Le phishing ne se résume plus à des emails truffés de fautes d’orthographe promettant un héritage improbable. Les données récentes dessinent un paradoxe : le volume global d’attaques par hameçonnage diminue, mais les pertes financières et les compromissions de comptes augmentent. Ce décalage entre quantité et impact mérite qu’on s’y arrête, parce qu’il révèle une mutation profonde des techniques employées par les attaquants.
Volume en baisse, dégâts en hausse : les chiffres du phishing en 2025
Le rapport ThreatLabz/Zscaler couvrant 2024-2025 pose un constat contre-intuitif. Le volume global de phishing recule d’environ 20 % par an sur deux années consécutives. Les filtres de messagerie, l’authentification multifacteur et la sensibilisation des utilisateurs portent leurs fruits sur le plan quantitatif.
Le même rapport indique que 95,2 % des activités de phishing transitent désormais par des canaux chiffrés (HTTPS). Les attaquants investissent moins dans la masse et davantage dans la qualité de chaque campagne. Le tableau ci-dessous résume cette bascule.
| Indicateur | Tendance | Source |
|---|---|---|
| Volume global de phishing | Baisse d’environ 20 % par an (2024 et 2025) | ThreatLabz / Zscaler |
| Part du phishing via HTTPS | 95,2 % | ThreatLabz / Zscaler |
| Kits PhaaS actifs | Nombre au moins doublé en 2025 | Rapports 2025-2026 multiples |
| Vishing (phishing vocal) | Croissance spectaculaire, doublement signalé | CrowdStrike 2025/2026 |
Ces données montrent que la menace se concentre : moins de messages envoyés, mais chacun est mieux ciblé, mieux maquillé et plus difficile à filtrer par les outils de sécurité classiques.
Phishing-as-a-service : l’industrialisation du contournement MFA
L’un des facteurs qui expliquent la montée en sophistication est l’essor du phishing-as-a-service (PhaaS). Ces plateformes commercialisent des kits prêts à l’emploi, accessibles à des attaquants sans compétences techniques avancées. Le modèle fonctionne par abonnement, avec support client et mises à jour régulières.
La différence avec les kits de phishing d’il y a trois ou quatre ans tient à un point précis : une part significative de ces kits intègre nativement des modules de contournement de l’authentification multifacteur. Concrètement, le kit se place en proxy entre la victime et le site légitime, capture le jeton de session en temps réel et rend le second facteur (SMS, application) inutile.
Ces kits embarquent aussi des mécanismes d’obfuscation d’URL conçus pour déjouer les passerelles de messagerie sécurisée. Le lien affiché dans l’email peut passer plusieurs redirections avant d’atteindre la page de phishing, ce qui complique la détection automatisée.
- Le kit intercepte la session authentifiée en se positionnant entre l’utilisateur et le service réel (technique dite Man in the Middle).
- Les URL sont masquées par des enchaînements de redirections et des domaines légitimes détournés, ce qui trompe les filtres de messagerie.
- Les mises à jour des kits PhaaS suivent celles des protections : quand une passerelle bloque un schéma d’URL, le kit s’adapte en quelques jours.
Le résultat est un décalage croissant entre la protection qu’un utilisateur croit avoir (MFA activé, filtre anti-spam en place) et la réalité de son exposition.
Vishing et deepfakes vocaux : le phishing quitte la boîte email
Les rapports CrowdStrike 2025 et 2026 documentent une croissance spectaculaire du vishing, le phishing par appel téléphonique. Cette tendance marque un changement de vecteur : l’attaquant ne se contente plus d’un email ou d’un SMS, il appelle directement sa cible.
L’appel téléphonique bénéficie d’un biais psychologique simple. Un email suspect, on peut le relire, le montrer à un collègue, vérifier l’adresse de l’expéditeur. Un appel en direct crée une pression temporelle et sociale que peu de personnes gèrent correctement, surtout quand l’interlocuteur semble connaître des détails personnels ou professionnels précis.
L’intégration de technologies de clonage vocal par intelligence artificielle amplifie cette menace. Des outils accessibles permettent de reproduire la voix d’un dirigeant ou d’un fournisseur à partir de quelques minutes d’enregistrement audio public. La victime reçoit un appel qui semble provenir d’une personne de confiance, avec une voix reconnaissable.
Pourquoi les protections classiques ne suffisent plus contre le vishing
Les filtres anti-phishing sont conçus pour analyser du texte : URL, pièces jointes, en-têtes d’emails. Un appel vocal échappe à cette couche de protection. Les entreprises qui ont investi massivement dans la sécurité email se retrouvent exposées sur un canal qu’elles ne surveillent pas avec la même rigueur.
La formation des collaborateurs reste le levier principal. En revanche, les scénarios de sensibilisation doivent intégrer des simulations d’appels et pas seulement des campagnes de faux emails, sous peine de laisser un angle mort exploitable.
Personnalisation des campagnes d’hameçonnage : données volées et ciblage précis
Cybermalveillance.gouv.fr note dans son bilan 2025 une personnalisation des messages d’hameçonnage de plus en plus observée. Les attaquants exploitent les bases de données issues de fuites précédentes pour adresser des messages contenant le nom, le prénom, l’adresse ou le numéro de téléphone de la cible.
Cette personnalisation transforme un email générique en un message crédible. Quand un message frauduleux reprend votre nom exact, mentionne votre banque et fait référence à une opération récente, les réflexes de méfiance s’émoussent. Le taux de clic sur ces campagnes ciblées est sans commune mesure avec celui des envois de masse classiques.
Les informations personnelles collectées lors d’une première vague de phishing alimentent les campagnes suivantes. Chaque fuite de données renforce la précision des attaques ultérieures, créant un effet cumulatif que les seuls outils de filtrage ne peuvent pas endiguer.
- Les données personnelles volées (nom, email, téléphone, adresse) sont revendues sur des marchés spécialisés et réutilisées pour du spear phishing ciblé.
- Les identifiants et mots de passe collectés servent à des attaques par credential stuffing sur d’autres services où la victime réutilise les mêmes accès.
- Les coordonnées bancaires, même partiellement exploitables du fait de l’authentification forte, alimentent des scénarios de fraude combinant phishing et ingénierie sociale téléphonique.
Le phishing en 2025-2026 se caractérise par cette convergence : des kits industrialisés qui contournent les protections techniques, des canaux qui s’élargissent au-delà de l’email, et des données volées qui rendent chaque tentative plus crédible que la précédente. La baisse du volume global d’attaques ne traduit pas un recul de la menace. Elle traduit sa maturation.
