Un collaborateur reçoit un appel de son service informatique lui demandant de valider une connexion sur son téléphone. La voix est familière, le numéro affiché correspond, le contexte est plausible. Sauf que l’appel provient d’un attaquant utilisant une voix synthétique.
Ce scénario, encore marginal il y a deux ans, devient un vecteur de compromission courant dans les entreprises francophones. Le phishing ne se limite plus à un mail mal rédigé avec un lien douteux : on fait face à des attaques coordonnées sur plusieurs canaux, conçues pour contourner les protections techniques et humaines.
Lire également : Les risques liés aux réseaux wifi publics en entreprise
Phishing multicanal : quand l’attaque passe du mail au téléphone en quelques minutes
Les campagnes de phishing récentes ne reposent plus sur un seul canal. On observe des séquences combinant email, SMS, appel vocal et même messagerie instantanée dans une même attaque. Un mail d’alerte déclenche un SMS de confirmation, suivi d’un appel vocal pour rassurer la cible. Chaque étape renforce la crédibilité de la précédente.
Ce fonctionnement multicanal pose un problème concret : les filtres anti-spam ne protègent que le canal email. Un SMS frauduleux arrive directement sur le téléphone personnel du collaborateur, hors du périmètre de sécurité de l’entreprise. L’appel vocal, lui, contourne toute analyse automatisée de contenu.
A lire aussi : Les ransomwares ciblent de plus en plus les PME belges
Le vishing par voix synthétique ajoute une couche supplémentaire. Des outils de clonage vocal permettent de reproduire le timbre d’un responsable ou d’un prestataire à partir de quelques minutes d’enregistrement. Les retours varient sur la qualité réelle de ces deepfakes vocaux, mais plusieurs cas documentés montrent que la technique fonctionne suffisamment pour tromper un interlocuteur pressé.
Vol de jetons de session : le phishing qui contourne la double authentification
On a longtemps considéré l’authentification multifacteur (MFA) comme un rempart solide contre le phishing. L’attaquant pouvait voler un mot de passe, mais sans le second facteur, il ne pouvait rien en faire. Cette logique est remise en question par les techniques de type AiTM (adversary-in-the-middle).
Le principe : au lieu de voler le mot de passe, l’attaquant intercepte le jeton de session après l’authentification complète. La victime se connecte normalement sur ce qu’elle croit être son service habituel. En réalité, un proxy inverse transmet les requêtes au vrai site, capture le cookie de session, puis le réutilise pour accéder au compte sans jamais déclencher de nouvelle demande MFA.
Le device code phishing fonctionne sur un principe voisin. L’attaquant envoie un code d’autorisation à la victime, qui le saisit sur une page légitime (Microsoft, par exemple). Ce mécanisme, prévu pour les appareils sans navigateur, est détourné pour obtenir un token OAuth exploitable.
- L’AiTM cible les sessions actives via un proxy entre la victime et le service légitime, rendant la MFA classique inefficace sur ce scénario précis
- Le device code phishing exploite un flux d’authentification légitime pour obtenir un accès persistent au compte
- Les tokens volés permettent souvent un accès prolongé, car leur révocation n’est pas systématique dans beaucoup d’environnements
Quishing et QR codes frauduleux : le phishing qui échappe aux filtres
Le quishing, contraction de QR code et phishing, exploite un angle mort des systèmes de filtrage. Un QR code inséré dans un email ou imprimé sur un support physique ne contient pas de lien cliquable analysable par les passerelles de sécurité classiques. Le traitement de l’attaque se déplace vers le smartphone de la victime, un appareil souvent moins protégé que le poste de travail.
On retrouve ces QR codes dans des emails se faisant passer pour des services de signature électronique, des notifications de livraison ou des invitations à des événements professionnels. Le scénario est simple : scanner le code, atterrir sur une page de connexion imitant Microsoft 365 ou un webmail, et saisir ses identifiants.
Ce vecteur est particulièrement efficace en contexte professionnel. Les collaborateurs scannent régulièrement des QR codes pour accéder à des salles de réunion, des menus de restaurant d’entreprise ou des documents partagés. Le geste est devenu réflexe, ce qui réduit la vigilance.
Personnalisation des attaques de phishing grâce aux données publiques
Les messages de phishing génériques (« Cher client, votre compte a été suspendu ») fonctionnent encore sur le grand public, mais les attaques ciblant les entreprises adoptent un niveau de personnalisation nettement supérieur. Les attaquants exploitent les organigrammes publiés sur LinkedIn, les signatures d’email récupérées dans des fuites de données, et les informations disponibles sur les sites corporate.
Un mail de phishing peut ainsi mentionner le nom du directeur financier, faire référence à un projet en cours visible sur le site de l’entreprise, et adopter le ton interne habituel. Ce niveau de contexte transforme un message suspect en communication plausible.
- Les scénarios de fraude au président (BEC) s’appuient sur des organigrammes réels pour cibler les personnes habilitées à valider des virements
- Les faux échanges internes reproduisent des chaînes de mails crédibles, parfois en réponse à un vrai fil de discussion compromis
- Les données personnelles issues de fuites alimentent la personnalisation : adresse, numéro de téléphone, nom du supérieur hiérarchique
Cette personnalisation opérationnelle rend les campagnes de sensibilisation classiques partiellement obsolètes. Former les utilisateurs à repérer les fautes d’orthographe ou les expéditeurs inconnus ne suffit plus quand le message est grammaticalement correct et provient apparemment d’un collègue identifié.
Face à ces évolutions, les défenses purement humaines montrent leurs limites. La combinaison de canaux multiples, de techniques contournant la MFA et de messages hyper-contextualisés oblige à repenser la sécurité comme un ensemble de couches techniques et organisationnelles. Vérifier un virement par un contre-appel sur un numéro connu, révoquer régulièrement les jetons de session, segmenter les accès : ce sont ces réflexes opérationnels, plus que la méfiance face à un email, qui font aujourd’hui la différence.
