Selon le dernier Digital Defense Report de Microsoft, les mails de phishing générés par intelligence artificielle ont atteint un taux de clics de 54 %, c’est 4,5 fois plus que les attaques classiques. Plus ciblées, plus crédibles, plus rentables : l’IA change radicalement l’économie de l’arnaque en ligne.
Un mail de votre service informatique. Un message d’avis de livraison d’une commande sans la moindre faute sur votre smartphone. Une relance fournisseur parfaitement formulée. Vous cliquez, presque machinalement. Ce que vous venez d’ouvrir n’est pas une maladresse de cybercriminel, mais le produit d’une intelligence artificielle entraînée à écrire comme un collègue, à penser comme un humain, à persuader comme un professionnel.
Dans son dernier Digital Defense Report, Microsoft met des chiffres sur ce basculement : les mails de phishing générés par IA ont atteint un taux de clics de 54 % l’an dernier, contre 12 % pour les campagnes classiques. L’arnaque devient 4,5 fois plus efficace – et potentiellement 50 fois plus rentable. Le phishing n’a pas seulement gagné en volume. Il a gagné en qualité.
54 % de clics : la fin du phishing approximatif
Pendant longtemps, le phishing avait un défaut : il se voyait. Fautes d’orthographe, tournures bancales, adresses suspectes. Il suffisait parfois d’un détail pour éveiller le doute. Les modèles génératifs ont effacé ces signaux faibles. Désormais, les cybercriminels peuvent produire en quelques secondes des mails impeccablement rédigés, adaptés à la langue locale, au secteur d’activité, au contexte professionnel. Un message RH, une alerte bancaire, une relance fournisseur, une demande urgente de l’IT : tout paraît plausible.
L’IA permet surtout de personnaliser à grande échelle. Là où un attaquant devait auparavant rédiger un message générique pour des milliers de cibles, il peut désormais générer des variantes contextualisées, testées, optimisées. Microsoft parle d’un « retour sur investissement massif ». Le phishing, jusque-là relativement artisanal, devient une industrie.
Une rentabilité démultipliée
Pourquoi parler d’une rentabilité multipliée par 50 ? Parce que l’IA réduit presque à zéro le coût de production. Plus besoin de recruter des anglophones ou des rédacteurs spécialisés. Plus besoin de copier-coller maladroitement des templates. L’IA traduit, reformule, adapte le ton, simule une conversation interne crédible.
Elle permet aussi de produire des milliers de versions légèrement différentes pour contourner les filtres antispam ; d’analyser les taux de clics et d’ajuster le message en continu ; d’automatiser des scénarios complets (relance, faux support technique, suivi).
On bascule dans une logique d’optimisation permanente. Selon le rapport de Microsoft, 52 % des attaques documentées sur la période avaient une motivation financière. L’IA en améliore brutalement la productivité.
Avec l’intelligence artificielle, le phishing n’est plus seul
Autre évolution mise en avant par Microsoft : les attaques sont de plus en plus multi-étapes. Le phishing ne sert plus seulement à voler un mot de passe. Il ouvre la porte à des chaînes d’attaque plus complexes : inondation de boîtes mail pour masquer une alerte critique, faux support technique, usurpation d’identité à travers des outils collaboratifs comme Microsoft Teams, installation guidée d’outils d’accès à distance…
Le rapport souligne notamment la montée de la technique dite « ClickFix », qui pousse l’utilisateur à exécuter lui-même une commande malveillante sous prétexte de corriger un problème. Ce type d’approche a représenté 47 % des méthodes d’accès initial observées par les équipes de Microsoft, devant le phishing traditionnel (35 %). Bref, désormais, les attaquants ne « cassent » plus les systèmes : ils amènent les utilisateurs à leur ouvrir la porte. Le phishing devient plus psychologique que technique. Les modèles de langage produisent des textes sans aspérités, trop propres pour éveiller la méfiance, et l’erreur grossière qui servait autrefois de signal d’alerte disparaît.
