Vishing dopé à l’IA : une nouvelle menace pour les entreprises
La voix d’un dirigeant, d’un collègue ou d’un technicien peut désormais être imitée en quelques secondes. Face à ce nouveau piège dopé à l’IA, les organisations doivent revoir sans attendre leurs réflexes de confiance et leurs procédures les plus sensibles.
Pendant des décennies, la voix humaine a constitué un pilier de l’authentification, offrant un niveau de confiance et de fiabilité que les systèmes numériques ne pouvaient souvent pas garantir. Alors que les filtres de messagerie, les passerelles web sécurisées et l’authentification multifacteur (MFA) protégeaient les périmètres numériques, un simple appel téléphonique représentait la dernière étape de vérification fiable dans les processus de décision des organisations. Entendre une voix familière ou celle d’un dirigeant au téléphone suffisait généralement à donner le feu vert.
Cependant, avec l’essor du vishing (hameçonnage vocal), cet appel téléphonique ne peut plus être considéré comme une preuve de confiance. Ce qui n’était autrefois qu’un vecteur d’attaque marginal, exploité par des cybercriminels à l’aide de scripts préétablis, s’est transformé en une menace sophistiquée et évolutive pour les entreprises. Le vishing est aujourd’hui devenu l’un des principaux vecteurs de compromission, d’extorsion et de déploiement de rançongiciels au sein des grandes organisations internationales.
Selon le rapport M-Trends 2026 de Mandiant, les attaques de vishing interactif sont devenues le deuxième vecteur d’infection initiale le plus fréquemment observé, dépassant désormais le phishing par e-mail. Cette progression s’explique principalement par la démocratisation des technologies de clonage vocal reposant sur l’IA. Les cybercriminels n’ont plus besoin de longues heures d’enregistrements réalisés en studio pour reproduire la voix d’une cible. Les modèles d’IA actuels peuvent générer un clone vocal extrêmement réaliste à partir de seulement 30 secondes d’un enregistrement de bonne qualité, facilement récupéré lors de webinaires publics, de podcasts ou de présentations vidéo.
Les équipes de support informatique, souvent recrutées pour résoudre rapidement les problèmes des utilisateurs, sont des cibles privilégiées pour les techniques d’ingénierie sociale. Par exemple, lors de l’attaque par rançongiciel contre MGM Resorts, des cybercriminels ont usurpé l’identité d’un employé de l’entreprise pour convaincre le support informatique de créer de nouveaux identifiants, entraînant des pertes opérationnelles de plusieurs millions de dollars.
De plus, les deepfakes vocaux ciblent les dirigeants, augmentant les gains potentiels pour les attaquants. Au début de l’année 2026, le groupe ShinyHunters a mené une campagne de vishing contre Charter Communications, aboutissant à un accès non autorisé aux données de près de 42 millions de clients.
Les solutions traditionnelles de sécurité ne suffisent plus. Les organisations doivent faire évoluer leurs processus et renforcer leur sécurité, notamment en imposant des procédures de vérification strictes et en modernisant leurs programmes de sensibilisation à la cybersécurité. Avec la montée en puissance de ces outils de génération vocale, les campagnes de vishing alimentées par l’IA continueront de croître en fréquence et en sophistication.
Pour protéger leurs infrastructures critiques et leurs données sensibles, les responsables de la cybersécurité doivent accepter qu’il n’est plus possible de faire confiance uniquement à la voix humaine.
Source : M-Trends 2026 de Mandiant
