Phishing, deepfakes, arnaques : comment l’IA a changé la donne côté attaquants

Pendant des années, on nous a appris à repérer les arnaques en ligne grâce à leurs maladresses : fautes d’orthographe grossières, tournures approximatives, logos pixelisés. Ces repères ont vécu. Avec l’intelligence artificielle générative, les cybercriminels produisent désormais des messages parfaitement rédigés, personnalisés et crédibles, par milliers, en quelques heures, pour un coût quasi nul.

Le résultat : les attaques ne sont pas seulement plus nombreuses, elles sont surtout beaucoup plus efficaces. Voici concrètement ce qui a changé, et comment adapter vos réflexes de défense.

Le phishing a perdu ses défauts… et gagné en précision

Des messages sans fautes, dans un contexte crédible

Le premier changement est le plus visible : l’e-mail frauduleux ne « sent » plus l’arnaque. Rédaction impeccable dans n’importe quelle langue, ton adapté à l’expéditeur imité, charte graphique reproduite au pixel près. Les indices visuels sur lesquels nous nous reposions tous ont disparu, et les filtres anti-spam classiques, entraînés à repérer ces mêmes défauts, peinent autant que nous.

Le phishing ciblé, désormais produit à la chaîne

Avant, un attaquant devait choisir : arroser large avec des messages génériques, ou cibler finement une victime après des heures de recherche. L’IA a supprimé ce dilemme. Des outils automatisés parcourent les réseaux sociaux et les actualités d’entreprise pour construire des messages sur mesure (le bon prénom, le bon projet en cours, le bon prétexte), puis les envoient à des milliers de cibles simultanément, chacune recevant sa version personnalisée.

Exemple typique : vous annoncez une réussite professionnelle sur LinkedIn, et vous recevez le lendemain un message de « votre direction » vous en félicitant, avec un lien vers un prétendu document RH… qui mène vers une fausse page de connexion.

Les deepfakes : quand la voix et le visage ne prouvent plus rien

Deuxième bouleversement : l’usurpation d’identité audiovisuelle. Quelques dizaines de secondes d’audio (une interview, une vidéo publiée en ligne, un simple message vocal) suffisent aujourd’hui à cloner une voix de manière convaincante.

Les scénarios se multiplient :

• L’arnaque au président version 2.0 : un « dirigeant » appelle un employé du service financier pour exiger un virement urgent, avec sa vraie voix et parfois son image en visioconférence.
• L’arnaque aux proches : un « enfant » ou un « parent » en détresse appelle pour demander de l’argent en urgence, la voix étant reconstituée à partir de contenus publiés sur les réseaux sociaux.
• Les faux supports techniques et faux conseillers bancaires, plus convaincants que jamais.

La parade la plus efficace est d’une simplicité désarmante : convenir d’un mot de code avec vos proches (et, en entreprise, avec les équipes financières) pour authentifier toute demande urgente ou inhabituelle. Un deepfake peut imiter une voix, pas connaître un secret partagé à l’avance.

L’attaque qui contourne même la double authentification

Moins connue du grand public, la technique dite AiTM (Adversary-in-the-Middle) est sans doute la plus sournoise. Le principe : un lien de phishing vous amène vers une copie parfaite du site visé, qui sert en réalité de relais invisible vers le vrai site. Vous saisissez votre mot de passe, puis votre code de double authentification : tout fonctionne normalement, vous êtes connecté. Sauf que l’attaquant, placé au milieu, a intercepté votre cookie de session : il lui suffit de le rejouer dans son propre navigateur pour accéder à votre compte, sans mot de passe ni code.

C’est là que les passkeys changent la donne côté défense : contrairement à un code SMS ou TOTP, l’authentification par passkey est cryptographiquement liée au vrai nom de domaine du site. Sur un site imitateur, elle ne fonctionne tout simplement pas. C’est aujourd’hui la seule protection structurelle contre ce type d’attaque.

Des malwares qui changent de visage en permanence

L’IA sert aussi à produire des malwares polymorphes, dont le code se régénère continuellement pour échapper aux signatures des antivirus. Combinée aux infostealers, ces voleurs de mots de passe, cette capacité de mutation explique pourquoi un antivirus à jour ne suffit plus à garantir qu’une machine est saine.

Ce qui ne change pas : vos meilleures défenses restent les fondamentaux

Voici le paradoxe rassurant de cette évolution : si l’IA a rendu les attaques plus crédibles, elle n’a pas rendu les bonnes pratiques obsolètes. Au contraire, elle les rend plus indispensables que jamais.

1. Ne faites plus confiance au canal, vérifiez par un autre

Une demande urgente ou inhabituelle arrive par e-mail ? Validez par téléphone, au numéro que vous connaissez déjà, jamais celui indiqué dans le message. Un appel étrange d’un proche ? Raccrochez et rappelez son numéro habituel. Cette règle simple neutralise l’essentiel des arnaques par deepfake.

2. Méfiez-vous de l’urgence, pas des fautes d’orthographe

Le nouveau signal d’alarme n’est plus la forme du message, mais son mécanisme psychologique : urgence, pression, confidentialité exigée, demande inhabituelle. Quand on vous presse d’agir vite, c’est précisément le moment de ralentir.

3. Laissez votre gestionnaire de mots de passe détecter les faux sites

Un réflexe méconnu et redoutablement efficace : le remplissage automatique d’un gestionnaire de mots de passe ne fonctionne que sur le vrai domaine. Si votre gestionnaire refuse soudainement de remplir vos identifiants sur une page de connexion, considérez cela comme une alerte rouge : vous êtes peut-être sur une copie.

4. Des mots de passe uniques pour compartimenter les dégâts

Face à des attaques menées à l’échelle industrielle, partez du principe qu’un de vos identifiants finira par fuiter. La question n’est pas « si », mais « quand », et surtout « avec quelles conséquences ». Avec un mot de passe unique et robuste par compte, généré par exemple avec FortixPass, une fuite reste un incident isolé au lieu de devenir une réaction en chaîne.

5. Adoptez les passkeys dès qu’un service les propose

Résistantes au phishing par conception, elles neutralisent à la fois les fausses pages de connexion et les attaques AiTM. En 2026, la plupart des grands services les proposent : activez-les en priorité sur votre messagerie.

Ce qu’il faut retenir

L’IA a fait sauter les deux verrous qui limitaient la cybercriminalité : le coût et la crédibilité. Les messages parfaits produits en masse, les voix clonées et les attaques capables de contourner la double authentification classique imposent de nouveaux réflexes : vérifier par un canal indépendant, se méfier de l’urgence, s’appuyer sur des outils qui ne se laissent pas tromper par les apparences.

La bonne nouvelle ? Les fondamentaux n’ont jamais été aussi rentables : mots de passe uniques et forts, gestionnaire dédié, passkeys. L’IA rend les attaquants plus convaincants, pas plus puissants face à une hygiène numérique solide. Commencez dès aujourd’hui : générez des mots de passe robustes en quelques secondes.