Faux e-mails X : l’IA rend le phishing quasi indétectable

Une nouvelle vague d’e-mails frauduleux imitant les alertes de connexion de X (anciennement Twitter) cible actuellement les utilisateurs de la plateforme. Exploitant des modèles générés par l’IA capables de reproduire fidèlement la charte graphique et le ton des communications officielles, ces faux messages sont de plus en plus difficiles à distinguer des alertes authentiques, y compris pour des utilisateurs avertis. Cette campagne s’inscrit dans un contexte où le phishing constitue déjà la première cybermenace identifiée par les entreprises françaises.

Pour comprendre les mécanismes de cette campagne et les moyens de s’en prémunir, Business Times a interrogé Darren Guccione, cofondateur et CEO de Keeper Security.

Quels éléments techniques permettent encore de distinguer une fausse alerte de connexion X d’un message authentique, et pourquoi un utilisateur non initié a-t-il de plus en plus de mal à repérer ces indices ?

On peut encore démasquer un faux message grâce à deux éléments : le domaine d’origine et la destination réelle du lien, par opposition au texte qui y est affiché. X a confirmé qu’il n’envoyait des e-mails relatifs aux comptes qu’à partir de @X.com ou @e.X.com, qu’il ne demandait jamais de mot de passe par e-mail et qu’il n’incluait jamais de pièces jointes. Une alerte authentique mentionne également le nom d’utilisateur du titulaire du compte ainsi qu’un appareil ou un emplacement spécifique. Les faux messages restent souvent vagues sur ces deux points.

Ce qui a changé, ce sont tous les autres éléments sur lesquels les défenseurs comptaient auparavant. Une grammaire approximative, des logos mal reproduits et une mise en page défectueuse constituaient autrefois des indices révélateurs. Les modèles générés par l’IA reproduisent désormais si fidèlement la palette de couleurs, la mise en page et le texte d’une plateforme que l’inspection visuelle seule ne suffit plus. Cela s’inscrit dans une évolution plus large documentée par l’Anti-Phishing Working Group. L’usurpation d’identité représentait 44 % de l’ensemble des menaces sur les réseaux sociaux recensées au premier trimestre 2026, dépassant ainsi les contenus d’escroquerie directs en tant que format dominant. Les faux ne se contentent plus de paraître plausibles : ils sont désormais presque impossibles à distinguer des vrais.

Disposez-vous de données permettant de mesurer l’ampleur de cette campagne : nombre de victimes, augmentation du nombre de signalements, secteurs professionnels les plus exposés ou pertes financières observées ?

Bien qu’il n’existe pas de chiffres publiés spécifiques à cette vague particulière d’e-mails « X », nous pouvons toutefois mettre en avant des données montrant que les organisations françaises sont exceptionnellement exposées à ce schéma spécifique. L’étude de Keeper réalisée en 2026 montre que 47 % des organisations françaises citent le phishing comme la cybermenace la plus répandue à laquelle elles sont confrontées aujourd’hui, soit la part la plus élevée parmi toutes les catégories de menaces et cinq points au-dessus de la moyenne mondiale.

La confiance dans les défenses existantes n’a pas suivi le rythme. Seuls 21 % des répondants français se sont dits confiants dans leurs contrôles d’authentification actuels pour prévenir les attaques modernes basées sur l’identité, contre 28 % à l’échelle mondiale. 32 % des entreprises françaises ont également signalé la réutilisation des mots de passe par leurs employés.

Les données de Keeper trouvent un écho auprès de la plateforme nationale d’assistance en cybersécurité du gouvernement français, Cybermalveillance.gouv.fr, qui a recensé le phishing comme la principale menace en 2025, en hausse de 70 % par rapport à l’année précédente. La fraude par virement bancaire, qui, selon l’agence, est souvent une conséquence directe du détournement d’un compte, a augmenté de 170 % sur la même période. Prises dans leur ensemble, ces données dressent un tableau clair du type de pression que subissent les équipes françaises de cybersécurité face à une menace qui s’intensifie rapidement. C’est dans cet environnement que s’inscrit cette campagne.

Une fois les identifiants d’un compte X volés, quels sont les scénarios d’exploitation les plus courants pour une entreprise, un dirigeant ou un employé ?

Le vol des identifiants d’un compte le transforme en arme. Un identifiant piraté est généralement réutilisé pour mener d’autres escroqueries ou campagnes de désinformation à l’encontre des abonnés du propriétaire du compte, qui font confiance à ce dernier car il semble inchangé. Pour un dirigeant, ce scénario s’applique également, bien que l’usurpation d’identité vise souvent les investisseurs, les clients ou le personnel, en utilisant un canal auquel les gens ont appris à faire confiance.

Pour les organisations, le véritable risque réside généralement dans la réutilisation des mots de passe plutôt que dans un compte X pris isolément. Si un employé a réutilisé son mot de passe X n’importe où dans un système d’entreprise, ou si le compte X est lié à d’autres services via une authentification unique, l’accès de l’attaquant s’étend bien au-delà de la plateforme d’origine. Un compte de dirigeant compromis peut également servir de point d’entrée de confiance pour une tentative secondaire d’ingénierie sociale à l’encontre de collègues, ce qui constitue une version plus convaincante d’une attaque classique de type « Business Email Compromise » menée via un autre canal.

Quelles mesures techniques les entreprises doivent-elles mettre en place pour que leur sécurité ne repose plus uniquement sur la vigilance des employés face aux e-mails de hameçonnage ?

Se défendre contre ce type d’attaque nécessite une stratégie axée sur l’identité, fondée sur la gouvernance et la vérification continue, plutôt que de compter sur la vigilance des employés. Le point de départ consiste à imposer des identifiants uniques et générés aléatoirement pour chaque compte via un gestionnaire de mots de passe, éliminant ainsi la réutilisation qui permet à un seul mot de passe divulgué de déverrouiller plusieurs systèmes.

Cela ne suffit plus à lui seul. Les mots de passe, et même l’authentification multi-facteurs (MFA) traditionnelle, peuvent être contournés dès lors que des kits d’attaque de type « adversary-in-the-middle » relaient une connexion en temps réel, en capturant le code à usage unique au moment même où il est saisi. La base doit s’étendre à une MFA résistante à l’hameçonnage. Les organisations doivent également supprimer les privilèges administratifs permanents grâce à une solution moderne de gestion des accès privilégiés (PAM), en n’accordant des accès élevés qu’en cas de nécessité et en les révoquant immédiatement après. C’est ce qui empêche qu’un seul identifiant compromis ne permette un déplacement latéral à travers un réseau.

L’authentification multi-facteurs est-elle encore suffisante face à ces campagnes, ou les organisations devraient-elles désormais privilégier des solutions résistantes au phishing telles que les clés de sécurité physiques ou les passkeys ?

Les recommandations de l’ANSSI ont pris un virage décisif dans cette direction, déconseillant l’utilisation de codes par SMS. Invoquant leur vulnérabilité au « SIM swapping », l’ANSSI recommande les clés de sécurité FIDO2 ou les applications d’authentification comme deuxième facteur de sécurité plus robuste, parallèlement à l’authentification multifactorielle (MFA) obligatoire pour l’accès aux ressources sensibles. La voie à suivre ne fait plus aucun doute.

C’est au niveau de l’adoption que les choses se compliquent. L’étude 2026 de Keeper montre que seules 32 % des entreprises françaises ont entièrement déployé les clés d’accès à l’échelle de l’organisation, les autres se répartissant entre un déploiement partiel, des projets pilotes ou une phase encore au stade de la planification. Le déploiement complet à l’échelle de l’entreprise reste l’exception plutôt que la règle. Il est inquiétant de constater que seules 24 % des entreprises françaises considèrent actuellement l’investissement dans les clés d’accès ou les solutions sans mot de passe comme une priorité pour les 12 prochains mois, un chiffre inférieur à celui de plusieurs marchés comparables.

La leçon à en tirer n’est pas que l’authentification multifactorielle (MFA) a échoué. C’est plutôt que les méthodes d’authentification et la gouvernance des identifiants constituent deux problèmes distincts, et que résoudre le premier sans s’attaquer au second ne permet de fermer la porte que partiellement. Les clés d’accès déployées sans imposition d’un gestionnaire de mots de passe, sans gestion des accès (PAM) et sans rotation des identifiants pour les comptes fonctionnant encore avec des mots de passe ne combleront qu’une partie de la faille exploitée par cette campagne.