{"id":7923,"date":"2023-06-14T09:00:00","date_gmt":"2023-06-14T09:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/02\/post_id-5152\/"},"modified":"2026-07-06T15:27:48","modified_gmt":"2026-07-06T15:27:48","slug":"chatgpt-et-lingenierie-sociale-comment-lia-rend-les-attaques-de-phishing-plus-dangereuses","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/fr\/2023\/06\/14\/chatgpt-et-lingenierie-sociale-comment-lia-rend-les-attaques-de-phishing-plus-dangereuses\/","title":{"rendered":"ChatGPT et l&rsquo;ing\u00e9nierie sociale : comment l&rsquo;IA rend les attaques de phishing plus dangereuses"},"content":{"rendered":"<p><strong>L&rsquo;IA g\u00e9n\u00e9rative abaisse consid\u00e9rablement le seuil d&rsquo;entr\u00e9e pour les attaques d&rsquo;ing\u00e9nierie sociale : des e-mails de phishing sans fautes d&rsquo;orthographe dans n&rsquo;importe quelle langue, des pr\u00e9textes personnalis\u00e9s \u00e0 partir de donn\u00e9es publiques et des voix Deepfake pour les attaques de Vishing. Pour les \u00e9quipes de s\u00e9curit\u00e9, un nouveau chapitre de la d\u00e9fense contre les menaces commence.<\/strong><\/p>\n<h2>L&rsquo;essentiel<\/h2>\n<ul>\n<li><strong>Situation des menaces :<\/strong> L&rsquo;IA g\u00e9n\u00e9rative permet la cr\u00e9ation d&rsquo;e-mails de phishing sans fautes d&rsquo;orthographe et contextuels \u00e0 l&rsquo;\u00e9chelle industrielle  &#8211;  la fin de la reconnaissance par les fautes d&rsquo;orthographe.<\/li>\n<li><strong>Scalabilit\u00e9 :<\/strong> Alors qu&rsquo;auparavant, les recherches et les \u00e9crits \u00e9taient effectu\u00e9s manuellement, l&rsquo;IA g\u00e9n\u00e8re des attaques personnalis\u00e9es en quelques secondes.<\/li>\n<li><strong>Deepfakes :<\/strong> Les voix et vid\u00e9os g\u00e9n\u00e9r\u00e9es par l&rsquo;IA permettent le CEO Fraud et les attaques de Vishing \u00e0 un niveau de qualit\u00e9 difficilement distinguable des appels r\u00e9els.<\/li>\n<li><strong>D\u00e9fense :<\/strong> Les mesures techniques seules ne suffisent pas  &#8211;  la formation continue \u00e0 la sensibilisation \u00e0 la s\u00e9curit\u00e9 avec des sc\u00e9narios sp\u00e9cifiques \u00e0 l&rsquo;IA devient obligatoire.<\/li>\n<li><strong>Changement de paradigme :<\/strong> La pr\u00e9misse \u00ab on reconna\u00eet le phishing par les erreurs \u00bb est obsol\u00e8te  &#8211;  de nouvelles m\u00e9thodes de d\u00e9tection et des processus Zero-Trust sont n\u00e9cessaires.<\/li>\n<\/ul>\n<h2>La fin de l&rsquo;e-mail de phishing reconnaissable<\/h2>\n<p>Pendant des d\u00e9cennies, la r\u00e8gle de base \u00e9tait : <strong>les e-mails de phishing se reconnaissent aux fautes d&rsquo;orthographe, \u00e0 la mauvaise grammaire et au contenu g\u00e9n\u00e9rique.<\/strong> Cette r\u00e8gle est devenue caduque avec ChatGPT et des mod\u00e8les similaires.<\/p>\n<p>L&rsquo;IA g\u00e9n\u00e9rative produit des textes sans fautes dans n&rsquo;importe quelle langue et style linguistique. Un attaquant peut g\u00e9n\u00e9rer un texte de phishing qui imite le style de communication d&rsquo;une entreprise, d&rsquo;un d\u00e9partement ou m\u00eame d&rsquo;une personne donn\u00e9e. La qualit\u00e9 linguistique n&rsquo;est plus le point faible  &#8211;  elle est parfaite.<\/p>\n<p>Pire encore : l&rsquo;IA permet <strong>la personnalisation \u00e0 grande \u00e9chelle<\/strong>. Alors qu&rsquo;auparavant, un attaquant devait manuellement parcourir les profils LinkedIn et les sites web d&rsquo;entreprises pour cr\u00e9er un pr\u00e9texte convaincant, l&rsquo;IA g\u00e9n\u00e8re en quelques secondes des attaques personnalis\u00e9es pour des centaines de cibles simultan\u00e9ment.<\/p>\n<h2>Deepfakes et Vishing : la prochaine \u00e9tape de l&rsquo;escalade<\/h2>\n<p>La menace ne se limite pas au texte. <strong>Les voix g\u00e9n\u00e9r\u00e9es par l&rsquo;IA<\/strong> sont d\u00e9sormais si r\u00e9alistes qu&rsquo;elles sont indiff\u00e9renciables des voix r\u00e9elles dans les conversations t\u00e9l\u00e9phoniques. Un audio Deepfake du PDG demandant au directeur financier d&rsquo;effectuer un virement n&rsquo;est plus un sc\u00e9nario de science-fiction  &#8211;  cela se produit d\u00e9j\u00e0.<\/p>\n<p>En f\u00e9vrier 2024, un employ\u00e9 d&rsquo;une entreprise de Hong Kong a \u00e9t\u00e9 convaincu de transf\u00e9rer 25 millions de dollars par un appel vid\u00e9o Deepfake avec des coll\u00e8gues pr\u00e9tendument authentiques. Tous les participants \u00e0 l&rsquo;appel \u00e9taient g\u00e9n\u00e9r\u00e9s par l&rsquo;IA.<\/p>\n<p>Les co\u00fbts de tels attaques chutent rapidement. Des outils open-source comme Bark, Tortoise-TTS ou VALL-E peuvent cloner une voix avec quelques secondes de mat\u00e9riel audio. Pour les vid\u00e9os Deepfake, quelques photos disponibles publiquement et quelques minutes de temps de calcul suffisent. <strong>Le seuil technique d&rsquo;entr\u00e9e<\/strong> est pratiquement tomb\u00e9 \u00e0 z\u00e9ro.<\/p>\n<h2>Pourquoi la d\u00e9fense traditionnelle \u00e9choue<\/h2>\n<p>Les outils de s\u00e9curit\u00e9 des e-mails reconnaissent traditionnellement le phishing par trois signaux : les indicateurs techniques (anomalies d&rsquo;en-t\u00eate, URL suspectes), les motifs linguistiques (phrases de phishing connues, erreurs grammaticales) et la r\u00e9putation de l&rsquo;exp\u00e9diteur.<\/p>\n<p>Le phishing g\u00e9n\u00e9r\u00e9 par l&rsquo;IA contourne deux des trois signaux. La langue est impeccable, les phrases sont originales et contextuelles. Seuls les indicateurs techniques restent comme caract\u00e9ristique de reconnaissance  &#8211;  et ceux-ci sont de plus en plus professionnellement dissimul\u00e9s.<\/p>\n<p>Cela signifie : <strong>le taux de d\u00e9tection des filtres de phishing classiques diminue<\/strong>, tandis que le volume et la qualit\u00e9 des attaques augmentent. Un double coup qui remet en question fondamentalement la strat\u00e9gie de d\u00e9fense actuelle.<\/p>\n<h2>Contre-mesures pour l&rsquo;\u00e8re de l&rsquo;IA<\/h2>\n<p><strong>1. Sensibilisation \u00e0 la s\u00e9curit\u00e9 2.0 :<\/strong> La formation doit inclure des sc\u00e9narios sp\u00e9cifiques \u00e0 l&rsquo;IA  &#8211;  langue parfaite, contenus personnalis\u00e9s, appels Deepfake. Les employ\u00e9s doivent apprendre \u00e0 ne pas se fier \u00e0 la qualit\u00e9 linguistique, mais aux processus : les virements ne doivent \u00eatre effectu\u00e9s qu&rsquo;apr\u00e8s rappel sur un num\u00e9ro connu, les actions sensibles uniquement via des canaux v\u00e9rifi\u00e9s.<\/p>\n<p><strong>2. Contr\u00f4les bas\u00e9s sur les processus :<\/strong> Aucun transfert d&rsquo;argent, aucun acc\u00e8s au syst\u00e8me, aucune information sensible sur la base d&rsquo;une seule communication  &#8211;  peu importe \u00e0 quel point elle est convaincante. Le principe des quatre yeux et la v\u00e9rification hors bande sont les contre-mesures les plus efficaces contre l&rsquo;ing\u00e9nierie sociale.<\/p>\n<p><strong>3. D\u00e9tection assist\u00e9e par l&rsquo;IA :<\/strong> Paradoxalement, l&rsquo;IA est \u00e9galement la meilleure d\u00e9fense. Les outils de s\u00e9curit\u00e9 des e-mails bas\u00e9s sur l&rsquo;IA analysent les motifs de communication, les styles d&rsquo;\u00e9criture et les anomalies de comportement  &#8211;  et d\u00e9tectent le phishing que les syst\u00e8mes bas\u00e9s sur des r\u00e8gles ignorent.<\/p>\n<p><strong>4. Renforcement technique :<\/strong> DMARC, DKIM et SPF comme authentification des e-mails. FIDO2\/Passkeys au lieu des mots de passe  &#8211;  l&rsquo;authentification r\u00e9sistante au phishing \u00e9limine compl\u00e8tement le vecteur d&rsquo;attaque le plus courant.<\/p>\n<h2>Faits cl\u00e9s en un coup d&rsquo;\u0153il<\/h2>\n<p><strong>Taux de r\u00e9ussite du phishing avec l&rsquo;IA :<\/strong> +135 % de taux de clics plus \u00e9lev\u00e9 pour les e-mails de phishing personnalis\u00e9s par l&rsquo;IA (IBM X-Force)<\/p>\n<p><strong>Dommage des Deepfakes :<\/strong> 25 millions de dollars de perte par un seul appel vid\u00e9o Deepfake (Hong Kong, 2024)<\/p>\n<p><strong>Co\u00fbt d&rsquo;un clonage de voix :<\/strong> Moins de 5 euros avec des outils open-source et quelques secondes de mat\u00e9riel audio<\/p>\n<p><strong>Phishing comme vecteur d&rsquo;attaque :<\/strong> 91 % de toutes les cyberattaques commencent par le phishing (Verizon DBIR)<\/p>\n<p><strong>Source :<\/strong> IBM X-Force, Verizon DBIR, ARUP\/Police de Hong Kong, 2023\/24<\/p>\n<h2>Questions fr\u00e9quentes<\/h2>\n<p class=\"st-faq-hint\">Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n<details>\n<summary><strong>ChatGPT peut-il \u00eatre utilis\u00e9 pour le phishing ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">OpenAI a int\u00e9gr\u00e9 des m\u00e9canismes de s\u00e9curit\u00e9 qui bloquent la g\u00e9n\u00e9ration directe de phishing. Cependant, ces restrictions peuvent \u00eatre contourn\u00e9es par un prompting habile. De plus, des mod\u00e8les open-source non censur\u00e9s existent, qui n&rsquo;ont aucune restriction. La disponibilit\u00e9 n&rsquo;est pas le goulot d&rsquo;\u00e9tranglement  &#8211;  c&rsquo;est l&rsquo;intention de l&rsquo;attaquant.<\/p>\n<\/details>\n<details>\n<summary><strong>Comment reconna\u00eetre les e-mails de phishing g\u00e9n\u00e9r\u00e9s par l&rsquo;IA ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">La perfection linguistique n&rsquo;est plus un signal d&rsquo;alerte. Faites plut\u00f4t attention \u00e0 : des adresses d&rsquo;exp\u00e9diteurs inhabituelles (v\u00e9rification technique), une urgence atypique, des \u00e9carts par rapport au mod\u00e8le de communication normal et des demandes d&rsquo;actions sensibles via des canaux inhabituels. En cas de doute : v\u00e9rifier par un autre canal.<\/p>\n<\/details>\n<details>\n<summary><strong>Les appels Deepfake sont-ils vraiment une menace r\u00e9elle ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Oui, et ils augmentent rapidement. La qualit\u00e9 des clones de voix est si \u00e9lev\u00e9e que m\u00eame des employ\u00e9s proches peuvent \u00eatre tromp\u00e9s. Les entreprises devraient introduire syst\u00e9matiquement une v\u00e9rification hors bande pour les actions sensibles  &#8211;  rappel sur un num\u00e9ro connu plut\u00f4t que r\u00e9action \u00e0 un appel entrant.<\/p>\n<\/details>\n<details>\n<summary><strong>L&rsquo;authentification r\u00e9sistante au phishing aide-t-elle contre le phishing par l&rsquo;IA ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Oui, fondamentalement. Les cl\u00e9s FIDO2 et les Passkeys ne peuvent pas \u00eatre compromis par le phishing, peu importe \u00e0 quel point l&rsquo;e-mail ou l&rsquo;appel est convaincant. La mise en \u0153uvre de l&rsquo;authentification MFA r\u00e9sistante au phishing est la mesure individuelle la plus efficace contre toutes les formes de phishing.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00c0 quelle fr\u00e9quence la formation \u00e0 la sensibilisation \u00e0 la s\u00e9curit\u00e9 doit-elle avoir lieu ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">De mani\u00e8re continue, et non annuelle. Des unit\u00e9s courtes mensuelles avec des sc\u00e9narios actuels sont plus efficaces qu&rsquo;une formation obligatoire annuelle. Les campagnes de phishing simul\u00e9es avec des e-mails g\u00e9n\u00e9r\u00e9s par l&rsquo;IA testent la vigilance au quotidien. Important : pas de punition, mais une culture d&rsquo;apprentissage.<\/p>\n<\/details>\n<h2>Lectures compl\u00e9mentaires dans le r\u00e9seau<\/h2>\n<p>IA et tendances de la cybers\u00e9curit\u00e9 : <a href=\"https:\/\/www.securitytoday.de\/fr\/\" target=\"_blank\" rel=\"noopener\">www.securitytoday.de<\/a><\/p>\n<p>IA dans l&rsquo;utilisation en entreprise : <a href=\"https:\/\/www.mybusinessfuture.com\" target=\"_blank\" rel=\"noopener\">www.mybusinessfuture.com<\/a><\/p>\n<p>Leadership digital et s\u00e9curit\u00e9 : <a href=\"https:\/\/www.digital-chiefs.de\" target=\"_blank\" rel=\"noopener\">www.digital-chiefs.de<\/a><\/p>\n<p style=\"text-align: right;\"><em>Source de l&rsquo;image : Pexels \/ Sora Shimazaki<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"L&rsquo;IA g\u00e9n\u00e9rative abaisse consid\u00e9rablement le seuil d&rsquo;entr\u00e9e pour les attaques d&rsquo;ing\u00e9nierie sociale : des e-mails de phishing sans fautes d&rsquo;orthographe dans n&rsquo;importe quelle langue, des pr\u00e9textes personnalis\u00e9s \u00e0 partir de donn\u00e9es publiques et des voix Deepfake pour les attaques de Vishing. Pour les \u00e9quipes de s\u00e9curit\u00e9, un nouveau chapitre de la d\u00e9fense contre les menaces [&hellip;]","protected":false},"author":55,"featured_media":5151,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ing\u00e9nierie sociale","_yoast_wpseo_title":"ChatGPT et l'ing\u00e9nierie sociale : comment l'IA rend les attaques de phishing plu","_yoast_wpseo_metadesc":"ChatGPT et ing\u00e9nierie sociale : l'IA rend le phishing plus cr\u00e9dible et accessible. D\u00e9couvrez les risques et prot\u00e9gez-vous d\u00e8s maintenant.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-5152"],"footnotes":""},"categories":[256],"tags":[249,237],"class_list":["post-7923","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr","tag-ki","tag-phishing"],"evm_reading_time_minutes":7,"wpml_language":"fr","wpml_translation_of":null,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7923","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=7923"}],"version-history":[{"count":4,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7923\/revisions"}],"predecessor-version":[{"id":19062,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7923\/revisions\/19062"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/5151"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=7923"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=7923"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=7923"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}