Le phishing (ou hameçonnage en français) est une technique de cyberattaque fondée sur l’ingénierie sociale. Elle consiste à duper un utilisateur en se faisant passer pour une entité de confiance, dans le but de récupérer ses données sensibles : mots de passe, identifiants bancaires, numéros de carte, accès professionnels, etc. Apparu au milieu des années 1990 avec l’essor des services en ligne comme AOL, le phishing a rapidement évolué vers des formes plus sophistiquées, exploitant les failles humaines plus que les failles techniques.
Le phishing s’appuie sur une compréhension fine des comportements utilisateurs. Il vise non seulement les particuliers mais aussi les entreprises, les institutions publiques et même les systèmes industriels. De l’email frauduleux aux clones de sites web officiels, en passant par les attaques vocales et SMS, les vecteurs d’attaque se sont multipliés avec l’accélération numérique. Aujourd’hui, c’est l’une des méthodes d’intrusion les plus répandues dans le monde, avec un impact croissant sur la cybersécurité globale.
Techniques et typologies du phishing : Une menace protéiforme
Le phishing constitue aujourd’hui une menace plurielle et évolutive, capable de s’adapter à chaque vecteur numérique. Au-delà du classique courriel piégé, cette cybermenace utilise une large gamme de techniques de plus en plus sophistiquées, exploitant aussi bien des failles techniques que des vulnérabilités humaines (erreur de jugement, manque de formation, comportement d’urgence). Voici les principales variantes et leurs mécanismes techniques :
| Type de phishing | Description technique |
|---|---|
| Email phishing | Le plus courant. Il consiste à envoyer un email frauduleux imitant une entité connue (banque, administration, service client), avec un lien vers un site factice. Ces emails utilisent des techniques comme le spoofing de domaine (ex. : domaine proche de l’original) et des kits de phishing (kits HTML/CSS préconçus) pour recréer l’apparence d’un site légitime. L’objectif est d’amener l’utilisateur à saisir ses identifiants ou données bancaires. |
| Smishing | Dérivé de « SMS » + « phishing ». Un message texte est envoyé à la victime, souvent avec un lien court (type bit.ly) pour masquer la véritable destination. L’ingénierie sociale repose ici sur l’urgence (ex. : « votre colis est bloqué », « fraude détectée sur votre compte »). Une redirection vers une page de phishing mobile ou un malware peut suivre. |
| Vishing | Contraction de « voice » et « phishing ». L’attaquant appelle directement la cible en se faisant passer pour un support technique ou une entité bancaire. Des techniques de spoofing vocal ou d’usurpation de numéro (Caller ID spoofing) permettent de faire apparaître le numéro de téléphone comme légitime. Le discours suit souvent un script convaincant incitant à livrer un OTP, un code de carte ou un mot de passe. |
| Spear phishing | Attaque ciblée, appuyée sur une phase de reconnaissance (reconnaissance passive via réseaux sociaux, sites professionnels). Le contenu est personnalisé (ex. : mention d’un projet en cours ou d’un collègue) pour crédibiliser la demande. Ces attaques visent souvent l’accès initial à des systèmes d’entreprise ou le contournement de mesures de sécurité (accès VPN, privilèges réseau). |
| Clone phishing | Le pirate intercepte un message légitime (par exemple via compromission d’un compte de messagerie) et le duplique à l’identique. Seule différence : le lien ou la pièce jointe est modifié(e) pour inclure un script malveillant ou un lien vers une page falsifiée. Très difficile à détecter, notamment dans les environnements professionnels ou en B2B. |
| Whaling | Variante du spear phishing qui cible des hauts responsables (CEO, CFO, DSI). Ces attaques peuvent imiter un fournisseur ou un collaborateur pour obtenir un virement bancaire, des accès réseau ou des documents confidentiels. On parle aussi de Business Email Compromise (BEC) lorsque la chaîne de communication interne est falsifiée. L’enjeu est souvent financier ou stratégique. |
| SIM-swapping | L’attaquant convainc un opérateur télécom de transférer le numéro de la victime vers une carte SIM qu’il contrôle. Une fois la ligne mobile détournée, il peut recevoir les codes de vérification (2FA par SMS), réinitialiser des mots de passe ou valider des transactions. Cette attaque s’appuie sur des informations préalablement volées (adresse, numéro client) via d’autres formes de phishing. |
Ces vecteurs d’attaque, bien que distincts, sont souvent utilisés en combinaison dans des campagnes dites « multi-vectorielles ». Par exemple, un premier email peut contenir un lien vers un faux site ; une fois les identifiants récupérés, une attaque SIM-swapping est lancée pour passer les protections 2FA, suivie d’une fraude bancaire automatisée via des scripts.
Les campagnes de phishing peuvent également être pilotées à l’aide de kits prêts à l’emploi vendus sur le dark web. Ces outils incluent des modèles d’emails, des scripts de redirection, des pages clonées et des techniques de contournement des filtres anti-spam. Certains groupes APT (Advanced Persistent Threats) utilisent même des serveurs proxy inverses pour capturer les données saisies en direct sur un vrai site, via une interface détournée.
Enfin, ces attaques sont souvent contextuelles : elles exploitent des événements réels ou des tendances actuelles (impôts, Black Friday, alertes bancaires, crises géopolitiques). Leur force repose sur la pression émotionnelle et l’urgence : sentiment de danger, de perte ou de récompense immédiate.
Face à ces menaces, la cybervigilance individuelle et collective est plus que jamais une priorité, combinée à des solutions techniques robustes de filtrage, d’analyse comportementale et de sensibilisation continue.
Origines historiques et cas emblématiques de phishings
Le terme « phishing » est une altération orthographique du mot « fishing » (pêche), symbolisant l’idée de « jeter un appât » numérique pour « attraper » des informations. Il serait apparu vers 1996 dans les communautés de hackers sur les forums et salons de discussion fréquentés par les utilisateurs d’AOL. À cette époque, les pirates utilisaient des programmes comme AOHell pour se faire passer pour des administrateurs AOL et ainsi voler les mots de passe des utilisateurs via des messages privés simulant une procédure de vérification de compte. Cette technique d’ingénierie sociale marquait le début d’une ère où la manipulation psychologique devenait une arme informatique.
L’évolution du phishing est intimement liée à celle des usages numériques. Avec l’essor de la banque en ligne, du commerce électronique, puis des réseaux sociaux et des services cloud, les cybercriminels ont continuellement adapté leurs tactiques aux nouvelles habitudes numériques des utilisateurs. Les campagnes de phishing modernes combinent désormais usurpation de domaine, copies parfaites d’interfaces web et scripts automatisés capables de collecter des données en temps réel.
Quelques affaires emblématiques montrent le potentiel destructeur de ces attaques :
- APT28 (Fancy Bear) – 2016 : Ce groupe de pirates soutenu par le renseignement militaire russe (GRU) a utilisé le spear phishing pour compromettre les comptes Gmail de Google de membres du Parti démocrate américain, contribuant à la fuite d’emails internes pendant la campagne présidentielle ;
- Sony Pictures – 2014 : Des emails piégés ont permis l’installation de malwares destructeurs sur les serveurs de Sony. Cette attaque, attribuée à un groupe nord-coréen, a entraîné une paralysie du studio, des fuites massives de données internes et des pertes estimées à plusieurs dizaines de millions de dollars ;
- Campagne mondiale contre les chercheurs COVID-19 – 2020 : Des laboratoires pharmaceutiques et des instituts de recherche ont été ciblés par des emails de spear phishing se faisant passer pour des institutions sanitaires internationales. L’objectif était de voler des données sur les recherches en cours sur les vaccins ;
- Colonial Pipeline – 2021 : L’accès initial à ce réseau énergétique américain a été facilité par le vol d’un identifiant VPN, vraisemblablement récupéré via phishing ou credential stuffing. Cela a permis un déploiement de ransomware ayant interrompu la distribution de carburant sur toute la côte Est des États-Unis.
Ces attaques démontrent la montée en puissance du phishing comme arme stratégique, non seulement pour des escroqueries individuelles, mais aussi pour des cyberopérations étatiques ou criminelles à large échelle.
Risques, conséquences et vecteurs d’impact du phishing
Le phishing est souvent sous-estimé car il repose sur des mécanismes simples, mais ses conséquences sont particulièrement redoutables, surtout lorsqu’il sert de point d’entrée à des attaques informatiques beaucoup plus complexes. Une fois les données récoltées, les cybercriminels peuvent déclencher diverses formes d’exploitation :
- Vol de données personnelles : noms, prénoms, adresses, numéros de sécurité sociale, numéros de carte bancaire ou mots de passe sont des données monnayables sur le dark web ou utilisées pour l’usurpation d’identité ;
- Intrusion dans des systèmes d’information : à partir d’un simple compte compromis, un pirate peut escalader les privilèges, propager des logiciels espions ou se déplacer latéralement dans le réseau ;
- Fraudes bancaires : transfert de fonds, paiement de fausses factures ou création de fausses identités pour ouvrir des lignes de crédit ;
- Espionnage économique et industriel : fuite de brevets, documents confidentiels, prototypes, données clients ou résultats de recherche ;
- Déploiement de malwares : ransomware (ex. : LockBit, REvil), trojans, keyloggers… installés à la faveur d’une pièce jointe corrompue ou d’un script embarqué.
Le phishing agit comme une porte ouverte sur tout un cycle d’attaque : reconnaissance → compromission → installation → action → exfiltration. Dans les environnements professionnels, il compromet souvent les chaînes de confiance entre employés, fournisseurs, clients ou partenaires. Une seule erreur humaine peut ainsi causer une fuite massive de données sensibles.
Les impacts sont également juridiques et réputationnels : violations du RGPD, perte de confiance des utilisateurs, poursuites judiciaires, dévaluation boursière. Dans certains cas, les entreprises visées ont été contraintes de verser des rançons ou de suspendre temporairement leur activité (ex : hôpitaux, services publics, entreprises industrielles).
Enfin, dans une ère dominée par la dématérialisation, le phishing s’impose comme un vecteur transversal, capable d’affecter toutes les strates de la société numérique. Sa lutte repose sur une combinaison de technologies proactives (filtrage, IA, détection comportementale) et de réflexes humains bien formés.
Les stratégies de protection et bonnes pratiques contre le phishing
Face à l’ampleur et à la complexité croissantes des attaques par phishing, la protection repose sur une approche multicouche alliant prévention technique, formation humaine et adaptation continue aux nouvelles méthodes employées par les cybercriminels. Que l’on soit simple utilisateur ou responsable de la sécurité informatique d’une entreprise, certaines bonnes pratiques sont aujourd’hui incontournables.
Pour les particuliers :
Pensez à :
- Vérifier l’adresse de l’expéditeur et analyser soigneusement l’URL des liens avant de cliquer : un domaine suspect, une faute de frappe ou un nom d’expéditeur incongru doivent immédiatement alerter ;
- Activer l’authentification à deux facteurs (2FA) sur tous les comptes importants (messagerie, banque, réseaux sociaux). Cette seconde couche de sécurité empêche l’accès même en cas de vol de mot de passe ;
- Ne jamais transmettre d’informations sensibles (codes, mots de passe, RIB) par email ou téléphone, même si la demande semble émaner d’une source fiable ;
- Utiliser un gestionnaire de mots de passe pour générer et stocker des identifiants robustes et uniques pour chaque service ;
- Maintenir les systèmes à jour : une faille non corrigée dans un navigateur, une application ou un système d’exploitation peut être exploitée via un lien malveillant.
Pour les entreprises :
Voici ce qu’il convient de faire :
- Former régulièrement les collaborateurs à reconnaître les tentatives de phishing : campagnes de simulation, quiz interactifs, analyses de cas réels ;
- Déployer des protections techniques avancées : filtrage SMTP/IMAP, détection de liens piégés, antivirus à jour, sandboxing pour les pièces jointes ;
- Configurer les protocoles SPF, DKIM et DMARC pour empêcher l’usurpation de domaine et l’envoi de faux emails au nom de l’entreprise ;
- Adopter des outils de surveillance de terminaux comme les EDR (Endpoint Detection & Response), capables de détecter des comportements suspects en temps réel ;
- Segmenter les réseaux internes et limiter les privilèges administratifs pour éviter la propagation latérale d’un malware en cas de compromission initiale.
Le phishing comme vecteur de ransomware
Au-delà du vol de données, le phishing est aujourd’hui l’un des principaux canaux de diffusion des ransomwares — ces logiciels malveillants qui chiffrent les données de l’utilisateur ou de l’entreprise, exigeant ensuite une rançon pour leur restitution. De nombreuses attaques récentes (Ryuk, Conti, LockBit, Clop…) ont débuté par un simple clic sur une pièce jointe ou un lien piégé dans un email frauduleux.
Ces ransomwares exploitent souvent des macros dans des documents Office, des fichiers compressés contenant des
exécutables ou encore des failles de logiciels non corrigées. Une fois introduits dans le système, ils peuvent :
- chiffrer l’ensemble des données accessibles,
- désactiver les sauvegardes locales,
- propager latéralement à travers le réseau,
- voler des informations avant le chiffrement (double extorsion).
C’est pourquoi une politique anti-phishing efficace constitue une première ligne de défense contre les ransomwares. La mise en œuvre de sauvegardes régulières déconnectées (offline ou cloud isolé) est également essentielle pour restaurer les données en cas d’attaque réussie.
Signaler les tentatives et agir collectivement
La cyber-hygiène collective repose aussi sur la capacité de chaque utilisateur à identifier et à signaler les tentatives de fraude. En France, les incidents peuvent être remontés via :
- cybermalveillance.gouv.fr : plateforme nationale d’assistance et de prévention ;
- phishing-initiative.eu : site permettant de signaler des liens frauduleux pour blocage automatique par les navigateurs ;
- signal-spam.fr : plateforme dédiée au signalement des courriels indésirables.
En définitive, lutter contre le phishing nécessite une combinaison d’outils techniques, de formation continue et de réflexes quotidiens. Dans un monde numérique en perpétuelle mutation, la vigilance reste la meilleure défense.