Comment éviter le phishing en 2026 — maintenant que l'IA l'a rendu bien pire

Le phishing — vous pousser à livrer un mot de passe, un code ou un paiement sur une page qui a seulement l’air légitime — a toujours été le moyen le plus courant de faire compromettre un compte. En 2026, la situation a empiré de façon spectaculaire, car l’IA générative rédige désormais des leurres irréprochables, personnalisés et à grande échelle. Des chercheurs en sécurité ont rapporté que le phishing généré par IA a bondi d’environ 14× en 2026, et l’Internet Crime Complaint Center du FBI a enregistré 191 561 plaintes pour phishing et usurpation en 2025 — plus que toute autre catégorie de délit, avec des pertes déclarées en hausse de 208 % d’une année sur l’autre.

La bonne nouvelle : les défenses n’ont pas autant changé que les attaques. Une poignée de réflexes suffit toujours à stopper l’écrasante majorité des tentatives de phishing — il faut simplement les appliquer avec constance, car les courriels sont aujourd’hui bien plus difficiles à repérer à l’œil nu.

Pourquoi le phishing a soudain empiré

Pendant des années, l’indice le plus simple d’un courriel de phishing, c’était la mauvaise écriture : grammaire maladroite, tournures étranges, formules de politesse génériques. L’IA générative a effacé cet indice. Les attaquants produisent désormais des messages fluides, correctement mis en forme, dans n’importe quelle langue, personnalisés avec des détails récupérés dans les fuites de données et sur les réseaux sociaux. Un rapport a suivi la progression du phishing assisté par IA, passé d’environ 4 % du phishing signalé fin 2025 à un pic de plus de la moitié en quelques semaines.

Cela signifie que le vieux conseil — « cherchez les fautes de frappe » — ne suffit plus. Les signaux fiables d’aujourd’hui concernent le contexte et le comportement, pas la qualité de la langue.

Comment repérer une tentative de phishing moderne

Jugez la situation, pas l’orthographe :

• Une urgence inattendue. « Votre compte sera fermé dans 24 heures », « confirmez ce paiement maintenant ». La pression temporelle fabriquée de toutes pièces est la manipulation la plus répandue.
• Un lien qui réclame vos identifiants. Tout message qui vous renvoie vers une page de connexion est suspect. Survolez (ou appuyez longuement sur) le lien et lisez le vrai domaine — paypa1.com ou secure-paypal.account-verify.com, ce n’est pas paypal.com.
• Une demande qui contourne les canaux habituels. Un « PDG » qui réclame des cartes cadeaux, un « fournisseur » qui change ses coordonnées bancaires par courriel, un « collègue » qui a besoin d’un code 2FA — vérifiez via un canal distinct et connu.
• Des pièces jointes que vous n’avez pas demandées, surtout des documents qui vous invitent à « activer le contenu » ou à suivre un lien pour les consulter.
• Un expéditeur incohérent. Le nom affiché est celui de votre banque ; l’adresse réelle est un Gmail au hasard. Sur mobile, touchez pour afficher le véritable expéditeur.

Comment éviter le phishing — les mesures qui fonctionnent

• Ne saisissez jamais vos identifiants depuis le lien d’un courriel ou d’un message. Rendez-vous vous-même sur le site, en tapant l’adresse ou en utilisant un favori. Ce seul réflexe déjoue la plupart des tentatives de phishing.
• Activez l’authentification à deux facteurs partout, et préférez une application d’authentification ou une clé de sécurité matérielle au SMS. Même si un mot de passe est hameçonné, l’attaquant ne peut toujours pas se connecter.
• Utilisez un mot de passe unique pour chaque compte, pour qu’un seul identifiant hameçonné ne déverrouille pas le reste de votre vie.
• Ralentissez face à l’urgence. Les organisations légitimes ne ferment pas votre compte parce que vous avez pris dix minutes pour vérifier.
• Vérifiez hors bande. Quand un message réclame de l’argent, des identifiants ou un code, confirmez via un numéro ou une application en lesquels vous avez déjà confiance — jamais les coordonnées indiquées dans le message lui-même.
• Maintenez logiciels et navigateurs à jour, pour que les pages de phishing connues et les pièces jointes malveillantes soient interceptées par les protections intégrées.

Pourquoi un gestionnaire de mots de passe est votre meilleur outil anti-phishing

Un bon gestionnaire de mots de passe fait quelque chose que vos yeux ne savent pas faire de façon fiable : il vérifie le domaine. Son remplissage automatique ne propose votre mot de passe enregistré que sur le site exact auquel il appartient ; ainsi, sur une page de phishing sosie — où un humain pourrait ne pas remarquer app1e.com — le gestionnaire reste tout simplement muet. Ce silence est un avertissement. Il génère et stocke aussi un mot de passe unique pour chaque compte, de sorte qu’une seule tentative de phishing réussie ne peut pas se propager à tout le reste.

En résumé

L’IA a rendu le phishing fluide, personnalisé et permanent — mais elle n’a pas changé ce qui le déjoue. Ne saisissez jamais vos identifiants depuis un lien, activez l’authentification à deux facteurs, donnez à chaque compte un mot de passe unique, et ralentissez dès qu’un message fabrique de l’urgence. Les attaques sont plus malines ; les réflexes qui les arrêtent restent simples, et fonctionnent toujours.