Détection du phishing

Pourquoi ce chapitre est le plus utile

Le phishing reste, année après année, le vecteur d'entrée le plus fréquent dans les incidents de sécurité. Ce n'est pas une question de sophistication technique : c'est une question d'échelle et de coût. Un attaquant peut envoyer des centaines de milliers de messages pour quelques euros, et il suffit qu'un seul destinataire clique sur un lien ou saisisse un mot de passe pour obtenir un point d'entrée. Face à ce volume, l'analyse manuelle par un analyste SOC n'est tout simplement pas une option de premier rang : elle intervient trop tard, sur trop peu de messages.

Les systèmes de détection assistés par IAintelligence artificielleIAEnsemble des techniques permettant à un programme d'accomplir une tâche qui demanderait de l'intelligence humaine. Le terme couvre aussi bien les systèmes à règles écrites que ceux qui apprennent de données.Voir dans le glossaire existent pour combler cet écart de volume, pas pour remplacer le jugement humain. Comprendre comment ils fonctionnent — leurs signaux, leurs angles morts, leurs modes de défaillance — est ce qui permet de les déployer correctement plutôt que de leur faire une confiance aveugle. C'est ce filtre de lecture que ce chapitre propose de construire.

Le problème que la détection classique ne résout plus

Les premières générations de filtres anti-phishing reposaient sur des règles statiques : listes noires de domaines, signatures de contenu, expressions régulières sur des formulations suspectes (« votre compte a été suspendu », « cliquez ici immédiatement »). Ces approches restent utiles comme première ligne de filtrage — elles sont rapides, explicables, peu coûteuses en calcul — mais elles souffrent d'un défaut structurel : elles ne détectent que ce qu'elles ont déjà vu.

Un domaine de phishing enregistré la veille n'apparaît dans aucune liste noire. Une formulation reformulée légèrement échappe à une expression régulière. Et les attaquants le savent : la durée de vie moyenne d'un domaine de phishing avant qu'il soit signalé se compte souvent en heures, ce qui rend les listes noires structurellement en retard.

Aucune de ces couches ne remplace les autres. Un pipeline de détection sérieux les empile : les règles filtrent le volume évident et bon marché à traiter, l'IA prend le relais sur ce qui reste ambigu.

L'anatomie d'un pipeline de détection multimodal

Un email suspect n'est pas analysé comme un bloc unique. Il est décomposé en canaux, chacun traité par un composant spécialisé, puis les signaux sont fusionnés en un score unique.

Le canal URL et domaine

C'est historiquement le signal le plus exploité. Un modèle analyse la structure lexicale du domaine (longueur, présence de tirets, sous-domaines multiples), son âge d'enregistrement, la réputation de l'hébergeur, et surtout les homoglyphes : remplacement de caractères visuellement proches (le zéro pour le O, le l minuscule pour le I, ou l'usage de caractères cyrilliques identiques visuellement à des lettres latines). paypaI.com avec un I majuscule à la place du l final trompe l'œil humain mais pas une comparaison de distance d'édition normalisée sur le rendu visuel du glyphe.

Le canal texte

Les modèles de traitement du langage évaluent le registre (urgence artificielle, menace de suspension de compte, incitation à l'action immédiate), la cohérence entre l'expéditeur affiché et le domaine réel, et les résultats d'authentification SPF/DKIM/DMARC. Un email prétendant venir d'un service RH interne mais émis depuis un domaine externe non aligné avec la politique DMARC de l'organisation constitue un signal fort, indépendamment du contenu.

Le canal image

C'est le développement le plus significatif de la dernière génération d'outilstool callingIACapacité d'un agent ou d'un LLM à invoquer des outils externes (API, calcul, recherche) pendant le raisonnement.Voir dans le glossaire. Les attaquants ont compris que le texte pouvait être filtré ; ils encodent donc leur message dans une image — un faux formulaire de connexion, un logo imité, ou plus récemment un QR code intégré au corps de l'email, qui déplace l'attaque vers le mobile de la victime, hors du périmètre de filtrage habituel de la messagerie professionnelle. Des modèles de vision par ordinateur comparent les logos détectés à une bibliothèque de marques connues et signalent les usages visuellement similaires mais hébergés sur un domaine non officiel — une technique appelée détection de similarité de marque.

Un email sans aucun texte suspect, avec un score de langage neutre, peut rester hautement malveillant si son contenu utile est entièrement porté par une image ou un QR code. Un pipeline qui n'analyse que le texte a un angle mort exploitable de manière systématique.

Le canal pièces jointes et infrastructure

Les pièces jointes suspectes sont détonées en environnement isolé (sandbox) pour observer leur comportement réel plutôt que leur seule signature statique. En parallèle, une analyse de graphe relie l'infrastructure d'hébergement (adresses IPadresse IPRéseauxIdentifiant numérique attribué à une machine sur un réseau, qui permet de l'atteindre depuis n'importe où. Elle tient sur 32 bits en IPv4 et sur 128 bits en IPv6.Voir dans le glossaire, certificats TLSTLSRéseauxProtocole cryptographique assurant confidentialité et intégrité des communications applicatives (notamment HTTPS).Voir dans le glossaire, registrars) à des campagnes déjà connues : un nouveau domaine hébergé sur la même plage d'adresses qu'une campagne détectée la semaine précédente hérite d'une présomption de risque, même sans aucun autre signal.

Les techniques d'évasion, et comment les modèles s'adaptent

Cette course technique est permanente. Voici les évasions les plus documentées et la réponse qu'elles appellent côté détection.

• Texte en image — contourne l'analyse lexicale. Réponse : OCR embarqué dans le pipeline avant l'analyse texte, ou classification visuelle directe du contenu de l'image.
• QR codes dans le corps de l'email — déplace l'attaque sur un canal (le mobile) souvent moins protégé. Réponse : décodage automatique du QR code et analyse de l'URL cible comme s'il s'agissait d'un lien classique.
• Hébergement sur infrastructure légitime compromise — un site WordPress légitime piraté héberge la page de phishing, ce qui donne au domaine une réputation et un âge qui trompent les heuristiques classiques. Réponse : analyse du contenu de la page elle-même au moment du clic, pas seulement de la réputation du domaine parent.
• Redirections en cascade — plusieurs sauts entre le lien cliqué et la page finale, avec un premier saut sur un raccourcisseur d'URL légitime. Réponse : résolution complète de la chaîne de redirection avant scoring.
• Contenu personnalisé et faible volume (spear phishing) — cible un petit nombre de destinataires avec un contenu très spécifique, ce qui réduit la valeur des signaux statistiques agrégés sur de larges campagnes. Réponse : signaux contextuels propres à l'organisation (l'expéditeur a-t-il déjà écrit à ce destinataire, le vocabulaire correspond-il au registre habituel de cette relation).

Le spear phishing ciblé est la catégorie où les modèles génériques entraînés sur de larges corpus publics performent le moins bien. Un message unique, sans précédent statistique, ressemble structurellement à un email légitime pour un modèle qui raisonne par similarité à des campagnes déjà vues. C'est là que la vigilance humaine reste irremplaçable, en particulier pour les cibles à privilèges élevés (direction, finance, RH).

Une campagne observée en environnement professionnel utilisait un lien de partage de document légitime (un service cloud reconnu) pointant vers un PDF hébergé sur ce service. Le PDF contenait lui-même, sous forme d'image, un second lien vers la fausse page de connexion. Aucun des deux domaines traversés — celui du service cloud, celui du PDF — n'était en soi malveillant : seule l'analyse du contenu final, après plusieurs sauts, révélait l'intention.

Le score de risque et la décision opérationnelle

Le score produit par la fusion des canaux n'est presque jamais binaire. Un système bien conçu définit plusieurs seuils, chacun associé à une action proportionnée :

1. Score faible — le message est délivré normalement, éventuellement avec un bandeau d'avertissement discret si certains signaux faibles ont été relevés.
2. Score intermédiaire — mise en quarantaine automatique, avec notification à l'utilisateur et possibilité de libération manuelle après validation.
3. Score élevé — blocage automatique, création d'un ticket pour l'équipe SOC, et déclenchement éventuel d'une chasse rétrospective (les autres destinataires du même expéditeur ont-ils reçu un message similaire).

Le réglage des seuils est un exercice métier autant que technique. Un seuil de quarantaine trop bas noie les utilisateurs sous des faux positifs et les pousse à ignorer les alertes ; un seuil trop haut laisse passer des campagnes réelles. Le bon réglage se fait par itération, avec un suivi explicite du taux de faux positifs signalés par les utilisateurs eux-mêmes.

Faux positifs : le coût que l'on sous-estime

Un faux négatif — laisser passer un email malveillant — a un coût visible et immédiat : un incident. Un faux positif — bloquer un email légitime — a un coût diffus mais réel : une facture fournisseur bloquée en quarantaine qui entraîne un retard de paiement, une communication client interceptée qui abîme la relation commerciale, un analyste qui passe du temps à libérer des messages sans risque.

À l'échelle d'une organisation qui traite des dizaines de milliers d'emails par jour, un taux de faux positifs de seulement 0,5 % représente des centaines de messages légitimes détournés quotidiennement. C'est ce chiffre, plus que le taux de détection brut, qui détermine si les utilisateurs continueront à faire confiance au système ou chercheront à le contourner.

La boucle de rétroaction humaine

Aucun pipeline de détection ne doit être considéré comme figé. Les campagnes de phishing évoluent en continu, et un modèle entraîné sur les techniques d'il y a six mois accumule une dérivedériveIADégradation progressive des performances d'un modèle après son déploiement, causée par l'évolution des comportements ou du contexte. Elle impose surveillance et réentraînement.Voir dans le glossaire silencieuse (le modèle reste confiant sur des schémas qui ne reflètent plus la réalité des attaques actuelles).

Deux mécanismes limitent cette dérive :

• Le signalement utilisateur — un bouton « signaler comme suspect » directement dans le client de messagerie, dont chaque usage réel ou faux positif réentraîne le modèle.
• La revue analyste — chaque décision de blocage à score élevé est échantillonnée et revue manuellement, ce qui permet de détecter à la fois les évasions réussies (le modèle a laissé passer quelque chose) et les dérives de sur-blocage.

Documentez systématiquement les cas où le modèle s'est trompé, dans un sens comme dans l'autre. Ce journal de décisions contestées est la matière première du prochain cycle de réentraînement, et souvent plus précieux que des données synthétiques.

Checklist avant déploiement

• Le pipeline couvre-t-il au minimum quatre canaux (URL, texte, image, pièce jointe) et pas seulement le texte ?
• Les redirections en cascade sont-elles résolues intégralement avant scoring, ou seul le premier lien est-il analysé ?
• Existe-t-il un canal de signalement utilisateur intégré au client de messagerie, et ses retours sont-ils exploités ?
• Le taux de faux positifs est-il mesuré et suivi dans le temps, au même titre que le taux de détection ?
• Les seuils de décision sont-ils documentés et révisables sans nécessiter une intervention technique lourde ?
• Les cibles à privilèges élevés (direction, finance) bénéficient-elles d'une vigilance renforcée au-delà du scoring automatique standard ?
• Une procédure de chasse rétrospective existe-t-elle lorsqu'un message malveillant est découvert après livraison ?

Ce qu'il faut retenir

La détection de phishing assistée par IA n'est pas un filtre unique mais un système de fusion de signaux hétérogènes, chacun avec ses propres angles morts. Les attaquants adaptent en permanence leurs techniques pour exploiter les canaux les moins bien couverts — l'image et le QR code aujourd'hui, autre chose demain. Le déploiement réussi de ces outils dépend moins de la sophistication du modèle que de la qualité de la boucle de rétroaction humaine et du réglage finFine-tuningIAAjustement des poids d'un modèle pré-entraîné sur un jeu de données spécifique pour adapter son comportement à un domaine ou une tâche cible.Voir dans le glossaire des seuils de décision en fonction du coût réel, pour l'organisation, des faux positifs comme des faux négatifs.