Les campagnes de phishing de 2025 n’ont plus grand-chose à voir avec celles d’il y a quelques années.
Les formulations sont plus propres, les logos plus crédibles, les signatures plus cohérentes, et les scénarios mieux pensés. Le message n’essaie plus toujours de paraître “officiel” de manière grossière. Il cherche surtout à paraître normal.
C’est ce qui change tout.
Aujourd’hui, même un collaborateur prudent peut hésiter. Le problème n’est plus seulement de repérer un e-mail mal écrit. Le problème, c’est qu’un message frauduleux peut désormais ressembler à un échange professionnel banal.
Dans ce contexte, la bonne stratégie ne consiste plus à compter uniquement sur le flair humain. Elle repose sur plusieurs couches de protection : techniques, organisationnelles et comportementales.
1. Ce qui a changé récemment
Le phishing s’est professionnalisé.
Les attaquants exploitent désormais des outils capables de produire des messages plus naturels, de s’adapter à un service précis et de reprendre les codes d’une vraie communication interne ou fournisseur.
On voit ainsi apparaître plus souvent :
- des messages rédigés dans un ton RH, finance ou direction ;
- des demandes de virement ou de changement d’IBAN beaucoup plus crédibles ;
- des campagnes de MFA fatigue, où l’on pousse l’utilisateur à valider par lassitude ;
- des QR codes piégés dans des documents ou des pièces jointes ;
- des scénarios mêlant e-mail, appel, visio ou messagerie ;
- des chaînes d’attaque plus fluides : message, faux lien, portail cloné, vol de session.
Le phishing n’est donc plus seulement un e-mail suspect.
C’est parfois un vrai parcours de manipulation.
2. Les scénarios les plus réalistes aujourd’hui
Certaines attaques reviennent souvent, justement parce qu’elles paraissent plausibles.
La fausse facture fournisseur
Tout semble habituel. Même ton, même présentation, même interlocuteur apparent. Seule une ligne change vraiment : l’IBAN.
Le faux message Microsoft 365 ou Google
“Votre session a expiré”, “une activité inhabituelle a été détectée”, “merci de vous reconnecter”. Le portail paraît propre, le domaine semble proche, et le geste demandé paraît banal.
Le faux message RH ou paie
Mise à jour des avantages, changement de procédure, document à consulter, nouvel espace collaborateur. Le sujet touche quelque chose de sensible, donc on clique plus facilement.
Le faux colis ou paiement mineur
Un SMS, puis un e-mail. Un petit montant, une action rapide, une impression de routine. C’est souvent suffisant pour faire baisser la vigilance.
La pièce jointe “comptable”
Bilan à valider, document partagé, demande du cabinet, accès cloud à confirmer. Là aussi, l’attaque joue sur la normalité.
Un réflexe reste très utile : regarder le domaine réel, pas seulement le nom affiché.
C’est souvent là que le piège se voit encore le mieux.
3. Pourquoi les protections classiques ne suffisent plus seules
Les anciens réflexes restent utiles, mais ils ne couvrent plus tout.
Pendant longtemps, beaucoup de personnes repéraient une tentative de phishing grâce :
- aux fautes ;
- aux formules étranges ;
- aux demandes trop grossières ;
- aux liens visiblement suspects.
Aujourd’hui, ces indices existent encore, mais beaucoup moins souvent.
Un message peut être très bien écrit et rester malveillant.
C’est pour cela qu’une PME ne peut plus compter uniquement sur l’œil humain ou sur un filtrage de base. Il faut accepter une idée simple : un e-mail crédible n’est pas forcément légitime.
4. Les couches de protection qui font vraiment la différence
Une messagerie mieux protégée
SPF, DKIM et DMARC restent des bases utiles. Ils n’arrêtent pas tout, mais ils réduisent déjà une partie des abus liés à l’usurpation de domaine.
Un filtrage plus intelligent
Sandbox des pièces jointes, analyse des liens, alertes sur les domaines récents ou externes : tout cela aide à faire remonter les messages réellement douteux.
Un MFA plus robuste
Le MFA est indispensable, mais mal configuré il peut aussi fatiguer les utilisateurs. Il faut éviter les mécanismes trop faciles à valider par réflexe.
Des postes plus difficiles à exploiter
Blocage des macros inutiles, mises à jour sérieuses, contrôle des applications autorisées, EDR actif : ce sont des barrières importantes quand le clic a déjà eu lieu.
Des règles métier simples
Aucun changement d’IBAN par e-mail seul. Aucune demande de paiement urgent sans double validation. Aucune décision sensible sur un seul canal.
Une vraie culture du signalement
Les équipes doivent pouvoir dire “ce message me paraît étrange” sans gêne ni peur d’avoir tort. Une culture utile repose plus sur le réflexe de remonter que sur la honte d’avoir failli cliquer.
5. La check-list simple avant d’ouvrir ou de cliquer
Avant d’aller plus loin, il faut se poser quelques questions très concrètes :
- l’adresse exacte correspond-elle vraiment au contact habituel ?
- le domaine est-il correct jusque dans les détails ?
- le message crée-t-il une urgence inhabituelle ?
- le lien renvoie-t-il vers un domaine cohérent ?
- la demande peut-elle être vérifiée autrement ?
- l’IBAN, le moyen de paiement ou l’interlocuteur changent-ils soudainement ?
- d’autres collaborateurs ont-ils reçu le même message au même moment ?
Si plusieurs signaux s’additionnent, mieux vaut ralentir.
En matière de phishing, prendre deux minutes de plus vaut souvent mieux que corriger deux jours de dégâts.
6. Ce qui fonctionne le mieux pour sensibiliser une PME
Les longues formations génériques fatiguent vite. Ce qui marche mieux, ce sont des formats courts, réguliers et proches du quotidien.
Une bonne approche peut tenir sur quelques principes :
- un micro-module mensuel ;
- une simulation réaliste de temps en temps ;
- un atelier ciblé pour les profils les plus exposés ;
- des indicateurs simples : clic, signalement, progression.
Le plus important n’est pas de “piéger” les équipes.
C’est de créer des habitudes de vérification.
7. Que faire si quelqu’un a cliqué ?
C’est souvent là que tout se joue.
Si un collaborateur a cliqué, il faut éviter les gestes improvisés.
Les bons réflexes sont généralement :
- couper le réseau du poste si nécessaire ;
- ne pas redémarrer dans la précipitation ;
- noter l’heure, l’expéditeur, l’objet et le lien ;
- prévenir l’équipe IT ou le canal officiel prévu ;
- changer le mot de passe concerné ;
- invalider les sessions actives ;
- vérifier s’il existe d’autres comptes ou boîtes touchés.
Le vrai danger n’est pas seulement le clic.
C’est ce qui se passe ensuite si personne ne regarde rapidement.
Conclusion
En 2025, presque personne ne peut prétendre repérer à l’œil nu tous les e-mails piégés.
Le phishing est plus fluide, plus crédible, plus professionnel. La bonne réponse n’est donc pas de demander aux équipes d’être parfaites. La bonne réponse, c’est d’organiser une défense en profondeur : une messagerie mieux configurée, des accès mieux protégés, des règles métier claires et une culture du signalement simple.
Parce qu’au fond, le vrai objectif n’est pas d’empêcher chaque tentative d’arriver.
Le vrai objectif, c’est qu’un message, même convaincant, ne suffise pas à faire tomber toute l’entreprise.
