Les tactiques de phishing en 2026 : quoi surveiller et comment se défendre

Le paysage du phishing en 2026

Le phishing n'est plus un simple lien douteux dans un courrier indésirable. En 2026, les attaquants combinent nouvelles technologies et vieilles ruses, ce qui rend plus difficile de faire la différence entre un message légitime et une menace. L'objectif reste le même : vous faire cliquer, copier ou télécharger quelque chose qui donne accès à l'attaquant.

Des appâts générés par IA

L'une des tendances les plus récentes est l'utilisation de grands modèles de langage pour rédiger des emails qui ressemblent à ceux d'un collègue de confiance ou d'un fournisseur habituel. Ces messages peuvent imiter le ton habituel de l'expéditeur, sa ponctuation, et même les emojis qu'il emploie. Parce que le langage semble familier, le destinataire a plus de chances de faire confiance au contenu.

Les domaines similaires

Le typosquatting et l'usurpation de domaine restent courants. Les attaquants enregistrent des noms qui ressemblent presque à l'identique à ceux de vraies marques - - micros0ft-login.com

• gogle.com

Quand un utilisateur clique sur un lien qui ressemble à une page de connexion familière, l'attaquant peut récolter des identifiants ou installer un formulaire de phishing qui paraît authentique. La ruse est subtile : le domaine ne diffère parfois que d'un seul caractère.

La fatigue MFA

L'authentification multifacteur (MFA) reste une défense solide, mais les attaquants chronomètrent leurs requêtes pour toucher les utilisateurs au moment où ils sont loin de leur bureau. En analysant les invitations d'agenda ou les messages de statut, ils peuvent déclencher des demandes MFA à des moments où l'utilisateur est plus susceptible d'approuver sans réfléchir. C'est ce qu'on appelle la fatigue MFA.

Le détournement de fils de réponse

Une nouvelle technique consiste à injecter un lien malveillant dans la signature d'un email légitime. Quand la victime répond, le lien voyage avec le texte cité, si bien qu'il semble faire partie de la conversation. Le lien est masqué dans le corps du nouvel email et n'apparaît que lorsque le fil se poursuit.

Les pièges cachés dans les emails

Les attaquants disposent de plusieurs façons de dissimuler des liens ou des fichiers malveillants :

• Texte invisible – une police blanche sur fond blanc cache une seconde URL à côté de celle qui est visible.
• Fichiers à double extension – des noms comme invoice.pdf.exe misent sur le fait que les utilisateurs ne voient que la première extension.
• Suivi par pixel – des GIF 1x1 hébergés sur le serveur de messagerie de l'entreprise de la victime font paraître la requête interne.
• Reprise de sous-domaines – des GitHub Pages ou des buckets AWS S3 abandonnés sont récupérés et utilisés pour héberger des pages de phishing.
• Raccourcisseurs d'URL – des raccourcisseurs légitimes peuvent rediriger après un contrôle de sécurité, contournant des fonctionnalités comme les liens sécurisés de Microsoft.

Des défenses concrètes

1. Vérifiez l'adresse de l'expéditeur – Cherchez les fautes de frappe subtiles ou les terminaisons de domaine inhabituelles.
2. Survolez les liens – La plupart des clients de messagerie affichent l'URL de destination. Si elle diffère du texte, ne cliquez pas.
3. Utilisez un canal secondaire – Si un email demande des données sensibles, appelez l'organisation ou passez par un canal de contact connu.
4. Gardez la MFA activée – Même si vous craignez la fatigue, la MFA ajoute une couche de protection. Envisagez des passkeys ou des tokens FIDO2 qui ne reposent pas sur les notifications push.
5. Contrôlez les signatures d'email – Un changement soudain de signature ou un lien inconnu peut être un signal d'alerte.
6. Renseignez-vous sur le texte invisible – Certains clients de messagerie permettent d'afficher le texte masqué.
7. Méfiez-vous des fichiers à double extension – Beaucoup de systèmes d'exploitation masquent les extensions connues. Activez l'option qui affiche toutes les extensions.

Des outils qui peuvent aider

ProtectMyMail est une extension de navigateur qui ajoute le chiffrement de bout en bout et des expéditeurs vérifiés par cryptographie à la boîte mail que vous utilisez déjà. Elle fonctionne avec Gmail, Outlook et n'importe quel compte IMAP : pas besoin d'une nouvelle adresse ni de migration. L'extension peut vous aider à vérifier si un email provient réellement de l'expéditeur annoncé et peut signaler les liens suspects.

Si aucun outil ne remplace la vigilance humaine, une approche en couches - inspection attentive, MFA et extension d'assistance - rend la tâche des attaquants plus difficile.

Restez informé

Les tactiques de phishing évoluent vite. Suivez des blogs de sécurité, consultez les mises à jour de sécurité de votre organisation et gardez votre client de messagerie à jour. Plus vous en savez sur les dernières ruses, mieux vous pouvez vous protéger.

L'essentiel

Le phishing de 2026 est plus malin, mais il est aussi plus visible si vous savez quoi chercher. En restant attentif au ton généré par IA, aux domaines similaires, à la fatigue MFA, au détournement de fils de réponse et aux pièges cachés, vous pouvez réduire le risque de tomber victime d'une attaque de phishing moderne.