Phishing, deepfakes et faux messages d’urgence : simuler une population prise pour cible
par Jean Langlois-Berthelot et Marc-Olivier Boisset
Le phishing, le vishing, les deepfakes et les faux messages d’urgence représentent une menace croissante dans le domaine de la cybersécurité. Ces techniques ne sont plus limitées à des fautes grossières ou des promesses extravagantes. Elles utilisent un vocabulaire professionnel, des noms d’autorité et des contextes d’incidents réels pour tromper les individus.
L’attaque n’a pas besoin de convaincre l’ensemble de la population, mais doit cibler un petit groupe dont la réaction peut ouvrir un accès, déclencher un paiement ou saturer un service. Ces attaques forment un système d’expérimentation hostile appliqué aux comportements humains.
L’ingénierie sociale devient une industrie adaptative
Le rapport 2025 de l’ENISA recense près de 4 900 incidents observés entre juillet 2024 et juin 2025. Dans les cas où le vecteur initial est identifié, le phishing représente 60 % des intrusions. L’agence met également en avant la montée des plateformes de phishing-as-a-service, qui permettent de préparer des pages frauduleuses et d’envoyer des messages sans expertise technique avancée.
L’intelligence artificielle générative ajoute une nouvelle dimension à cette menace. Europol note que les modèles de langage améliorent l’efficacité de l’ingénierie sociale en personnalisant la communication et en automatisant certains processus criminels. Cela permet de produire rapidement des versions adaptées à différents secteurs et de maintenir la conversation après la première réponse.
Le CERT-FR, en février 2026, a observé que l’ANSSI n’a pas encore connu de cyberattaque entièrement autonome menée par une IA, mais l’utilisation croissante de l’IA générative comme facilitateur est notée, notamment pour la production de contenus d’hameçonnage et la création de faux profils.
Les pertes économiques liées à ces fraudes sont significatives. Selon le FBI, les fraudes au président et les compromissions de messageries professionnelles ont engendré 305 033 incidents déclarés et environ 55,5 milliards de dollars de pertes entre octobre 2013 et décembre 2023. Pour 2025, le centre IC3 a reçu plus d’un million de plaintes pour un total de pertes de 20,9 milliards de dollars, dont près de 3,05 milliards de dollars attribués aux compromissions de messagerie professionnelle.
La population n’est pas homogène, l’attaque ne doit plus l’être
Les politiques de sensibilisation doivent reconnaître qu’il n’existe pas d’utilisateur moyen. Chaque individu, qu’il soit comptable, soignant ou étudiant, possède des habitudes, des contraintes et des raisons de faire confiance qui lui sont propres. L’attaquant peut exploiter ces différences en invoquant l’urgence ou l’autorité, transformant ainsi le contexte en justification de l’action attendue.
Les faux messages d’urgence, quant à eux, peuvent entraîner des milliers de personnes vers des pages frauduleuses ou détourner les usagers des canaux officiels au moment où ils en ont le plus besoin. Une attaque technique réelle peut fournir le contexte idéal pour ces manœuvres.
Construire un cyber range humain
Pour mieux comprendre et anticiper ces attaques, il est proposé de créer un « cyber range humain », où une population synthétique reçoit plusieurs variantes d’une même attaque. Ce dispositif permet d’observer les réactions et d’adapter les stratégies d’attaque en fonction des réponses des cibles.
Cette approche nécessite également une évaluation des défenses dans un environnement où l’adversaire réagit. L’objectif est de mer des indicateurs tels que le délai avant le premier signalement ou la vitesse de propagation interne des menaces.
Dans un contexte où la cybersécurité devient de plus en plus complexe, il est crucial de développer des mécanismes de confiance vérifiables et de soumettre ces systèmes à l’épreuve avant qu’une crise ne se produise.
Les résultats de cette recherche et des simulations pourront fournir des insights précieux pour renforcer la sécurité et minimiser les impacts de telles attaques sur les individus et les organisations.
Source : Article original de Jean Langlois-Berthelot et Marc-Olivier Boisset.
