Phishing par IA : vérifier un email avant de répondre

Les tentatives de phishing ne se reconnaissent plus uniquement à une faute d’orthographe, à un logo approximatif ou à une formule maladroite. Les outils d’intelligence artificielle générative permettent aujourd’hui de produire rapidement des messages fluides, adaptés à une langue, à un secteur d’activité ou au rôle d’un destinataire. Pour un professionnel, le danger est simple : donner sa confiance à un email parce qu’il paraît cohérent, poli et urgent.

Le bon réflexe n’est donc pas de chercher une erreur de français à tout prix. Il consiste à vérifier la demande avant toute action engageante : clic sur un lien, ouverture d’une pièce jointe, partage d’information, modification de coordonnées bancaires, achat de cartes-cadeaux ou virement.

Ce guide propose une méthode opérationnelle pour examiner un email suspect, confirmer une demande sensible par un canal indépendant et décider s’il faut répondre, signaler ou supprimer le message. Il complète utilement les réflexes à adopter face à une demande urgente reçue par email.

Pourquoi les emails frauduleux générés par IA paraissent plus crédibles

L’IA ne rend pas automatiquement une fraude plus sophistiquée sur le plan technique. En revanche, elle peut rendre le message plus convaincant sur le plan rédactionnel. Un fraudeur peut obtenir en quelques instants une reformulation polie, une traduction naturelle ou plusieurs variantes adaptées à un fournisseur, à un service comptable ou à une direction.

Un message frauduleux peut ainsi reprendre des codes familiers :

un ton direct et professionnel ;
le prénom du destinataire ou son intitulé de poste ;
la signature apparente d’un collègue, d’un client ou d’un prestataire ;
un sujet d’actualité dans l’entreprise : facture, recrutement, congés, changement d’outil, appel d’offres ou livraison ;
une demande formulée sans erreurs visibles.

Ce niveau de finition réduit l’efficacité d’un ancien réflexe : « s’il n’y a pas de faute, c’est probablement authentique ». C’est faux. La qualité du texte ne prouve ni l’identité de l’expéditeur, ni la légitimité de la demande, ni la sécurité du lien proposé.

L’IA peut également faciliter les attaques dites de compromission de messagerie professionnelle : le fraudeur se fait passer pour un dirigeant, un partenaire ou un fournisseur afin d’obtenir une action précise. La pression repose souvent sur une combinaison classique : autorité, urgence et confidentialité. Par exemple : « Je suis en déplacement, traite ce règlement sans me rappeler » ou « Merci de ne pas inclure l’équipe finance pour le moment ».

Ces formulations doivent alerter, non parce qu’elles seraient toujours frauduleuses, mais parce qu’elles cherchent à contourner les contrôles habituels. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et le dispositif Cybermalveillance.gouv.fr rappellent régulièrement l’importance de vérifier l’identité de l’interlocuteur avant une action sensible.

Le principe de base : ne pas répondre dans la précipitation

Lorsqu’un message demande une action inhabituelle, la première protection est de créer une pause. Ne cliquez pas, ne téléchargez pas, ne transférez pas de données et ne répondez pas immédiatement. Une réponse peut sembler anodine, mais elle peut confirmer au fraudeur qu’une boîte mail est active ou l’aider à poursuivre son scénario.

Cette pause est particulièrement nécessaire lorsque l’email demande :

un paiement, un virement ou une modification de RIB ;
des identifiants, un code à usage unique ou une validation de connexion ;
une copie de pièce d’identité, des données clients ou des documents RH ;
l’ouverture d’une facture, d’un bon de commande ou d’un fichier partagé ;
l’achat de cartes-cadeaux, de cryptomonnaies ou d’un moyen de paiement atypique ;
une dérogation aux procédures de validation habituelles.

Un email urgent n’est pas nécessairement une urgence réelle. Une demande légitime supporte généralement quelques minutes de vérification, surtout lorsqu’elle implique de l’argent, des accès ou des informations confidentielles. Pour éviter de créer vous-même une pression inutile, appliquez aussi ces principes dans vos propres messages : notre article sur la rédaction d’un email urgent sans fausse priorité peut servir de repère.

Règle simple : plus une demande est inhabituelle, urgente, confidentielle ou coûteuse, plus la vérification doit être indépendante de l’email reçu.

Les 6 vérifications à faire avant de répondre ou d’agir

Il n’est pas nécessaire de devenir expert en cybersécurité pour appliquer une première analyse fiable. Voici six contrôles concrets à réaliser avant toute action sensible. Ils sont complémentaires : un seul signal peut être bénin, mais plusieurs incohérences justifient de considérer le message comme suspect.

1. Examiner l’adresse complète de l’expéditeur

Le nom affiché dans votre boîte de réception n’est pas une preuve. « Sophie Martin », « Direction générale » ou « Service facturation » peuvent être saisis librement par un expéditeur. Affichez l’adresse email complète, et pas seulement le nom.

Comparez précisément le domaine avec celui habituellement utilisé par l’organisation. Une différence d’un caractère, un tiret ajouté, une extension différente ou un domaine sans rapport avec l’entreprise doit vous faire suspendre l’action. Par exemple, un fournisseur connu qui écrit depuis une adresse de messagerie grand public ou depuis un domaine inhabituel mérite une vérification directe.

Attention également aux adresses de réponse. Dans certains emails, le champ « Répondre à » peut orienter votre réponse vers une autre adresse que celle de l’expéditeur apparent. Avant d’utiliser le bouton « Répondre », vérifiez le destinataire réel de votre réponse.

2. Relire la demande, pas seulement le texte

Un message peut être parfaitement écrit tout en étant incohérent sur le fond. Posez-vous des questions simples :

Cette personne me demande-t-elle habituellement ce type d’action ?
La demande correspond-elle à son périmètre ou à son niveau d’autorisation ?
Le moment est-il plausible ?
Pourquoi cette action doit-elle être faite maintenant ?
Pourquoi faut-il contourner une validation, une procédure ou un interlocuteur habituel ?

Un dirigeant peut réellement demander un document. En revanche, une demande inattendue de paiement confidentiel, envoyée hors processus, doit être confirmée. La cohérence opérationnelle compte davantage que le style du message.

3. Contrôler les liens sans cliquer

Sur ordinateur, survolez le lien avec le pointeur pour afficher sa destination. Sur mobile, une pression prolongée permet souvent de visualiser l’adresse avant ouverture. Vérifiez le nom de domaine, et pas uniquement le texte cliquable.

Un lien affichant « Accéder à votre espace Microsoft 365 » peut renvoyer vers un domaine qui n’a aucun rapport avec Microsoft. Méfiez-vous aussi des URL raccourcies, des suites de caractères incompréhensibles et des adresses qui ajoutent le nom d’une marque dans un sous-domaine ou dans le chemin de l’URL.

Si vous devez accéder à un service connu, la solution la plus sûre consiste à ouvrir vous-même votre navigateur, saisir l’adresse habituelle du service ou utiliser votre favori enregistré. Ne passez pas par le lien de l’email.

4. Traiter les pièces jointes comme un risque potentiel

Une pièce jointe inattendue doit être considérée avec prudence, même si elle porte le nom d’une facture ou d’un contrat attendu. Les formats compressés, les fichiers exécutables et les documents qui demandent d’activer des macros sont particulièrement sensibles.

Ne vous fiez pas uniquement à l’icône du fichier ou à son intitulé. Vérifiez avec l’expéditeur par un canal indépendant avant d’ouvrir un document imprévu. Dans une entreprise, utilisez aussi les outils de sécurité et les procédures internes prévus à cet effet.

Un cas fréquent concerne une facture : vous attendez réellement une facture d’un prestataire, mais le message vous demande soudain de télécharger un fichier depuis un site nouveau ou de valider vos identifiants. Le contexte est crédible ; la modalité inhabituelle doit être vérifiée.

5. Repérer les demandes de données ou de codes

Les codes reçus par SMS ou par application d’authentification, les mots de passe et les codes de récupération ne doivent pas être transmis par email. Il en va de même pour les informations personnelles ou financières lorsque la demande n’est pas attendue et vérifiée.

Un service légitime peut vous demander de vous authentifier sur son site. Il ne doit pas vous demander de répondre à un email avec votre mot de passe ou avec un code temporaire. Si un message prétend venir de votre banque, de Microsoft, de Google ou d’un outil de travail et réclame ce type d’information, passez par le site ou l’application officielle, jamais par le lien reçu.

Pour les données personnelles, la prudence est également essentielle. La CNIL propose des ressources pour comprendre les précautions liées à la protection des informations personnelles.

6. Vérifier le contexte technique et conversationnel

Un email frauduleux peut imiter une conversation existante. Regardez si le fil contient des éléments incohérents : nouveaux destinataires, changement soudain d’adresse, réponse qui ne reprend pas le contenu précédent, signature inhabituelle ou demande sans lien avec l’échange.

Si votre messagerie affiche des avertissements du type « expéditeur externe » ou « message provenant de l’extérieur de l’organisation », ne les ignorez pas. Ils ne signifient pas que le message est forcément malveillant, mais ils ajoutent un élément de contexte utile.

Enfin, ne supposez pas qu’un email est sûr parce qu’il provient d’une adresse connue. Une boîte mail légitime peut avoir été compromise. C’est précisément pourquoi la confirmation par un autre canal est indispensable pour les demandes à fort impact.

Confirmer une demande sensible par un autre canal

Le principe est simple : ne demandez pas au message suspect de prouver qu’il est légitime. Un fraudeur qui contrôle l’adresse compromise ou usurpée peut répondre de manière rassurante. Utilisez plutôt un canal dont vous connaissez déjà la fiabilité.

Selon la situation, vous pouvez :

appeler la personne au numéro enregistré dans votre annuaire interne ou votre CRM ;
utiliser Microsoft Teams, Slack ou un autre outil professionnel déjà utilisé avec elle ;
envoyer un nouveau message à l’adresse connue, saisie manuellement ;
appeler votre fournisseur au numéro indiqué sur un contrat, une facture antérieure vérifiée ou son site officiel ;
solliciter le responsable hiérarchique, la finance ou le support informatique selon la procédure de l’organisation.

Évitez d’utiliser un numéro de téléphone présent uniquement dans l’email suspect. Il peut appartenir au fraudeur. De même, ne répondez pas au même fil en vous disant que vous « vérifiez » : si le compte de votre interlocuteur a été compromis, cette vérification reste dans le canal contrôlé par l’attaquant.

Exemple : un changement de coordonnées bancaires

Vous recevez un email d’un fournisseur indiquant que ses coordonnées bancaires ont changé et vous demandant de mettre à jour son dossier avant le prochain règlement. Même si le message reprend la bonne signature et les références habituelles, ne modifiez rien immédiatement.

Appelez votre contact fournisseur avec le numéro déjà présent dans votre base de contacts ou sur un document antérieur de confiance. Demandez-lui de confirmer le changement et suivez la procédure de validation interne. Si votre entreprise dispose d’un double contrôle pour les modifications de coordonnées bancaires, respectez-le sans exception.

Exemple : une demande inhabituelle de la direction

Un email prétendument envoyé par la direction vous demande d’acheter rapidement des cartes-cadeaux et d’envoyer les codes par retour de mail. Le ton est peut-être impeccable et le prénom du dirigeant correct. Pourtant, la demande est inhabituelle, urgente et cherche à vous isoler.

Ne répondez pas. Appelez la personne via son numéro habituel, contactez son assistanat ou utilisez le canal interne connu. Si vous ne pouvez pas confirmer rapidement, ne réalisez pas l’achat.

Répondre, signaler ou supprimer : le bon réflexe selon le cas

La bonne action dépend du niveau de certitude et du contexte. L’objectif n’est pas d’entretenir un échange avec un fraudeur, mais de limiter le risque pour vous et pour vos collègues.

Quand répondre

Répondez uniquement lorsque l’identité de l’expéditeur et la demande ont été confirmées par un canal indépendant. Si vous devez répondre à un partenaire légitime après vérification, restez factuel. Vous pouvez par exemple écrire :

« Bonjour, pour des raisons de sécurité, nous confirmons les changements de coordonnées ou les demandes de paiement par téléphone. Merci de nous appeler via votre contact habituel. »

Cette réponse est adaptée à un interlocuteur identifié. Elle ne doit pas être envoyée à une adresse manifestement frauduleuse ou à un message dont vous n’avez pas confirmé l’origine.

Quand signaler

Signalez un email lorsqu’il semble frauduleux, lorsqu’il imite un collègue ou un fournisseur, lorsqu’il contient un lien ou une pièce jointe douteuse, ou lorsqu’il vise plusieurs personnes de l’organisation.

Dans un environnement professionnel, utilisez le bouton de signalement intégré à votre messagerie s’il existe, puis alertez le service informatique, le RSSI ou l’équipe sécurité selon les règles internes. Transmettez le message comme pièce jointe ou via la fonction dédiée plutôt que de le faire suivre en modifiant son contenu : les en-têtes et les éléments techniques peuvent aider l’équipe à l’analyser.

En France, les particuliers peuvent notamment utiliser la plateforme officielle Signal Spam pour signaler les messages indésirables et frauduleux. Pour une tentative d’escroquerie ou un besoin d’assistance, les ressources de Cybermalveillance.gouv.fr sont également utiles.

Quand supprimer

Supprimez le message après l’avoir signalé selon la procédure applicable. Ne répondez pas pour demander à être retiré d’une liste si le message est clairement frauduleux : cela peut confirmer que votre adresse est utilisée.

La suppression ne remplace pas le signalement lorsqu’une tentative cible l’entreprise. Un email de phishing visant un service comptable peut viser d’autres collègues. Avertir rapidement les bonnes personnes peut empêcher une action coûteuse.

Si vous avez déjà cliqué, répondu ou transmis une information

Une erreur peut arriver, notamment face à un message crédible et pressant. L’important est d’agir vite et de ne pas essayer de régler seul un incident potentiellement plus large.

Voici les premières mesures à prendre :

prévenez immédiatement le support informatique, l’équipe sécurité ou votre responsable ;
indiquez précisément ce que vous avez fait : clic, téléchargement, saisie d’identifiants, réponse, partage de document ou paiement ;
si vous avez communiqué un mot de passe, changez-le depuis un accès fiable et suivez les consignes de votre organisation ;
si vous avez validé une connexion ou transmis un code, signalez-le sans délai ;
si un paiement est concerné, contactez immédiatement le service financier et l’établissement bancaire selon les procédures prévues.

Ne supprimez pas les éléments utiles à l’analyse avant d’avoir reçu les instructions de l’équipe compétente. Conservez le message et notez l’heure, le lien consulté ou le document ouvert si vous le pouvez. Une alerte rapide est plus utile qu’une tentative de dissimulation : elle permet de réduire les conséquences et de protéger d’autres utilisateurs.

Mettre en place une routine collective de vérification

La vigilance individuelle est essentielle, mais elle devient plus efficace lorsqu’elle s’inscrit dans des règles partagées. Les équipes peuvent réduire les erreurs en définissant clairement les demandes qui exigent une confirmation hors email.

Une routine simple peut couvrir les paiements, les changements de RIB, les demandes d’accès, les documents confidentiels et les instructions inhabituelles de la direction. Elle doit préciser :

qui appelle qui pour confirmer ;
quels annuaires ou numéros sont considérés comme fiables ;
à qui signaler un message suspect ;
quelles actions nécessitent une double validation ;
comment distinguer une vraie urgence d’une pression artificielle.

Cette organisation évite que chaque salarié improvise sous stress. Elle limite aussi les allers-retours par email sur des sujets sensibles : une confirmation téléphonique courte peut être plus sûre et plus rapide qu’une longue chaîne de messages.

Les outils de messagerie, les filtres antispam et l’authentification multifacteur apportent une protection importante, mais ils ne remplacent pas la vérification humaine. Un message peut passer les filtres, arriver depuis une boîte compromise et être rédigé avec soin. La procédure reste le dernier rempart avant une action irréversible.

Conclusion : la qualité d’un email ne suffit jamais à prouver sa légitimité

Face au phishing assisté par IA, la bonne question n’est plus « cet email est-il bien écrit ? », mais « cette demande est-elle vérifiée par une source indépendante ? ». En contrôlant l’expéditeur, la demande, les liens, les pièces jointes, les données demandées et le contexte, vous réduisez fortement le risque d’agir sous l’effet de l’urgence ou de l’autorité.

Avant un paiement, un partage de données ou une action sur un compte, prenez quelques minutes pour confirmer par téléphone, via votre outil interne ou par un contact déjà connu. Faites de cette pause un réflexe d’équipe : c’est souvent la réponse la plus simple face à un email trop pressé pour être sûr.