Le phishing

Bien que le courrier électronique soit le principal vecteur, l'hameçonnage a évolué sur de multiples plateformes :

• Smishing (hameçonnage par SMS) : Liens malveillants envoyés par SMS (par exemple : « La livraison de votre colis a échoué, cliquez ici »).
• Vishing (hameçonnage vocal) : Appels téléphoniques frauduleux, utilisant souvent des voix générées par IA pour se faire passer pour des employés de banque ou du service d'assistance technique.
• Hameçonnage des pêcheurs : De faux comptes sur les réseaux sociaux qui « interceptent » les plaintes du service client pour voler l'accès aux comptes.

• URL incompatibles : Passez votre souris sur un lien. Si le texte indique bankofamerica.com mais que le lien pointe vers login-secure-update.net, il s'agit d'une arnaque.
• Langage urgent ou menaçant : Des phrases comme « Compte suspendu » ou « Action requise dans les 2 heures » sont conçues pour vous inciter à agir sans réfléchir.
• Salutations génériques : Les entreprises légitimes avec lesquelles vous faites affaire vous appelleront généralement par votre prénom plutôt que par « Cher client ».

L'hameçonnage est la forme la plus courante d'ingénierie sociale. Les attaquants envoient des courriels qui semblent provenir de sources légitimes, telles que des banques, des fournisseurs ou des services informatiques internes, demandant aux destinataires de cliquer sur des liens, d'ouvrir des pièces jointes ou de fournir leurs identifiants. La plupart des violations de données reposent sur l'élément humain, c'est-à-dire qu'elles ont besoin de quelqu'un à l'autre bout du système par qui elles peuvent opérer. Cela inclut l'hameçonnage, le prétexte fallacieux, l'utilisation abusive d'identifiants, les erreurs et les interactions avec des logiciels malveillants.

Les attaques utilisant l'intelligence artificielle ont rendu le phishing plus convaincant. Les attaquants utilisent désormais de vastes modèles de langage pour rédiger des courriels grammaticalement corrects dans plusieurs langues, concevoir des messages personnalisés à partir de données collectées sur les réseaux sociaux et générer des appels vocaux réalistes imitant ceux de dirigeants ou de collègues. Le Rapport de WatchGuard sur la sécurité Internet (2e semestre 2025) a constaté une augmentation des campagnes d'hameçonnage utilisant Scripts PowerShell malveillants pour mettre en place des outils « Malware-as-a-Service », tels que des chevaux de Troie d'accès à distance (RAT), indiquant que les attaquants se sont tournés vers des tactiques d'ingénierie sociale pour exécuter leurs campagnes.