Les points clés à retenir sur les nouvelles formes de phishing

• Le rapport DBIR de Verizon révèle les principales tendances en matière de sécurité des entreprises.
• Le phishing mobile dépasse les attaques par e-mail.
• Les entreprises ont besoin de formations sur le phishing axées sur les appareils mobiles.

Les vecteurs d'attaque mobiles surpassent les menaces par e-mail à mesure que nous devenons plus aptes à détecter les tentatives de phishing traditionnelles, explique Verizon dans un nouveau rapport explorant le paysage des violations de données et leur impact sur les entreprises du monde entier.

Dans son Rapport d'enquête sur les violations de données (DBIR) 2026, Verizon indique que les cyberattaques centrées sur les appareils mobiles gagnent en popularité et affichent un taux de clics plus élevé que les mêmes tentatives de phishing envoyées par e-mail, ce qui soulève des questions quant à l'adéquation de nos protections actuelles contre le phishing.

L'ingénierie sociale mobile occupe le devant de la scène

S'appuyant sur des données recueillies à partir de plus de 31 000 incidents de sécurité réels survenus en 2025, dont 22 000 violations de données confirmées ayant touché des organisations dans 145 pays, Verizon affirme que « le mobile est plus dangereux que l'e-mail ».

Une série d'évaluations par simulation de phishing vient étayer cette affirmation : les vecteurs d'attaque centrés sur le mobile — notamment le phishing vocal (vishing) et les escroqueries par SMS — se sont révélés être des appâts efficaces, atteignant un taux de clics supérieur de 40 % à celui des escroqueries par hameçonnage traditionnelles par e-mail.

Le facteur humain

Les personnes constituent souvent le maillon faible des systèmes de sécurité, et les cybercriminels le savent. Cependant, cela ne signifie pas que nous n’améliorons pas notre sensibilisation générale à la cybersécurité ; cela signifie simplement que les cybercriminels changent de tactique.

Selon le rapport de Verizon, le « facteur humain » était présent dans 62 % des violations de données connues et enregistrées, soit une légère augmentation de 2 % d’une année sur l’autre.

Malheureusement, les données révèlent que de nombreux cybercriminels abusent de notre confiance pour voler des données, commettre des fraudes aux paiements ou servir de précurseurs à de graves incidents de sécurité, notamment le déploiement de ransomware et l’extorsion.

Lorsque l’envoi d’un e-mail de phishing ne suffit pas, ils ont recours à ce que Verizon appelle le « prétexting », une évolution préoccupante qui met en évidence le rôle de plus en plus important joué par la psychologie dans les cyberattaques modernes.

Pretexting vs hameçonnage

L'ingénierie sociale, qui représente 16 % de toutes les violations, désigne l'exploitation psychologique visant à nous persuader de prendre des mesures qui mettent en danger notre sécurité et notre vie privée, ou celles d'une entreprise, comme notre employeur.

Ces tactiques peuvent aller d'un membre du personnel autorisant un criminel se faisant passer pour un livreur à entrer dans un bâtiment sécurisé à une personne se faisant passer pour l'un de vos proches en situation d'urgence financière.

Appliqué aux technologies mobiles, le phishing prend souvent la forme de faux SMS, de messages vocaux et d'appels à des fins malveillantes. Il ne s'agit pas simplement d'un cybercriminel se faisant passer pour vous et appelant votre opérateur télécom pour échanger votre carte SIM ; si le « prétexting » est utilisé comme tactique, une relation de confiance s'établit entre le criminel et la victime avant que le piège ne se referme.

Un exemple de Pretexting

Considérez cela comme une évolution par rapport aux tentatives de phishing génériques utilisées dans des attaques ciblées et plus sophistiquées. Par exemple, un employé du service financier pourrait être pris pour cible, une relation amicale étant établie par le biais de messages et d’appels mobiles, et l’attaquant se faisant passer pour un cadre, un membre de l’équipe ou un fournisseur. Une fois qu’une confiance suffisante a été établie, la victime est alors amenée à modifier les détails de paiement d’une facture, envoyant ainsi de l’argent à son insu à un criminel plutôt qu’à un fournisseur.

Les taux de clics moyens pour les campagnes de phishing par e-mail simulées dans l'ensemble de données de Verizon s'élevaient à 1,4 %, contre environ 2 % pour le phishing par téléphone, soit une augmentation de 40 %.

« Quelle que soit la terminologie utilisée, divers attaquants ont exploité ces moyens en se faisant passer pour des agents du service d'assistance ou des utilisateurs ayant besoin d'une réinitialisation de mot de passe, avec un succès modéré », indique le rapport. « En conclusion, les attaques sociales utilisant des vecteurs centrés sur le téléphone — SMS, appels vocaux ou e-mails axés sur le rappel — ont plus de succès dans notre base de données que l'utilisation du vecteur e-mail traditionnel auquel les défenseurs sont habitués. »

La grande question de l'IA fantôme

L'étude de Verizon a également révélé que près d'un tiers (31 %) des violations commencent désormais par l'exploitation de vulnérabilités. C'est la première fois que l'exploitation de failles de sécurité dépasse l'utilisation d'identifiants volés comme point d'entrée initial dans un système cible, désormais enregistrée comme la cause de 13 % des incidents.

Cette évolution serait due à l’IA. Selon le rapport, l’IA est exploitée par les cybercriminels pour réduire le temps nécessaire à l’exploitation des vulnérabilités, « réduisant ainsi la fenêtre de défense de plusieurs mois à quelques heures seulement ».

Une autre tendance intéressante dont les organisations doivent être conscientes est celle de l’IA fantôme. Les entreprises connaissent depuis longtemps l’informatique fantôme (shadow IT), c’est-à-dire l’utilisation d’appareils et de services en ligne par les employés sans autorisation explicite. Mais l’IA fantôme constitue désormais également un risque potentiel pour la sécurité.

Au total, 67 % des employés utilisent des comptes d’IA non professionnels sur leurs appareils fournis par l’entreprise. L’IA fantôme était la troisième menace interne non malveillante la plus courante enregistrée l’année dernière, les utilisateurs soumettant fréquemment des données sensibles et confidentielles de l’entreprise à ces modèles, notamment du code source, des recherches et des documents techniques.

Comment se protéger

Les échantillons étant de petite taille, les conclusions de l'étude de Verizon sur le phishing axé sur les appareils mobiles doivent être considérées avec prudence. Cela s'explique toutefois par le manque de données disponibles, car peu d'entreprises semblent mener des simulations ou des formations sur le phishing axé sur les appareils mobiles — ce qui, en retour, a mis en évidence un problème potentiel.

La formation au hameçonnage n'est pas une nouveauté, même si ses avantages sont discutables, surtout lorsqu'elle est considérée comme un simple exercice annuel à cocher sur une liste. Mais comme peu d'organisations prennent en compte l'aspect mobile des tactiques modernes de hameçonnage, elles s'exposent peut-être à des risques plus importants, en particulier lorsque les employés utilisent leurs propres appareils pour accéder aux réseaux et systèmes de l'entreprise.

Si les cybercriminels sont autorisés à contourner les systèmes de sécurité en contactant directement des employés peu méfiants, les investissements dans les défenses anti-hameçonnage pourraient s'avérer inutiles.

Pour les organisations, la solution consiste à développer de nouvelles stratégies pour lutter contre les menaces de phishing traditionnelles et en constante évolution, tant par e-mail que sur mobile. Le « prétexting » étant également en hausse, la formation doit enseigner au personnel que le phishing ne se résume plus à l'envoi massif d'e-mails : ces criminels vont jouer sur vos émotions et exploiter votre confiance pour atteindre leurs objectifs.

De plus, ces attaques peuvent se produire via les appareils personnels des employés, qui échappent à votre contrôle et pourraient constituer des menaces invisibles pour la sécurité de l'entreprise ; les organisations devraient donc reconsidérer l'autorisation d'accès ou la suppression des programmes « BYOD » (Bring Your Own Device). Permettre aux membres du personnel d'utiliser leurs propres smartphones peut permettre aux entreprises de réaliser des économies à court terme, mais une violation de données coûte cher.