Hameçonnage généré par IA

Définition

L'hameçonnage généré par IA désigne des messages frauduleux dont la rédaction, la personnalisation et l'adaptation au destinataire sont produites automatiquement, sans que le mécanisme de l'attaque en soit modifié.

Comment ça fonctionne

Le mécanisme est celui de l'hameçonnage, inchangé : imiter un expéditeur, fabriquer une raison d'agir, fournir un chemin qui court-circuite la vérification. Ce qui change tient à trois choses. La langue d'abord : les fautes d'orthographe et les tournures maladroites disparaissent, alors qu'elles servaient de filtre à beaucoup de lecteurs. La personnalisation ensuite : ce qui demandait un travail manuel — reprendre le nom d'un collègue, le vocabulaire d'un secteur, un projet en cours mentionné publiquement — devient automatisable à grande échelle. L'interaction enfin : un échange peut être poursuivi en répondant de façon cohérente aux objections. Aucun de ces points ne crée un nouveau danger ; ils suppriment des indices, ce qui rend les vérifications structurelles — le domaine, le canal — plus importantes qu'avant.

Pourquoi ça marche

Beaucoup de gens ont appris à reconnaître l'arnaque à ses fautes : un message impeccable passe ce filtre et paraît sérieux. La personnalisation donne l'impression d'un expéditeur qui vous connaît.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Message parfaitement rédigé mais dont le domaine d'expéditeur ne correspond pas
• Personnalisation exacte reposant sur des informations publiques
• Demande d'identifiants, de paiement ou de code, quelle que soit la qualité de la langue
• Réponse rapide et cohérente à vos objections, sans jamais accepter un autre canal
• Urgence maintenue à travers plusieurs échanges

Comment vérifier

Basculez la vérification de la forme vers la structure, qui n'a pas changé : lisez le nom de domaine, et rejoignez le service concerné par un chemin que vous choisissez. Ces deux gestes sont indifférents à la qualité de la rédaction, et c'est exactement pourquoi ils restent valables.

Les questions à se poser, dans l'ordre

1. 1

   Le message vous demande-t-il de vous connecter, de payer ou de donner un code ?

   Si oui : Ignorez le lien, si bien écrit soit-il, et ouvrez le service par votre favori ou l'application.

2. 2

   Le domaine de l'expéditeur ou du lien diffère-t-il de celui du service ?

   Si oui : Le message est faux : signalez-le comme hameçonnage dans votre messagerie.

3. 3

   Avez-vous saisi vos identifiants ?

   Si oui : Changez le mot de passe depuis le vrai site et déconnectez toutes les sessions.

Que faire

Cessez d'utiliser la qualité de la langue comme critère, et dites-le autour de vous : c'est le conseil le plus répandu et il est devenu trompeur. Ne vous identifiez jamais depuis un lien reçu, aussi crédible que soit le message.

Si c'est déjà arrivé

Comme pour tout hameçonnage : changez immédiatement le mot de passe concerné depuis une session ouverte par vos propres moyens, révoquez les sessions actives, et faites opposition si des données bancaires ont été saisies. Signalez le message dans votre messagerie.

• Checklist d'urgence : « Vous avez saisi un mot de passe sur une page »
• L'assistant « J'ai cliqué » : les gestes après un email, dans l'ordre

Pour que ça ne se reproduise pas

• Abandonnez le critère de l'orthographe, et dites-le autour de vous.
• Rejoignez toujours un service par un chemin que vous choisissez.
• Activez la double authentification sur les comptes importants.

Les gestes qui déjouent cette attaque

• Analyseur de message suspect : ce SMS ou cet email est-il une arnaque ?Collez un SMS, un email ou un message : l'outil montre les procédés d'arnaque qu'il contient, lit chaque lien et nomme les attaques qui y ressemblent. Rien n'est envoyé.

Questions fréquentes

Comment reconnaître un message écrit par une IA ?

C'est la mauvaise question, et vouloir y répondre conduit à des erreurs dans les deux sens. Un message légitime peut être écrit avec une IA, un message frauduleux peut être écrit à la main. Ce qui distingue reste le domaine, le canal et la nature de la demande.

Faut-il donc se méfier de tous les messages bien écrits ?

Non : la qualité de la rédaction ne dit rien, ni dans un sens ni dans l'autre. Elle est simplement sortie de la liste des critères. Ce qui reste : le domaine de l'expéditeur, et le fait qu'une demande d'identifiants ou de paiement ne se traite jamais depuis un lien.

Attaques liées

• Phishing (hameçonnage)
• Agent conversationnel malveillant
• Faux ordre de virement (fraude au président)
• Faux site web

Sources officielles

• Cybermalveillance.gouv.fr — Hameçonnage (phishing)