Hong Kong, février 2024 : un employé transfère 25 millions de dollars après une réunion Zoom avec de faux dirigeants de son entreprise, tous simulés par deepfake vidéo. Personne ne s'est méfié car les visages étaient reconnaissables.
Menace IA nouvelle génération
Phishing IA et deepfakes : les défenses classiques ne suffisent plus
L'IA permet désormais de créer des emails sans faute, des appels imitant votre DG et des vidéos convaincantes lors de réunions Teams ou Zoom. Les collaborateurs les mieux formés peuvent se faire piéger.
En 2024, une entreprise de Hong Kong a perdu 25 millions de dollars après un appel vidéo deepfake avec de faux dirigeants. Ce scénario est désormais accessible à des groupes criminels disposant d'un budget modeste. Voici comment comprendre et contrer ces nouvelles attaques.
Formation anti-phishing IA Parler à un expertChiffres clés 2024-2025
+3×
Taux de clic sur emails phishing IA vs emails traditionnels (IBM)
30 s
Audio suffisant pour cloner une voix avec les outils actuels
70%
Taux de tromperie des deepfakes vocaux selon les études
25M$
Volés en une heure via deepfake vidéo (affaire Hong Kong, 2024)
0
Antivirus ou antispam ne détecte un email IA à 100%
Ce que l'IA a changé dans le phishing
Cinq ruptures technologiques qui rendent les attaques d'ingénierie sociale radicalement plus efficaces.
4 attaques documentées en 2024-2025
Des cas réels qui illustrent l'évolution rapide de ces menaces.
01Fraude au président deepfake vidéo
02Email GPT-4 : taux de clic x3
Une étude IBM 2024 compare des emails de phishing rédigés par des humains et par GPT-4 sur les mêmes cibles. Les emails IA obtiennent un taux de clic 3 fois supérieur, notamment grâce à la personnalisation contextuelle automatique.
03Clonage vocal de CEO
11 secondes d'audio d'un dirigeant extraites d'une interview YouTube ont suffi à générer un appel vocal convaincant demandant un virement d'urgence à la directrice financière. Le ton, le rythme et les tics de langage étaient reproduits.
04QR code dans PDF : bypass des filtres
Campagne massive mi-2024 : faux emails de renouvellement Microsoft 365 contenant un PDF avec un QR code pointant vers une page de phishing hébergée sur Azure (domaine légitme Microsoft). Taux de contournement des gateways : très élevé.
Pourquoi les défenses classiques échouent
Les outils et méthodes de formation conçus pour le phishing d'avant l'IA ont des angles morts critiques face aux nouvelles attaques.
Ce n'est pas un manque de budget ou d'attention. C'est une rupture technologique qui nécessite de repenser les approches de défense de fond en comble.
Antispam basé sur signatures
Ces outils reconnaissent les menaces déjà connues. Un email généré à la demande par IA est, par définition, unique - il ne correspond à aucune signature existante.
La formation "cherchez les fautes"
Cette approche était pertinente il y a 5 ans. Aujourd'hui, l'IA produit des emails stylistiquement irréprochables. Former les collaborateurs à cette détection leur donne une fausse confiance.
SPF / DKIM / DMARC
Ces protocoles d'authentification email sont utiles mais ne bloquent pas le spear phishing envoyé depuis de vrais domaines légitimes compromis ou depuis des domaines sosies enregistrés légalement.
Antivirus traditionnel
Un email textuel parfaitement rédigé ne contient aucun fichier malveillant détectable. L'attaque repose sur la manipulation humaine, pas sur du code malicieux - les antivirus sont aveugles à cette dimension.
Les défenses adaptées à la menace IA
Une combinaison de technologies et de procédures organisationnelles - les unes sans les autres sont insuffisantes.
Questions fréquentes
Comment détecter un email généré par IA ?
La détection par la forme est désormais obsolète. Concentrez-vous sur le contexte : la demande est-elle normale ? Le canal habituel ? Toute urgence autour d'un virement ou d'un accès doit déclencher une vérification téléphonique sur un numéro connu - pas celui fourni dans le message.
Un deepfake vocal est-il vraiment convaincant ?
Oui. Le taux de tromperie dépasse 70% même pour des auditeurs entraînés. 30 secondes d'audio suffisent aux outils actuels. Des entreprises ont viré plusieurs millions sur la base d'un appel vocal deepfake imitant leur dirigeant.
Les filtres antispam détectent-ils les emails IA ?
Les solutions ATP avancées détectent certains comportements suspects, mais aucune ne bloque 100% des emails générés par IA. La défense en profondeur (filtrage + simulation + procédures hors-bande) reste indispensable.
Quelle formation prévoir pour les équipes contre le phishing IA ?
Les formations classiques sur la détection des fautes sont dépassées. Il faut des simulations de phishing réalistes générées par IA sur le contexte réel des collaborateurs, complétées par des procédures opérationnelles claires pour les actions sensibles.
Formez vos équipes avant que l'IA ne les piège
Evoir déploie des campagnes de simulation de phishing IA et des formations adaptées aux PME parisiennes. Une session suffit pour transformer la vigilance de vos collaborateurs.