Un vendredi après-midi, votre comptable reçoit un e-mail signé de votre nom. Le ton est juste, la signature correcte, l'objet plausible : un virement à passer avant la clôture bancaire, en toute discrétion, pour finaliser un rachat. Rien ne cloche — ni la langue, ni la mise en forme, ni l'adresse d'expéditeur, presque identique à la vôtre. C'est exactement le scénario qui vide des trésoreries de PME, et il n'a jamais été aussi facile à fabriquer.
En 2026, l'ingénierie sociale ne ressemble plus aux courriels grossiers d'hier. Les fautes d'orthographe ont disparu, les tournures maladroites aussi. L'IA générative permet de produire, en quelques secondes, un message parfaitement rédigé, personnalisé à partir d'informations publiques sur votre entreprise, et décliné en français, anglais ou allemand sans effort. La barrière technique qui protégeait un peu les organisations modestes s'est effondrée.
Pour un dirigeant de PME ou d'ETI, le constat est inconfortable mais clair : la faille n'est plus seulement dans les serveurs, elle est dans les habitudes. Bonne nouvelle, les parades existent, et la plupart ne coûtent pas cher — elles tiennent à des procédures, à quelques technologies bien choisies et à une culture d'équipe. Passons-les en revue.
Le phishing dopé à l'IA : la fin des signaux faibles
Pendant des années, on a appris aux salariés à repérer un e-mail frauduleux à ses fautes, son français approximatif ou son adresse exotique. Ces repères ne fonctionnent plus. Un modèle de langage rédige aujourd'hui un message impeccable, adopte le ton interne d'une entreprise et imite une signature à partir d'une simple page LinkedIn. Certaines campagnes vont plus loin et clonent une voix à partir de quelques secondes d'audio public, pour laisser un message vocal « du dirigeant » demandant de rappeler un numéro.
Le principe reste le même — abuser de la confiance —, mais le coût de fabrication d'un leurre crédible s'est effondré. La conséquence est concrète : on ne peut plus demander à un collaborateur de « faire attention aux fautes ». Il faut déplacer la défense de la détection visuelle vers la vérification systématique.
Spear-phishing et fraude au président : quand l'attaquant vous connaît
Le phishing de masse cède la place au ciblage. Avec les informations publiques disponibles sur une entreprise — organigramme, communiqués, profils sociaux, appels d'offres —, un attaquant reconstruit qui décide, qui paie, qui signe. La fraude au président (ou BEC, Business Email Compromise) exploite précisément cette cartographie : un e-mail ou un SMS usurpe l'identité du dirigeant et met la pression sur une personne habilitée à réaliser un virement, en jouant l'urgence et la confidentialité.
Les variantes sont nombreuses : fausse demande de changement de RIB d'un fournisseur connu, faux avocat qui « pilote une acquisition secrète », faux service informatique qui réclame un mot de passe. Le point commun : l'attaque ne casse aucune serrure technique, elle contourne l'humain.
Quishing, MFA fatigue et usurpation : les vecteurs à surveiller
D'autres techniques montent en puissance parce qu'elles échappent aux filtres habituels :
- Quishing (QR codes piégés) : un QR code dans un e-mail, une fausse facture PDF ou une affiche renvoie vers une page de collecte d'identifiants. Le lien n'apparaît pas en clair dans le texte, ce qui le rend plus difficile à analyser automatiquement.
- MFA fatigue / MFA bombing : l'attaquant, qui possède déjà un mot de passe, déclenche en rafale des demandes de validation sur le téléphone de la victime jusqu'à ce qu'elle approuve par lassitude.
- Usurpation de domaine et de marque : domaines très proches du vôtre (typosquatting), faux portails de connexion, pages calquées sur vos outils SaaS.
- Détournement de canaux légitimes : messages envoyés depuis le compte réellement compromis d'un partenaire, ou via des plateformes de confiance (agendas partagés, outils de signature, hébergeurs de documents).
Aucun de ces vecteurs ne suppose une prouesse technique. Tous supposent qu'une procédure de vérification manque quelque part.
Comment Sedona peut aider
Chez Sedona, nous abordons l'ingénierie sociale par ses deux faces. Côté technique, Sedona Radar évalue votre surface d'attaque externe : configuration SPF, DKIM et DMARC, domaines exposés, sous-domaines oubliés — autant d'éléments qui facilitent l'usurpation de votre marque quand ils sont mal réglés. Le score de conformité fourni est indicatif : il éclaire vos priorités, il ne remplace ni un audit ni une certification. Côté humain, nos simulations de phishing (menées avec GoPhish, sur périmètre défini et avec votre accord écrit) mesurent la réaction réelle de vos équipes et nourrissent une sensibilisation continue plutôt qu'une formation ponctuelle. Nos actions OSINT s'appuient uniquement sur des informations publiques et un consentement écrit préalable.
L'objectif n'est pas de faire peur, mais de transformer des réflexes fragiles en procédures solides. Commencez par mesurer votre exposition : testez gratuitement votre surface d'attaque avec le plan Découverte de Sedona Radar, ou parlez-en à un expert.
