Phishing ciblé, fraude au président, faux changement de RIB… Les attaques par email sont mieux rédigées et plus difficiles à qualifier. Pour les DSI et les RSSI, l’enjeu porte sur les messages malveillants qui passent sous les radars des premières couches de sécurité. GLIMPS, éditeur français de cybersécurité, détaille les signaux qui permettent de les identifier et le rôle que joue l’IA dans leur détection.
L’email alimente une fraude en hausse dans les entreprises françaises
En France, le rapport d’activité 2025 de Cybermalveillance.gouv.fr place le piratage de compte (conséquence des violations de données et de campagnes d’hameçonnage réussies) au premier rang des menaces pour les publics professionnels : 21 % des parcours d’assistance dans lesquels ils sont intervenus, en hausse de 52 %. La fraude au faux ordre de virement entre dans leurs trois principales menaces, et leurs demandes d’assistance ont progressé de 73 % en un an.
Le volume ne dit pas tout. Selon le Microsoft Digital Defense Report 2025, la compromission de messagerie professionnelle (BEC) ne représente que 2 % des menaces observées, mais elle est à l’origine de 21 % des attaques réussies, devant le ransomware (16 %).
« Quelques messages bien ciblés suffisent donc à provoquer une compromission. »
L’IA générative alimente cette hausse et complique la détection. Elle permet de produire à grande échelle des campagnes de phishing sans fautes, y compris sans lien ni pièce jointe.
Quelles sont les principales familles d’attaques et quels signaux permettent de les repérer ?
Chaque famille d’attaque repose sur un levier distinct et appelle un signal de détection différent, même si une attaque en combine souvent plusieurs.
| Famille d’attaque | Levier utilisé | Indicateur qui permet de trancher |
|---|---|---|
| Usurpation de l’expéditeur | Nom affiché falsifié, domaine cousin | Authentification, âge et ressemblance du domaine |
| Compromission de compte | Vraie boîte ou vrai fil de discussion | Anomalies d’en-têtes, historique relationnel |
| Phishing par lien | Faux portail de connexion | Âge, réputation et catégorie de l’URL |
| Pièces jointes piégées | Macro, script ou exécutable caché | Analyse statique du fichier |
| Fraude sans charge technique | Ingénierie sociale, texte seul | Contexte et intention du message |
Ce que les protections classiques ne voient pas
Les solutions traditionnelles de sécurité de la messagerie reposent globalement sur quatre mécanismes : l’authentification des expéditeurs (SPF, DKIM, DMARC), la réputation des domaines et des liens, les antivirus à signatures et les filtres par mots-clés. Tous restent utiles et partagent une même logique : vérifier une identité technique ou reconnaître une menace déjà connue. Cette logique trouve ses limites face aux attaques actuelles.
-
- L’authentification confirme qu’un message provient d’un domaine, sans dire si ce domaine est celui que le destinataire croit (un domaine enregistré par l’attaquant peut imiter celui d’un fournisseur).
-
- Le contrôle de réputation ne protège pas d’un site de phishing créé quelques heures plus tôt.
-
- L’antivirus ne reconnaît pas un malware inédit ou modifié et ne détecte pas les fichiers imbriqués dans une pièce jointe d’apparence légitime.
-
- Les filtres par mots-clés se contournent par des reformulations, ce que l’IA générative facilite.
Le cas le plus délicat est celui d’un compte légitime compromis. Le message part d’une boîte mail existante grâce à des identifiants volés, souvent sans lien ni pièce jointe, et ne déclenche aucun de ces mécanismes.
Une fraude au président imite l’adresse d’un dirigeant, parfois à un caractère près, et échappe aussi aux contrôles.
S’adapter aux attaques actuelles et combler les lacunes de détection
Au-delà de l’origine d’un email ou de la présence d’un fichier malveillant connu, il faut analyser le contenu du message en intégralité, comprendre ce qu’il cherche à obtenir, sans multiplier les fausses alertes ni ralentir la messagerie. L’IA apporte une réponse concrète.
Un modèle de langage entraîné sur des emails frauduleux ne s’arrête pas à la forme d’un message, à ce qu’il connaît déjà ou aux mots employés. Il remarque le caractère d’urgence, la discrétion imposée ou une invitation à contourner les circuits habituels.
Les pièces jointes demandent la même profondeur d’inspection. Elles peuvent cacher une macro, un script ou un exécutable sur plusieurs niveaux d’imbrication. L’analyse statique examine la structure du fichier joint et ses objets embarqués sans jamais l’exécuter, afin de préserver le rythme de la messagerie. Le Machine Learning et le Deep Learning repèrent les variants qui n’ont pas encore de signature connue.
Reste le risque des faux positifs, bien connu des équipes IT : des emails légitimes peuvent être bloqués. Pris isolément, les indicateurs comme un domaine récent, une pièce jointe inhabituelle, un échec d’authentification ou un ton pressant ne peuvent suffire à condamner un message.
« Pour un verdict fiable, il faut corréler les signaux selon leur criticité et leur fiabilité, et ne conclure qu’à partir de leur combinaison. »
Pour que ce verdict reste fiable, les règles doivent suivre l’évolution des campagnes, ce que permet l’approche Detection as Code, qui les gère comme du code versionné, testé et déployé automatiquement.
Comment GLIMPS applique cette approche pour sécuriser les messageries Microsoft 365
« Une couche de protection ne doit perturber ni l’usage de la messagerie ni la productivité. »
GLIMPS, première société incubée par le ministère des Armées, a conçu GLIMPS Email Security for M365 avec cette contrainte. La solution s’appuie sur l’API Microsoft Graph et analyse une copie de chaque email, sans passerelle ni changement MX, en complément des protections natives de Microsoft 365.
On y retrouve les principes décrits plus haut. Le corps du message, les en-têtes, les liens et les pièces jointes sont analysés ensemble par 9 modèles d’IA propriétaires, dont un LLM dédié à l’anti-phishing, et par plus de 500 règles de détection ; les pièces jointes passent par plus de 25 moteurs de détection de GLIMPS Malware.
Ces résultats sont corrélés en un verdict unique, rendu en 3 secondes en moyenne, et les emails malveillants sont déplacés dans le dossier de courrier indésirable ou supprimés selon les politiques fixées par l’organisation. L’équipe Cyber Threat Intelligence de GLIMPS déploie de nouvelles règles en production en quelques clics après l’identification d’une menace significative.
Ce webinaire en replay pourrait vous intéresser : « DSI et RSSI : renforcer la sécurité des emails sur Microsoft 365 avec l’IA souveraine ».
