Le facteur humain en 2026 : phishing dopé à l’IA, deepfakes et Shadow IA

Tôt le matin d’un lundi, 08 h 20. La responsable comptable reçoit un message d’un fournisseur connu. Le mail s’insère dans un échange existant, reprend la bonne référence de facture, le bon montant, la bonne signature. Il annonce un changement de coordonnées bancaires. Elle applique la règle maison : elle décroche pour vérifier. La voix au bout du fil est celle du commercial habituel, même débit, mêmes tics de langage. À 09 h 30, le virement part. Le mercredi matin, le vrai fournisseur relance pour une facture impayée.

Personne n’a cliqué sur un lien douteux, personne n’a ouvert une pièce jointe suspecte, aucun outil de sécurité n’a sonné. Le réflexe naturel, dans ces cas-là, c’est de chercher qui s’est fait avoir. La question arrive trop tard et elle n’est presque jamais la bonne. Ce qui détermine l’issue a été décidé des mois plus tôt : la manière dont une demande de paiement se valide, ce que les équipes ont le droit de coller dans un outil d’intelligence artificielle, et la fréquence à laquelle on s’entraîne. L’IA générative n’a pas inventé l’escroquerie, elle a supprimé les signaux qui permettaient de la repérer. Voici ce qui a réellement changé en 2026, ce qui reste vrai, et comment organiser la défense sans transformer l’entreprise en commissariat.

Le phishing n’est plus une faute d’orthographe, c’est une conversation

Pendant 15 ans, on a appris aux équipes à repérer des indices : tournures bancales, logo pixelisé, adresse d’expéditeur approximative, urgence grossière. Ces indices étaient des défauts de fabrication, pas des caractéristiques de l’attaque. Les outils génératifs les ont effacés en deux ans. Un message rédigé dans un français impeccable, calé sur le vocabulaire du secteur et sur l’historique de la relation, ne déclenche plus aucun réflexe. C’est tout le sujet de l’IA générative appliquée au phishing : le coût de production d’un message crédible est tombé à presque rien.

Deux points sont systématiquement mal compris.

Le message n’est pas le début de l’attaque, c’est son aboutissement. Avant de l’écrire, l’attaquant a collecté de la matière : organigramme public, profils professionnels, communiqués, offres d’emploi, factures circulant dans une boîte mail déjà compromise chez un tiers. C’est cette matière qui rend le message juste, bien plus que la qualité de sa rédaction. Un hameçonnage ciblé réussi ressemble à une conversation normale parce qu’il s’appuie sur une relation réelle.

Le ciblage de masse et le ciblage fin ont fusionné. Personnaliser mille messages demandait autrefois un travail que seules des cibles à forte valeur justifiaient. Ce n’est plus le cas. Une TPE de 8 personnes reçoit aujourd’hui des messages du même niveau de finition qu’un grand compte, pour un attaquant qui ne vous a jamais rencontré. Vous n’êtes pas visé personnellement, vous êtes accessible.

Le scénario catastrophe, minute par minute

Une fraude réussie suit presque toujours le même déroulé. Le connaître à froid évite de le découvrir à chaud.

Moment	Ce qui se passe	Ce qui se joue pour vous
Semaines avant	Collecte d’informations publiques, compromission d’une boîte mail chez un partenaire, observation des échanges et des habitudes de facturation	La seule période où une anomalie peut encore être repérée côté partenaire
Jours avant	Préparation du message, du faux domaine, parfois d’un échantillon de voix récupéré sur une vidéo en ligne	Rien n’est visible depuis votre réseau : l’attaque se prépare ailleurs
Heure H	Demande de paiement ou d’accès, envoyée au bon moment : veille de congés, absence du dirigeant, clôture comptable	La question n’est plus de détecter, mais de savoir si la procédure tient sans la personne qui valide d’habitude
H + 1 heure	Vérification par le canal indiqué dans le message. La confirmation vient de l’attaquant	Le point de bascule : vérifier sur le même canal revient à ne pas vérifier
H + 24 heures	Le virement est exécuté, les fonds sont déjà répartis sur plusieurs comptes	La fenêtre de rappel des fonds se referme très vite
Semaines suivantes	Plainte, déclaration à l’assureur, analyse de ce qui a fuité, remise à plat des procédures	Le coût réel se joue là, entre le montant perdu et le temps passé à reconstruire la confiance

Un détail compte dans ce tableau : à aucun moment un logiciel malveillant n’est nécessaire. La chaîne entière peut se dérouler sans la moindre intrusion technique, ce qui explique pourquoi les outils de détection restent muets et pourquoi la défense se joue ailleurs.

Deepfake et clonage vocal : ce qui est devenu facile, ce qui reste difficile

Le clonage de voix a basculé le premier. Quelques dizaines de secondes d’enregistrement suffisent aujourd’hui, et ces secondes existent presque toujours : une vidéo d’entreprise, un podcast local, une intervention filmée lors d’un salon, un message laissé sur un répondeur. La voix, qui servait de preuve d’identité depuis toujours au téléphone, n’en est plus une.

La vidéo suit, avec un décalage. Un visage animé en direct, convaincant sur une petite fenêtre de visioconférence, pendant une poignée de secondes, est à portée d’un attaquant motivé. Tenir une conversation longue, réagir à l’imprévu, répondre à une question qui sort du script reste nettement plus difficile. C’est précisément là que se logent les parades.

Ce qui reste coûteux pour l’attaquant, c’est l’interaction non préparée. D’où 3 tests qui fonctionnent encore, à condition d’avoir été décidés avant :

• Changer de canal. Vous rappelez sur le numéro que vous avez dans votre fichier, jamais sur celui du message. Vous passez sur un autre outil, vous vous déplacez de deux bureaux.
• Poser une question hors contexte. Une question dont la réponse n’est écrite nulle part sur internet, et qui n’a rien à voir avec le sujet de l’appel.
• Demander une action physique improvisée. Tourner la caméra vers la pièce, se lever, montrer un objet désigné sur le moment.

Aucun de ces tests n’est infaillible, et surtout aucun ne fonctionne s’il faut l’inventer sous pression, face à quelqu’un qui a la voix de son patron. Ils ne valent que parce qu’ils ont été écrits, expliqués et autorisés à l’avance.

Le Shadow IA : la fuite qui ne déclenche aucune alerte

L’autre moitié du sujet ne vient pas des attaquants, elle vient de l’intérieur, et sans la moindre intention de nuire. Le Shadow IA désigne l’usage d’outils d’intelligence artificielle non validés par l’entreprise, sur des comptes personnels, avec des données professionnelles. Un commercial qui fait résumer un contrat, une assistante qui fait reformuler un courrier de licenciement, un développeur qui colle un bout de code contenant des identifiants : chacun gagne du temps, et personne ne se vit comme un risque.

Ce phénomène ne se détecte pas avec les outils habituels. Il n’y a ni logiciel installé, ni pièce jointe, ni connexion anormale. Il y a un onglet de navigateur et un copier-coller. Quand une direction découvre l’ampleur réelle des usages, c’est presque toujours à l’occasion d’un audit ou d’un incident, jamais par une alerte.

Usage courant	Ce qui sort de l’entreprise	Risque concret
Résumer un contrat ou un appel d’offres	Clauses, prix, conditions négociées	Perte de confidentialité commerciale, manquement à une clause de secret
Rédiger un courrier RH	Nom, situation personnelle, éléments de santé ou de litige	Traitement de données sensibles hors de tout cadre, exposition au regard du RGPD
Nettoyer un fichier client	Base nominative complète, parfois historique d’achats	Transfert non encadré de données personnelles, sous-traitant non référencé
Déboguer du code	Identifiants, clés d’accès, structure technique	Fuite de secrets réutilisables pour une intrusion
Préparer une réponse client	Échanges, réclamations, coordonnées	Perte de maîtrise sur ce qui est conservé et par qui

L’erreur de réflexe consiste à tout interdire. Une interdiction générale ne supprime pas l’usage, elle le rend invisible et prive l’entreprise des gains de productivité réels. La question n’est pas de savoir si vos équipes utilisent ces outils, mais lesquels, pour quelles données, et sur quels comptes. C’est exactement la démarche que nous détaillons pour intégrer l’IA dans une PME sans prendre de risque : un outil choisi, un cadre écrit en une page, 3 catégories de données clairement nommées, et une porte ouverte pour demander une exception.

Les réflexes qui tiennent encore quand le message est parfait

Si le contenu d’un message ne permet plus de trancher, la défense se déplace vers la procédure. Une règle qui ne dépend ni du ton, ni de la qualité de la rédaction, ni de la voix de l’interlocuteur résiste à un outil génératif, parce qu’elle ne porte pas sur ce qui a été imité.

• Toute demande de paiement se valide sur un canal indépendant de celui qui l’a émise. Un mail se vérifie par téléphone sur un numéro connu, un appel se vérifie par un autre moyen. La règle vaut aussi pour le dirigeant, surtout pour lui.
• Un changement de coordonnées bancaires n’est jamais traité en flux. Il déclenche une procédure écrite, avec rappel sur l’ancien numéro du fournisseur et validation par une deuxième personne, quel que soit le montant et quelle que soit l’urgence invoquée.
• Un mot de passe de confiance pour les demandes sensibles, convenu à l’oral entre les personnes concernées, jamais écrit dans un outil connecté. Il coûte 10 minutes à mettre en place et neutralise un appel cloné.
• Le droit explicite de ralentir. Un collaborateur doit pouvoir dire « je vérifie et je rappelle » sans craindre de contrarier sa hiérarchie. Si la culture maison punit la lenteur, aucune procédure ne tiendra face à un message pressant.
• La vérification des liens et des domaines reste utile, même quand le texte est parfait : l’adresse réelle derrière un bouton, l’extension du domaine, le détail d’un caractère substitué. Les méthodes concrètes pour repérer un lien piège en 2026 n’ont pas été rendues obsolètes par l’IA, elles sont devenues le dernier indice technique disponible.
• L’authentification à deux facteurs sur tous les accès sensibles, y compris les messageries. Un mot de passe volé, même par un message convaincant, ne suffit alors plus à ouvrir la porte.

Ces règles ont un point commun : elles déplacent la décision du jugement individuel vers un processus partagé. Le modèle de Reason appliqué à la cybersécurité explique pourquoi cela fonctionne : un incident n’arrive que lorsque plusieurs barrières défaillent en même temps. L’enjeu n’est pas d’avoir une barrière parfaite, c’est d’en avoir plusieurs, de nature différente.

Les premières heures : ce qu’il faut faire, et surtout ne pas faire

Qu’il s’agisse d’un virement parti ou d’un identifiant donné sur une fausse page, la réponse se joue sur les premières heures. Voici l’ossature, dans l’ordre.

• Appeler la banque immédiatement, avant toute analyse. La possibilité de bloquer ou de rappeler des fonds se mesure en heures, parfois en minutes. Le même réflexe vaut pour le prestataire de paiement d’une boutique en ligne.
• Changer les mots de passe concernés depuis un poste sain et fermer les sessions ouvertes. Si une messagerie a été compromise, vérifier les règles de redirection automatique créées à votre insu : c’est le mécanisme qui permet à une fraude de se prolonger pendant des semaines.
• Conserver les preuves. Message d’origine avec ses en-têtes complets, enregistrement d’appel s’il existe, journaux de connexion, ordre de virement. Ne pas supprimer le message par réflexe de gêne.
• Tenir un journal horodaté des constats et des décisions. Utile pour l’analyse, indispensable pour l’assureur, souvent réclamé par les autorités.
• Prévenir les personnes concernées et les partenaires exposés. Si votre messagerie a servi de point de départ, vos clients et fournisseurs reçoivent peut-être déjà des messages signés de votre nom.
• Ne pas chercher un coupable dans l’équipe. Une personne piégée qui craint la sanction signale tard, ou ne signale pas. C’est le meilleur moyen de transformer une alerte de 10 minutes en incident de 3 semaines.
• Ne pas improviser la communication. Un message maladroit aux clients, une déclaration hasardeuse à un fournisseur : ces mots-là restent.

Un principe vaut tous les outils : le signalement rapide est le meilleur investissement. Une fraude signalée dans l’heure se traite parfois avec un appel ; signalée le lendemain, elle devient un dossier.

E-commerce et PME : où le facteur humain coûte le plus cher

Sur une activité en ligne, la porte d’entrée humaine ne débouche pas seulement sur un virement perdu. Elle donne accès à l’outil qui fait vivre le chiffre d’affaires, et la réparation prend beaucoup plus de temps que l’attaque.

Porte d’entrée humaine	Ce que l’attaquant obtient	Ce que ça coûte vraiment
Accès à l’administration de la boutique	Modification des pages de paiement, ajout de comptes, injection de code	Détournement silencieux des paiements, perte de confiance, obligation d’informer les clients
Accès à la messagerie d’un commercial	Historique complet des échanges clients et fournisseurs	Fraude en cascade chez vos partenaires, avec votre nom dessus
Accès à l’hébergement ou au nom de domaine	Contrôle du site et des mails qui en dépendent	Site indisponible, campagnes payantes qui pointent vers une page morte, positions perdues
Installation d’un module demandé par un faux prestataire	Un code tiers dans votre boutique	Même mécanique que dans l’anatomie d’une cyberattaque par un module e-commerce : la faille entre par une demande légitime en apparence
Données clients collées dans un outil d’IA personnel	Une base nominative hors de votre contrôle	Violation de données à qualifier, traçabilité impossible à produire

Une contrainte revient dans chaque ligne : dès qu’il y a des données personnelles, l’incident n’est plus seulement technique, il devient un dossier à documenter. Et sur la partie messagerie, une bonne configuration des enregistrements SPF, DKIM et DMARC ne protège pas vos équipes, mais elle complique sérieusement l’usurpation de votre domaine auprès de vos clients. C’est une barrière peu coûteuse, et rarement en place.

Obligations, preuves et documentation

Une fraude au facteur humain est aussi un dossier administratif, et les délais sont courts. Si des données personnelles ont été compromises, la violation doit être notifiée à la CNIL dans les 72 heures, et les personnes concernées informées lorsque le risque est élevé. Un fichier client exporté vers un outil non maîtrisé entre dans ce cadre, au même titre qu’une intrusion. La plainte se dépose rapidement, notamment parce qu’elle conditionne certains dispositifs d’indemnisation : le remboursement d’une cyber-rançon par un assureur est par exemple soumis au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’infraction depuis la loi d’orientation et de programmation du ministère de l’Intérieur de 2023. Les conditions exactes de prise en charge d’une fraude au virement varient d’un contrat à l’autre, et c’est une discussion à avoir avec son courtier avant l’incident, pas après. Nous détaillons ces mécanismes dans notre guide de la cyber-assurance pour les PME.

Au-delà, les obligations sectorielles se renforcent. La directive NIS2 et ses obligations pour les PME impose aux entités concernées des délais de signalement resserrés et la démonstration qu’un dispositif existe et qu’il est éprouvé. La sensibilisation des équipes y figure explicitement : il ne suffit plus de dire qu’on forme ses collaborateurs, il faut pouvoir le prouver, avec des dates, des contenus et des participants.

Sur l’usage de l’IA, le cadre européen se met en place progressivement et ses obligations ne pèsent pas de la même façon sur un éditeur d’outil et sur une PME qui l’utilise. Pour une entreprise utilisatrice, le sujet immédiat reste le RGPD : une base de données personnelles envoyée vers un service non référencé dans votre registre de traitements pose un problème de conformité, indépendamment de toute attaque. Un registre des outils d’IA autorisés, tenu à jour, est aujourd’hui la pièce la plus simple à produire et la plus souvent absente.

Tester, sinon rien

Une consigne jamais jouée n’est pas une consigne, c’est une intention. Le test n’a rien de spectaculaire ni de coûteux : une campagne de faux messages envoyée en interne, puis 2 heures autour d’une table avec les questions qui font mal. Qui valide un virement quand le dirigeant est injoignable ? Que fait un collaborateur qui vient de cliquer, à qui parle-t-il, en combien de temps ? Quel numéro appelle-t-on pour vérifier un changement de RIB, et où est-il écrit ?

La campagne de phishing simulée a une vertu que n’a aucun support de formation : elle produit un chiffre, et ce chiffre bouge. Elle a aussi un piège, et il est sérieux. Si le taux de clic sert à désigner des coupables, vous obtenez une équipe qui apprend à ne plus rien signaler. Le seul indicateur qui compte vraiment n’est pas le nombre de personnes piégées, c’est le délai entre le clic et l’alerte. Une organisation où un collaborateur prévient en 4 minutes encaisse presque tout ; une organisation où il attend le lendemain par peur du reproche encaisse rarement.

Ce type d’exercice révèle en une matinée ce qu’aucun document ne montre : une procédure de validation qui repose sur une seule personne, en congés ; un numéro de fournisseur que personne ne retrouve ailleurs que dans le mail suspect ; une liste de contacts d’urgence datant d’il y a 3 ans. C’est tout l’intérêt d’une simulation de cyberattaque en entreprise, et le calcul se fait vite quand on met en regard le coût d’une sensibilisation et celui d’un incident.

Les erreurs les plus fréquentes face au facteur humain

Certaines fausses sécurités reviennent presque à chaque intervention.

• Former une fois, puis cocher la case. Une sensibilisation annuelle d’une heure ne survit pas à 6 mois de quotidien. Ce qui tient, c’est la répétition courte et le rappel au moment utile.
• Apprendre à repérer les indices d’écriture. Continuer à enseigner la faute d’orthographe et le logo flou revient à entraîner les équipes sur une menace qui n’existe plus sous cette forme.
• Faire reposer la validation sur une seule personne. Un dirigeant seul décisionnaire sur les paiements est un point unique de défaillance, et c’est exactement la configuration que l’attaquant cherche.
• Sanctionner celui qui a cliqué. La peur du reproche allonge le délai de signalement, qui est précisément la variable sur laquelle tout se joue.
• Interdire l’IA sans rien proposer. L’usage ne disparaît pas, il passe sur les comptes personnels, hors de toute visibilité.
• Croire que la taille protège. Le coût d’une attaque personnalisée ayant chuté, l’argument « nous sommes trop petits » ne tient plus comme critère de sélection des cibles.
• Oublier les partenaires. Vos fournisseurs et vos clients sont des portes d’entrée vers vous, et vous êtes la leur. Les procédures de vérification se partagent, elles ne s’écrivent pas chacun dans son coin.

Retour d’expérience : l’entreprise qui avait formé tout le monde, et rien changé

Un cas de terrain, anonymisé et reconstitué à partir de plusieurs situations observées.

Une PME de services, une quarantaine de salariés, nous contacte un mardi matin. Un virement de plusieurs dizaines de milliers d’euros est parti la veille vers un compte étranger, sur la base d’un changement de coordonnées bancaires annoncé par un fournisseur de longue date. Le dirigeant a une phrase qui résume tout : « on avait pourtant formé toute l’équipe l’an dernier. »

Ils avaient formé, effectivement. Le problème n’était pas l’absence de formation. Il était ailleurs, 3 fois ailleurs.

Le premier : la formation portait sur les signaux d’alerte classiques. Le message reçu n’en présentait aucun. Il reprenait un fil de discussion réel, démarré des semaines plus tôt depuis la messagerie compromise d’un salarié du fournisseur. La comptable a fait exactement ce qu’on lui avait appris : elle a cherché l’erreur, elle n’en a pas trouvé, elle a conclu que le message était authentique.

Le deuxième : la procédure de vérification existait, mais elle disait « vérifier auprès du fournisseur », sans préciser comment. Elle a donc appelé le numéro figurant dans la signature du mail. Personne n’avait écrit qu’un numéro de rappel ne se prend jamais dans le message à vérifier. La confirmation est venue de l’attaquant, avec une voix convaincante et un ton pressé de fin de journée.

Le troisième, le plus silencieux : au cours de l’analyse, on a découvert qu’une partie des échanges commerciaux et des exports clients transitait depuis des mois par des comptes personnels sur des outils d’IA grand public, pour gagner du temps sur les relances et les comptes rendus. Aucun lien direct avec la fraude n’a pu être établi, mais l’entreprise s’est retrouvée dans l’incapacité de dire précisément quelles données avaient été exposées, et depuis quand. C’est cette incertitude-là, plus que le virement, qui a occupé les semaines suivantes.

La suite s’est jouée vite sur le volet bancaire, trop tard pour récupérer les fonds, et plus lentement sur le reste : réécriture de la procédure de paiement avec un numéro de rappel issu du fichier fournisseur et une double validation au-delà d’un seuil, mise en place d’un mot de passe de confiance pour les demandes urgentes, choix d’un outil d’IA unique avec des comptes professionnels et un cadre d’usage écrit, campagne de messages simulés 2 fois par an.

Ce qui a le plus marqué le dirigeant n’est pas technique. C’est de réaliser qu’il avait acheté une formation en croyant acheter un réflexe. La leçon qu’il répète volontiers tient en peu de mots : tant que la vérification dépend de ce que les gens ressentent devant un message, elle dépend de la qualité du message, et cette qualité ne dépend plus de vous.

Se préparer sans fliquer ses équipes

Tenir face au phishing dopé à l’IA, aux deepfakes et au Shadow IA ne demande pas le budget d’un grand compte. Ça demande 4 choses : une procédure de paiement qui ne dépend pas du canal d’origine, une règle d’usage de l’IA tenant sur une page avec un outil validé, un entraînement court et répété plutôt qu’une formation annuelle, et une culture où signaler vite vaut mieux qu’avoir raison. Le reste, authentification à deux facteurs, protection du domaine, supervision, réduit la probabilité que ça arrive. Ces 4 points-là déterminent ce qui se passe si ça arrive quand même.

Et quand la fraude débouche sur un blocage technique, c’est l’autre moitié du sujet qui prend le relais, celle de la réponse à incident et de la continuité d’activité. Les deux se préparent ensemble, parce qu’elles commencent souvent par le même message reçu un vendredi soir.

Chez Zetruc, on aborde ce sujet avec une double casquette web et cyber : l’équipe qui construit et maintient vos outils est la même qui prépare la défense de ceux qui s’en servent. Campagne de phishing simulée, formation cybersécurité certifiée Qualiopi, cadrage des usages de l’IA en interne, exercice de crise, supervision continue : on adapte la profondeur à votre activité, à votre budget et à votre niveau de maturité. Si vous ne savez pas aujourd’hui comment votre comptable vérifierait un changement de RIB, ni quelles données de vos clients sont passées dans un outil d’IA ces 6 derniers mois, c’est précisément le bon moment : parlons-en avec notre équipe, on commence toujours par un état des lieux concret, sans jargon, pour identifier ce qui doit être renforcé en priorité.