Un collaborateur reçoit un email de son directeur financier lui demandant de valider un virement en urgence. L’adresse semble correcte, la signature est identique, le ton est familier. Ce scénario d’hameçonnage dans les messageries professionnelles piège chaque année un nombre croissant d’entreprises françaises. Selon le rapport d’activité 2025 de Cybermalveillance.gouv.fr, le phishing reste la première menace recensée, avec une progression marquée des demandes d’assistance de la part des entreprises et associations.
Hameçonnage professionnel : le vol de session remplace le mot de passe volé
Vous avez déjà configuré l’authentification multifacteur sur vos comptes Microsoft 365 en pensant être protégé ? Les attaquants ont adapté leurs méthodes. Dans les environnements Microsoft 365, les attaques de type BEC (Business Email Compromise) reposent de plus en plus sur le vol de session plutôt que sur la récupération d’un simple mot de passe.
Le principe est direct. Un salarié clique sur un lien d’hameçonnage qui l’amène sur une fausse page de connexion. Il saisit ses identifiants et valide le code de double authentification. L’attaquant intercepte alors le jeton de session, ce petit fichier qui prouve que l’utilisateur est bien connecté. Avec ce jeton, l’attaquant accède à la messagerie sans avoir besoin du mot de passe.
Cette technique contourne la protection multifacteur parce qu’elle ne cherche pas à deviner ou voler le mot de passe. Elle capture la preuve de connexion déjà validée. Eye Security décrit ces attaques BEC comme des menaces « identity-driven » dans son rapport 2026 sur la compromission de messageries professionnelles en Europe.
Chain phishing et arnaque au président : deux techniques qui exploitent la confiance interne
L’Office fédéral de la cybersécurité suisse (OFCS) a documenté une technique nommée « chain phishing ». Un attaquant prend le contrôle d’une boîte mail professionnelle, puis envoie des messages piégés aux contacts enregistrés. Les destinataires connaissent l’expéditeur et lui font confiance. La probabilité qu’ils cliquent augmente fortement.
Cette mécanique transforme chaque compte compromis en point de départ pour de nouvelles attaques. Un seul salarié piégé peut exposer des dizaines de collègues, clients ou fournisseurs.
L’arnaque au président dans les messageries d’entreprise
L’OFCS a aussi relevé une hausse des signalements d’arnaque au président. Le principe : un email usurpe l’identité d’un dirigeant et demande un virement urgent à un collaborateur habilité. L’urgence et l’autorité hiérarchique sont les deux leviers de cette fraude.
Ces deux techniques partagent un point commun. Elles n’exploitent pas une faille logicielle. Elles exploitent la confiance entre collègues et la structure hiérarchique de l’entreprise.
Phishing multicanal : quand l’attaque dépasse la boîte mail
L’hameçonnage professionnel ne se limite plus aux emails. Les campagnes récentes combinent plusieurs canaux pour contourner les filtres de sécurité et renforcer la crédibilité du scénario.
Un exemple concret de scénario multicanal :
- Un email interne demande de mettre à jour ses identifiants via un lien. Le message passe les filtres parce qu’il provient d’un compte compromis en interne.
- Quelques minutes plus tard, un appel téléphonique confirme la demande. L’interlocuteur se présente comme le service informatique et cite des détails plausibles (nom du responsable, numéro de ticket).
- Un message Teams ou SMS relance le salarié s’il n’a pas encore cliqué. Ce troisième contact achève de lever les doutes.
Cette approche multicanale rend le phishing plus difficile à détecter parce que chaque canal pris isolément peut sembler légitime. Le salarié qui reçoit un email suspect vérifie parfois par téléphone, mais si l’appel fait partie du scénario d’attaque, la vérification devient elle-même un piège.
Protection anti-hameçonnage en entreprise : pourquoi le filtrage seul ne suffit pas
Les mécanismes classiques de protection anti-usurpation de domaine (SPF, DKIM, DMARC) vérifient que l’email provient bien du serveur autorisé pour un domaine donné. Mais quand l’attaquant envoie le message depuis un compte interne compromis, ces protections ne déclenchent aucune alerte. Le message est techniquement légitime.
La CNIL recommande de combiner plusieurs couches de défense. Voici les mesures qui réduisent concrètement le risque :
- Filtrage anti-spam couplé à l’analyse comportementale : repérer les anomalies dans le contenu ou le comportement d’envoi, pas seulement l’origine du message.
- Authentification multifacteur résistante au vol de session : les clés de sécurité physiques (FIDO2) offrent une protection que les codes SMS ou les applications classiques ne garantissent pas face aux attaques par interception de session.
- Procédures de validation hors messagerie pour les virements : un contre-appel sur un numéro connu valide la demande, pas un rappel sur le numéro indiqué dans l’email.
- Sensibilisation régulière des équipes avec des exercices de simulation de phishing adaptés aux scénarios multicanaux.
La formation change le comportement, pas la connaissance
Distribuer une charte informatique ne réduit pas le taux de clics sur les emails d’hameçonnage. Ce qui fonctionne, c’est l’entraînement par la pratique. Un salarié qui a déjà été confronté à un faux email de simulation reconnaît plus vite les signaux d’alerte dans un vrai scénario.
La sensibilisation doit couvrir tous les canaux utilisés par les attaquants : email, téléphone, messagerie instantanée. Un exercice limité aux emails ne prépare pas au scénario multicanal décrit plus haut.
Cyberattaques par hameçonnage : ce qui change pour les entreprises en 2026
Les cas de phishing signalés à l’OFCS ont plus que doublé entre le second semestre 2022 et la même période en 2023, passant de 2 179 à 5 536 signalements. Cette accélération ne ralentit pas. L’intelligence artificielle permet aux attaquants de personnaliser les messages à grande échelle, avec moins de fautes de langue et des prétextes plus crédibles.
Le piratage de messagerie professionnelle est aussi en hausse dans les signalements aux autorités. L’OFCS a noté les premières tentatives de fraude utilisant l’intelligence artificielle pour rendre les scénarios plus convaincants.
La messagerie professionnelle reste le premier vecteur d’entrée des cyberattaques. Les entreprises qui traitent le sujet uniquement par l’outil technique, sans former leurs équipes aux nouveaux scénarios multicanaux, laissent ouverte la porte que les attaquants cherchent en premier.
