Le phishing dirigé contre les messageries professionnelles ne se limite plus à des emails frauduleux truffés de fautes. En 2024, l’APWG a recensé 4,8 millions d’attaques de phishing, un record historique. La menace qui pèse sur les entreprises a changé de nature : les attaquants exploitent désormais des comptes déjà compromis et imitent des processus internes légitimes pour contourner les filtres de sécurité et la vigilance des collaborateurs.
Comptes compromis et workflows internes : le phishing qui échappe aux filtres
La plupart des analyses du phishing se concentrent sur le volume de messages reçus. Le problème réside ailleurs : les attaques les plus rentables passent par des comptes professionnels déjà compromis.
A lire en complément : Les ransomwares ciblent de plus en plus les petites structures
Concrètement, un attaquant qui prend le contrôle d’un compte légitime (par vol d’identifiants ou contournement de l’authentification multifacteurs) peut envoyer des messages depuis une adresse interne reconnue. Ces messages ne déclenchent aucune alerte de filtrage classique. Ils arrivent dans la boîte de réception du destinataire comme n’importe quel email de collègue.
Des analyses récentes soulignent la montée de ces compromissions d’identité dans les environnements professionnels. L’attaquant se connecte ensuite comme un utilisateur ordinaire, accède aux conversations en cours, et insère sa demande frauduleuse dans un fil de discussion existant. Une demande de virement, un lien vers un document partagé, une modification de coordonnées bancaires : tout s’intègre dans un workflow que la victime suit quotidiennement.
A lire en complément : Comment accéder à webmail edf à distance en respectant les règles de sécurité ?
Ce mécanisme explique pourquoi les pertes liées au piratage de la messagerie en entreprise (BEC, Business Email Compromise) restent parmi les plus élevées. Le rapport IC3 du FBI indique que les pertes totales liées à la cybercriminalité ont atteint 16,6 milliards de dollars aux États-Unis en 2024, en hausse de 33 % par rapport à l’année précédente. Les attaques BEC figurent parmi les plus coûteuses.
Phishing multicanal : au-delà de la boîte mail professionnelle
Réduire le phishing à l’email revient à ignorer une partie croissante de la surface d’attaque. Le phishing multicanal cible désormais SMS, messageries instantanées et outils collaboratifs utilisés en entreprise.
Le smishing (phishing par SMS) affiche un taux de réussite nettement supérieur à celui du phishing par email, car les utilisateurs accordent davantage de confiance aux messages reçus sur leur téléphone. Dans un contexte professionnel où les équipes utilisent simultanément Teams, Slack, WhatsApp et la messagerie classique, les points d’entrée se multiplient.
Les environnements de travail hybrides aggravent cette exposition. Un collaborateur qui reçoit un message sur sa messagerie instantanée professionnelle depuis le compte compromis d’un collègue n’a aucune raison de le suspecter. Les plateformes de collaboration deviennent une surface d’attaque à part entière, souvent moins surveillée que la messagerie email traditionnelle.
Canaux exploités par le phishing professionnel
- Email classique avec pièces jointes ou liens vers des pages de connexion imitant des services internes (Microsoft 365, Google Workspace)
- SMS et messageries mobiles ciblant les collaborateurs en déplacement, avec des messages courts imitant des notifications de service IT
- Outils collaboratifs (Teams, Slack) où un compte compromis peut partager un fichier piégé dans un canal de projet actif
- QR codes insérés dans des documents internes ou affichés dans des locaux, redirigeant vers des pages de collecte d’identifiants
Chiffrement et IA générative : deux techniques de camouflage du phishing en 2024
Zscaler indique que 95,2 % de l’activité de phishing observée transitait par des canaux chiffrés. Le chiffrement HTTPS, conçu pour protéger les communications, sert paradoxalement de couverture aux attaquants. Les outils de détection réseau qui ne déchiffrent pas le trafic laissent passer ces flux sans inspection.
L’IA générative a simultanément transformé la qualité des messages de phishing. Les emails générés par des modèles de langage ne contiennent plus les fautes d’orthographe ou les tournures maladroites qui servaient de signaux d’alerte. Un message de phishing assisté par IA reproduit le ton, le vocabulaire et la mise en forme d’une communication interne authentique.
La combinaison de ces deux facteurs rend la détection plus difficile à chaque niveau. Les filtres réseau voient du trafic chiffré légitime. Les filtres linguistiques ne repèrent plus d’anomalies. Et le collaborateur reçoit un message qui ressemble trait pour trait à une demande de son responsable ou de son service informatique.
Sensibilisation et détection : ce qui fonctionne face au phishing professionnel
Face à des attaques qui imitent les processus internes et exploitent des comptes légitimes, la formation classique au phishing ne suffit plus. Apprendre à repérer un email mal rédigé ou un expéditeur inconnu ne protège pas contre un message envoyé depuis le compte réel d’un collègue.
Plusieurs axes de défense montrent leur efficacité quand ils sont combinés :
- Déployer une détection comportementale sur les comptes email et les outils collaboratifs, capable de repérer des actions inhabituelles (connexion depuis un nouveau pays, envoi massif de messages, modification de règles de transfert)
- Inspecter le trafic chiffré au niveau du proxy ou du CASB pour identifier les pages de phishing hébergées en HTTPS
- Former les équipes non pas à reconnaître un « faux email », mais à vérifier systématiquement toute demande sensible (virement, changement de coordonnées) par un second canal de confirmation
- Restreindre les permissions des comptes et appliquer le principe du moindre privilège pour limiter les dégâts en cas de compromission
La plateforme Cybermalveillance.gouv.fr a enregistré plus de 420 000 demandes d’assistance en 2024, en hausse de près de 50 %. Cette augmentation reflète une prise de conscience, mais aussi l’ampleur du problème.
Le phishing professionnel en 2024 ne repose plus sur la crédulité individuelle mais sur la confiance systémique que les organisations placent dans leurs outils de communication. Tant que la vérification d’identité restera faible au sein des messageries internes, les attaquants continueront d’exploiter cette faille avec un taux de réussite élevé.
