
Ce que l’IA ne change pas
Malgré l’amélioration des contenus, les objectifs restent les mêmes.
L’attaquant cherche à vous faire ouvrir un lien, saisir un mot de passe, communiquer un code, installer une application, autoriser un accès à distance, valider un paiement ou transmettre des documents.
L’IA rend la demande plus convaincante, mais elle ne supprime pas la nécessité d’une action de la victime.
Une demande urgente doit être vérifiée par un second canal. Une page de connexion doit être ouverte depuis le site ou l’application officielle. Un changement de coordonnées bancaires doit être confirmé directement auprès du bénéficiaire.
Chercher à savoir si un message a été écrit par une IA est rarement la meilleure défense. Les détecteurs peuvent se tromper, et l’origine du texte ne répond pas à la question essentielle. Un message humain peut être frauduleux, tandis qu’un texte généré par une IA peut être légitime.
La sécurité doit donc porter sur le comportement demandé, l’identité de l’interlocuteur et le canal utilisé.
Comment se protéger ?
L’absence de fautes, la présence d’un logo, une photographie réaliste ou la connaissance d’informations personnelles ne garantissent rien.
Pour les comptes importants, une passkey ou une clé de sécurité réduit fortement le risque de vol d’identifiants par phishing.
Dans les entreprises, les paiements, changements de coordonnées bancaires et demandes sensibles doivent être confirmés par une procédure indépendante du message initial.
Il faut aussi limiter les informations publiques inutiles. Les organigrammes détaillés, noms de projets et coordonnées directes facilitent la personnalisation des attaques.
Enfin, toute demande créant une urgence exceptionnelle doit déclencher le réflexe inverse : ralentir, vérifier et changer de canal.
Le véritable changement : l’industrialisation de la crédibilité
Les IA génératives n’ont pas inventé le phishing, les faux sites ou l’usurpation d’identité.
Elles permettent surtout de produire plus vite des contenus de meilleure qualité, de les traduire et de les adapter à davantage de victimes.
Le danger ne réside donc pas seulement dans un faux message parfaitement écrit. Il se trouve dans la multiplication de campagnes plausibles, disponibles dans plusieurs langues et ajustées à chaque contexte.
Face à cette évolution, les anciens indices visuels deviennent moins fiables.
La meilleure défense consiste à ne plus juger un message sur son apparence, mais sur l’action qu’il cherche à provoquer.
Lorsqu’un interlocuteur réclame un mot de passe, un code, un paiement ou une action urgente, la question essentielle est la suivante :
Puis-je vérifier cette demande par un moyen que l’expéditeur ne contrôle pas ?
