Pendant des années, le premier conseil contre l'hameçonnage était de repérer les fautes. Ce conseil ne protège plus : des outils d'IA générative rédigent en quelques secondes un texte correct, dans le ton d'une entreprise, dans n'importe quelle langue.
Ce que disent les autorités, et ce qu'elles ne disent pas
L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, a publié le 4 février 2026 une synthèse sur l'IA générative face aux attaques informatiques. On y lit que des modèles d'IA générative sont utilisés tout au long de la chaîne d'attaque, notamment pour la « conception de contenus à des fins d'ingénierie sociale ». L'agence cite un groupe d'attaquants qui aurait utilisé ces services pour générer du contenu d'hameçonnage en 2024, et dit avoir observé à plusieurs reprises des sites « semblant avoir été générés par des systèmes d'IA générative », d'apparence légitime, servant à héberger des charges malveillantes. Elle mentionne aussi des services « débridés », vendus sur des forums ou des canaux Telegram pour une centaine de dollars par mois, dont certains seraient entraînés sur des modèles d'hameçonnage.
La même synthèse apporte une nuance : à la date de sa publication, l'ANSSI n'avait pas connaissance de cyberattaques menées contre des acteurs français à l'aide de l'IA, et jugeait seulement « plausible » que ces technologies améliorent le niveau et la quantité des attaques.
Côté grand public, le bilan 2025 de Cybermalveillance.gouv.fr, publié le 1er juin 2026, ne parle pas d'IA mais relève un fait qui va dans le même sens : « un nombre croissant de SMS et courriels d'hameçonnage sont personnalisés avec les informations du destinataire ». Les faux sites vers lesquels ils renvoient restent, eux, génériques.
Les indices qui ne valent plus rien
| Indice d'autrefois | Pourquoi il ne suffit plus |
|---|---|
| Fautes d'orthographe | Un outil de rédaction n'en fait pas, et un escroc peut l'utiliser comme tout le monde |
| Message impersonnel | Votre nom, votre adresse ou un achat réel peuvent venir d'une fuite de données |
| Mise en page approximative | Logo, couleurs et pied de page se copient en quelques minutes |
| Adresse d'expéditeur | Un message frauduleux peut afficher l'adresse officielle exacte ; un vrai peut partir d'un prestataire |
| Cadenas dans la barre d'adresse | Il indique une connexion chiffrée, pas l'identité honnête du site |
Aucun de ces indices ne prouve qu'un message est faux, et leur absence ne prouve pas qu'il est vrai. Un message bien écrit n'est donc ni plus ni moins suspect qu'un autre : ce qui compte, c'est ce qu'il vous demande de faire.
Exemple type, reconstitué
Message rédigé par nos soins pour montrer à quoi ressemble un hameçonnage personnalisé. Ce n'est pas la copie d'un message réellement reçu.
Exemple type, reconstitué
« Bonjour Marie, suite à votre commande du 15 janvier (casque audio, 349 €), un problème de paiement a été détecté sur la carte se terminant par 4582. Pour éviter l'annulation, merci de mettre à jour vos informations sous 24 h. [Mettre à jour mon paiement] »
Le prénom, la commande et les derniers chiffres de la carte peuvent provenir d'une fuite chez un commerçant. Ils donnent du crédit au message, sans rien dire de son auteur. Le seul élément qui compte : il vous demande de saisir des informations de paiement depuis un lien.
La vérification qui reste fiable
- Ne passez pas par le message. Ouvrez vous-même le site en tapant son adresse, ou l'application déjà installée. Si la demande est réelle, elle y figure.
- Jugez la demande, pas la forme. Une carte à ressaisir, un mot de passe à confirmer, un code reçu par SMS à communiquer, un paiement à faire dans l'urgence : c'est cela qui doit arrêter votre geste.
- Pour l'adresse d'expéditeur, lisez ce qu'elle dit, rien de plus. Le nom affiché est du texte libre ; une contradiction entre le nom affiché et l'adresse réelle est un vrai signal, mais l'adresse seule ne tranche pas. Le détail est dans notre guide pour vérifier l'adresse d'un expéditeur de mail.
Deux protections techniques réduisent les dégâts quand on s'est trompé : la double authentification, qui empêche d'utiliser un mot de passe volé seul, et un gestionnaire de mots de passe, qui ne propose pas vos identifiants sur un domaine qu'il ne reconnaît pas.
Pour analyser le texte d'un message, notre page vérifier un message relève les signaux d'alerte, sans jamais conclure qu'un message est « sûr ».
Vous avez saisi des identifiants ou une carte
- Identifiants : changez le mot de passe sur le vrai site, tapé vous-même, puis partout où vous utilisiez le même, et activez la double authentification.
- Carte bancaire : faites opposition auprès de votre banque.
Les démarches suivantes (preuves, plainte, signalement) sont détaillées dans notre page que faire si vous êtes victime d'une arnaque. Un mail d'hameçonnage se signale sur signal-spam.fr, un faux site sur internet-signalement.gouv.fr.
Sources
Pages consultées le 19 octobre 2026.
- ANSSI, CERT-FR, « L'IA générative face aux attaques informatiques, synthèse de la menace en 2025 » (CERTFR-2026-CTI-001), 4 février 2026 : cert.cyber.gouv.fr
- Cybermalveillance.gouv.fr, « L'hameçonnage ("phishing") en 2025 : une menace omniprésente, massive et diversifiée », 1er juin 2026 : cybermalveillance.gouv.fr