Experts de BI.ZONE : l'IA et les deepfakes ont rendu le phishing de 2026 plus précis et plus dangereux

Le phishing est devenu nettement plus malin en 2026. Les courriels de masse n'ont pas disparu, mais la principale croissance concerne désormais les attaques personnalisées et multi-étapes, dopées à l'IA et aux deepfakes. Selon les experts de BI.ZONE, la technologie a changé l'emballage de la fraude, mais pas la logique de la défense : la vérification, un second canal de communication et la 2FA règlent toujours une bonne part du problème.

Comment le phishing a changé

L'IA a fortement réduit le coût de préparation des attaques. Là où les fraudeurs devaient produire des courriels types à la chaîne, ils collectent désormais des données publiques sur la personne et adaptent le message à son travail, à son cercle de connaissances et aux services qu'elle utilise d'habitude. Les deepfakes amplifient l'effet : une voix falsifiée, un visage ressemblant et une manière de parler familière aident à gagner la confiance plus vite. Les scénarios où l'attaquant se fait passer pour un proche, un collègue ou un supérieur et exige une action urgente fonctionnent particulièrement bien.

Les canaux sont eux aussi devenus plus précis. Pour toucher le plus grand nombre, les escrocs investissent les réseaux sociaux et les messageries, créent des groupes thématiques, écrivent en message privé et laissent des liens dans les commentaires. Mais pour les entreprises, la messagerie électronique reste un point d'entrée critique : d'après BI.ZONE, 64 % des attaques ciblées contre des entreprises de Russie et de la CEI commencent précisément par des courriels de phishing. Les appels téléphoniques et vidéo apportent ce qui manque au texte — pression, sentiment d'urgence et illusion d'un contact personnel —, ce qui pousse la victime à prendre plus vite une décision impulsive.

Quels schémas fonctionnent

D'après les observations de BI.ZONE, l'intérêt des escrocs pour les comptes de messageries et les espaces personnels des portails de services publics a nettement augmenté depuis octobre 2025. Parallèlement, le schéma Ghost invoice progresse : les attaquants enregistrent des domaines ressemblant aux sites de grandes entreprises, envoient des offres commerciales et glissent de fausses factures. Pour la victime, cela ressemble à un achat ordinaire ; pour l'entreprise imitée, cela se termine par un coup porté à sa réputation.

Voici les scénarios les plus efficaces, ceux qui sont le plus souvent utilisés aujourd'hui.

• Fausses notifications de banques, d'administrations fiscales et de services publics
• Fake Boss, où un « dirigeant » écrit à un employé et le prépare à un appel des « forces de l'ordre » ou du régulateur
• Schémas TOAD, où l'on demande à la victime de rappeler elle-même, contournant l'antispam d'appels
• QR codes placés dans des lieux fréquentés et menant à de faux formulaires
• Applications mobiles de phishing imitant des services légitimes

Une autre tendance est l'industrialisation du phishing. Le Phishing-as-a-Service abaisse le ticket d'entrée : des plateformes prêtes à l'emploi aident à déployer de fausses pages, à les adapter au comportement de l'utilisateur et même à contourner une partie des scénarios de MFA. Associé à l'IA générative, cela transforme le phishing en chaîne de production. Le nombre de sites de phishing est tombé à 12,5 mille au premier trimestre 2026, contre 17,5 mille un an plus tôt, mais cela ne signifie pas que les menaces ont reculé : les escrocs se déplacent vers des attaques en plusieurs étapes, plus complexes et plus rentables.

Ce qui aide à se protéger

Pour l'utilisateur ordinaire, les règles de base restent plus efficaces que n'importe quelle solution exotique. Il est important de ne passer que par les adresses officielles, de ne pas ouvrir les pièces jointes ni les liens de messages inattendus et de revérifier les demandes urgentes par un autre canal. Si un message vocal ou une vidéo d'un proche réclame de l'argent, il faut chercher les incohérences : mimiques étranges, intonation peu naturelle, mauvaise qualité d'enregistrement, tournures inhabituelles. Et mieux vaut activer l'authentification à deux facteurs via une application plutôt que de se reposer uniquement sur les SMS.

«

Si quelque chose semble suspect, mieux vaut revérifier par les canaux officiels ».

Pour les entreprises, la défense ne se limite plus depuis longtemps à l'antispam. Il faut des canaux de communication sécurisés, une formation régulière des employés et des contrôles supplémentaires dans les processus critiques. Le principe de la « seconde main » fonctionne bien : un virement, un changement de coordonnées bancaires ou l'octroi d'un accès est confirmé par un autre employé de confiance. Il faut aussi des outils de détection des deepfakes, des procédures claires et une réaction rapide aux incidents, avant que l'attaque n'ait eu le temps de franchir toutes les étapes de la chaîne.

Les schémas multi-étapes sont particulièrement dangereux parce que chaque étape, prise isolément, peut sembler inoffensive. D'abord arrive un « virement par erreur », puis l'intimidation commence, et enfin la victime est convaincue de transférer l'argent plus loin ou de le remettre à un coursier. D'autres scénarios recourent au SMS bombing : la personne est submergée de messages, puis reçoit un appel au nom de la banque lui proposant de « sauver » d'urgence son compte. Ce théâtre de la pression ne vise pas une faille technique, mais la fatigue et l'anxiété.

Ce que cela signifie

Le phishing en 2026 n'est plus seulement un faux courriel, mais une économie de services de la fraude, renforcée par l'IA, les deepfakes et des plateformes prêtes à l'emploi. D'après l'estimation de BI.ZONE, les pertes dues à ces schémas ont dépassé 18 milliards de roubles rien qu'en 2025. Pour les utilisateurs comme pour les entreprises, la conclusion est simple : l'avantage ne va pas à celui qui possède le plus d'outils à la mode, mais à celui dont la vérification, la discipline et le scepticisme sain réagissent le plus vite.