Quand le phishing généré par IA atteint un taux de clic de 54 %, sécuriser les identités n’est plus option !
Le phishing (hameçonnage) a fonctionné pendant des années pour une raison simple : il exploite le maillon le plus faible : l’utilisateur. La stratégie de défense qui lui est opposée a suivi la même formule : un meilleur filtrage des e-mails, davantage de sensibilisation des utilisateurs, et une couche d’authentification supplémentaire. Ce n’était pas parfait, mais c’était un équilibre viable. Cet équilibre est aujourd’hui rompu.
En effet, le phishing généré par IA ne se contente pas de croître, il devient bien plus convaincant. Selon le Microsoft Digital Defense Report 2025, les campagnes de phishing générées par IA atteignent un taux de clic de 54 % ! Contre seulement 12 % pour les campagnes traditionnelles. Ce que les attaquants recherchent avec ce clic, c’est un identifiant valide. Selon le rapport M-Trends 2025 de Mandiant, les identifiants volés sont devenus le deuxième vecteur d’accès initial le plus courant en 2024, représentant 16 % de toutes les intrusions — le niveau le plus élevé jamais enregistré.
Les dernières cyberattaques contre des administrations telles que la DGFIP et le Ministère de l’Éducation Nationale illustrent cette chasse à l’identifiant et ses conséquences graves. Derrière cette tendance se trouve la montée des infostealers, des logiciels malveillants spécifiquement conçus pour voler les identifiants stockés sur les appareils des utilisateurs. Ces deux tendances soulignent le fait que les attaquants ciblent les identifiants, tandis que les utilisateurs ont de plus en plus de mal à distinguer les e-mails légitimes des e-mails malveillants.
Pour les fournisseurs de services managés (MSP) veillant à protéger les activités des organisations, cela devient un problème majeur. Le grand changement ne réside pas dans le volume des attaques de phishing, mais dans la qualité de la tromperie. L’IA a fait disparaître de nombreux signaux d’alerte qui permettaient autrefois de repérer plus facilement ces tentatives. Les e-mails de phishing d’aujourd’hui sont soignés, personnalisés et adaptés au contexte du destinataire, rendant leur détection plus complexe.
Une enquête récente révèle que 91 % des organisations se disent préoccupées par les cyberattaques boostées par l’IA. Cela indique un besoin croissant pour les clients des MSP d’attendre que leur prestataire prenne les devants dans ce domaine.
L’e-mail parfaitement conçu n’est pas l’objectif de l’attaquant ; il représente simplement un vecteur de livraison. Ce qu’il recherche, c’est un identifiant valide, car se connecter avec un nom d’utilisateur et un mot de passe légitimes est l’un des moyens les plus discrets de compromettre une organisation. Une fois que les attaquants accèdent au système en utilisant un compte légitime, leur activité éveille souvent peu de soupçons, ce qui complique davantage la détection.
Pour les MSP, cela change le point de départ de la sécurité. Ils ne peuvent plus présumer qu’ils réussiront à stopper les intrusions avant qu’elles ne se produisent. Les données montrent qu’environ 32 % des organisations estiment être constamment exposées aux attaques de phishing et de compromission d’e-mails professionnels (BEC). La stratégie de sécurité doit donc évoluer pour limiter l’impact lorsque ces compromissions se produisent inévitablement.
Protéger l’identité est devenu la première ligne de défense. L’authentification multifacteur (MFA) reste un socle essentiel, mais elle présente des angles morts. Les passkeys, en tant que méthode d’authentification sans mot de passe, réduisent ces vulnérabilités. Elles permettent aux utilisateurs de s’authentifier de manière sécurisée, tout en s’appuyant sur un identifiant cryptographique lié au site légitime.
Il ne s’agit pas simplement d’un élément supplémentaire à cocher sur une liste de cybersécurité. Lorsque le contrôle des accès devient le point central de la sécurité, le prestataire qui gère les identités des clients protège la couche la plus critique des défenses de l’organisation.
Source : Microsoft Digital Defense Report 2025, M-Trends 2025 de Mandiant
