Les signaux classiques du phishing, fautes d'orthographe, mise en forme approximative, adresse d'expéditeur suspecte, sont en train de disparaître. Une nouvelle génération d'attaques intègre désormais de véritables données personnelles dans le corps même de l'email, rendant la fraude beaucoup plus difficile à repérer, y compris pour un œil averti.

Le principe : de vraies données pour un faux message

Concrètement, les victimes reçoivent un email parfaitement rédigé, faisant référence à un abonnement réel (un journal comme Le Parisien, un compte Amazon, un avis de contravention ANTAI) ou affichant leur véritable IBAN, glissé dans un avis de renouvellement ou de résiliation frauduleux. Un lien, présenté comme nécessaire pour confirmer ou annuler l'opération, redirige vers un faux site conçu pour voler les identifiants de connexion ou les accès bancaires.

Ce qui rend cette technique redoutable, ce n'est pas sa sophistication technique, mais l'exactitude des données affichées : un email qui cite votre véritable IBAN inspire une confiance immédiate, précisément parce qu'on suppose qu'une telle information ne pourrait provenir que d'une source légitime.

D'où proviennent ces données

Ces informations exactes sont issues de fuites de données antérieures ou de malwares ayant déjà collecté ces éléments ailleurs. Contrairement au phishing de masse traditionnel, ces campagnes sont généralement très ciblées, construites à partir de données déjà en possession de l'attaquant plutôt que diffusées au hasard.

Comment s'en prémunir

  • Activer l'authentification multifacteur sur l'ensemble des comptes sensibles
  • Déployer les protocoles d'authentification email (SPF, DKIM, DMARC) pour limiter l'usurpation de votre propre domaine
  • Ne jamais cliquer sur un lien reçu dans un email non sollicité, même s'il semble légitime
  • Accéder systématiquement à ses comptes via le site officiel, jamais via un lien reçu par email
  • Former l'ensemble des services, RH, finance, marketing, direction, et pas seulement les équipes IT
  • Vérifier l'authenticité de l'expéditeur avant toute action, même en cas d'urgence apparente

Les PME restent des cibles particulièrement exposées à ce type de campagne, précisément parce qu'elles disposent rarement des mêmes moyens de filtrage email que les grandes structures. C'est exactement le type de scénario que nous reproduisons dans nos campagnes de phishing simulées, pour mesurer la vigilance réelle de vos équipes face à des messages devenus quasiment indétectables à l'œil nu.