Comment fonctionne le phishing en 2025 : la chaîne de destruction moderne (e-mail, QR, deepfakes et SaaS)
TL;DR
- Appât → Capture → Vol de session/de jeton → Mouvement latéral → Impact
- La protection de l’identité et des sessions est primordiale — et le chemin le plus rapide vers une résilience durable, c’est une pratique fréquente et réaliste qui forge les bons réflexes.
Intro
Si vous vous demandez comment fonctionne le phishing en 2025, voici la réponse sans détour : les attaquants s’arrêtent rarement aux mots de passe — ils veulent votre session. Et s’ils ne vous ont pas par e-mail, ils tenteront un code QR sur votre téléphone, un écran de consentement SaaS bien léché, ou même un appel vidéo deepfake avec votre « directeur financier ». Amusant (pour eux).
Ci-dessous, le kill chain moderne que suivent la plupart des attaques — et comment AutoPhish vous aide à devenir bien plus difficile à piéger.
1) L’appât : e-mail, QR code et « humains » terriblement convaincants
Le phishing arrive toujours par e-mail, mais les URL sont devenues la vedette. La dernière étude Human Factor 2025 de Proofpoint montre que les URL sont utilisées environ quatre fois plus que les pièces jointes dans les e-mails malveillants — et 4,2 millions de menaces par QR code (quishing) ont été signalées rien qu’au premier semestre 2025 (aperçu du blog, page du rapport Vol. 2).
Il y a aussi la couche humaine : les deepfakes vidéo/voix. L’affaire Arup — environ 25 M$ perdus après un appel de groupe deepfaké — montre à quel point l’ingénierie sociale peut désormais ressembler à une réunion tout à fait ordinaire (Guardian, World Economic Forum). Les politiques qui exigent une vérification secondaire battent les « impressions » à chaque fois.
Vous voulez un guide de terrain pour repérer les pièges dans un seul message ? Commencez par The Anatomy of a Modern Phishing Email sur notre blog.
2) Capture : identifiants ou consentement — dans les deux cas, la porte s’ouvre
Les attaquants ne demandent pas toujours votre mot de passe. De plus en plus, ils affichent un écran de consentement SaaS/OAuth en apparence légitime (« Autoriser cette application à lire vos e-mails ? »). Si vous cliquez sur Autoriser, ils obtiennent un accès API durable — pas besoin de mot de passe. La documentation Microsoft sur les consentements illicites explique comment les détecter et les corriger (Microsoft Learn Microsoft Learn 2; voir aussi le playbook de réponse aux incidents liés au consentement d’application).
Les voleurs d’identifiants à l’ancienne fonctionnent encore, souvent hébergés derrière des services réputés (formulaires, stockage, fichiers en lecture seule) pour déjouer les filtres. La série Human Factor de Proofpoint et les publications de Microsoft sur les menaces soulignent ce glissement vers une diffusion centrée sur les URL (Proofpoint, Microsoft).
3) Vol de session/de jeton : contourner le MFA avec un minuscule homme-du-milieu
Voici la nouveauté 2025 : les kits Adversary-in-the-Middle (AiTM) se placent entre vous et Microsoft/Google, relaient la connexion, puis volent votre cookie de session une fois le MFA validé. L’attaquant rejoue ensuite ce cookie et entre comme dans un moulin — ni mot de passe, ni second facteur. Consultez les analyses et playbooks de Microsoft, ainsi que les rapports de Proofpoint et Talos (MSFT Security Blog; voir aussi :
- Cisco Talos IR:ry-point-to-further-financial-fraud/),
- AiTM multi‑étapes,
- Playbook d’alerte sur le vol de cookie de session
- Proofpoint sur AiTM
- Talos IR T2 2025.
4) Mouvement latéral : une fois à l’intérieur, les attaquants s’installent
Avec l’accès à la boîte mail ou au jeton, les attaquants créent des règles de boîte de réception, enregistrent des applications OAuth malveillantes et pivotent pour mener des campagnes de BEC — parfois pendant des semaines avant que quelqu’un ne s’en rende compte (voir les conseils de Microsoft sur les alertes de vol de cookie de session : learn.microsoft.com). Pour une touche concrète du terrain (et quelques garde-fous rapides), voir [10 Wild Phishing (and Phish-Adjacent) Stories from 2024–2025](https://autophish.io/blog/10-wild-phishing-and-phish-adjacent-stories-from-2024-2025-including-important-lessons-learned from-2024-2025-including-important-lessons-learned).
5) Qu’est-ce qui stoppe vraiment ça ? (Contrôles pratiques)
- MFA résistant au phishing (passkeys/FIDO2) et limitation des solutions de repli fragiles (SMS/codes vocaux). Références CISA et alignées NIST : success story CISA (USDA), CISA HISG sur les passkeys, et le Phishing‑Resistant Authenticator Playbook (IDManagement.gov). Pour une explication en langage clair, voir l’aperçu de WIRED sur le fonctionnement des passkeys.
- Gouvernance du consentement : bloquer les consentements OAuth risqués, exiger une approbation admin, et sensibiliser les utilisateurs à ce que l’application demande réellement (Microsoft Learn.
- Contrôles anti-AiTM : accès conditionnel avec liaison de jeton lorsque c’est possible, révocation vigilante des sessions, et alertes sur les règles de boîte de réception inhabituelles (MSFT Token Theft Playbookicrosoft.com/en-us/security/operations/token-theft-playbook)).
- Comportement utilisateur : considérez les QR codes comme des liens ; ne les scannez pas depuis des messages non sollicités. Les données 2025 de Proofpoint montrent que le quishing est désormais devenu courant (blog Proofpoint).
Là où AutoPhish fait une différence mesurable
AutoPhish est conçu autour de ces points de rupture précis (et il est de conception compatible UE/GDPR) :
- Un réalisme adapté aux rôles. Nous générons des appâts toujours renouvelés par métier et par secteur (finance, RH, dirigeants) — couvrant les e-mails, les campagnes QR et les invitations de consentement SaaS. Cela forge les réflexes face aux attaques réellement subies par les gens. Découvrez comment nous procédons dans Phishing Simulations‑as‑a‑Service Explained.
- Des simulations conscientes du kill chain. Nous ne nous arrêtons pas au clic — nous apprenons à reconnaître un écran de consentement, pourquoi il est risqué et comment réagir (voir aussi notre guide Anatomy of a Modern Phishing Email).
- Une formation au bon moment + des rapports clairs que vous pouvez présenter en audit (compatibles NIS2/ISO). Si vous hésitez sur le format, comparez Campagnes automatisées vs manuelles.
- Pensé pour les employés et malin sur le plan GDPR. Options d’anonymisation/pseudonymisation, rétention courte et garde-fous compatibles avec les comités d’entreprise — parce que la culture et la conformité comptent. Détails : Privacy-Friendly Phishing Training.
Curieux de la différence entre open source et SaaS ? Nous les avons comparés dans Open‑Source Tools vs. Managed Solutions.
FAQ : comment fonctionne le phishing
Un lien de phishing peut-il installer un malware ?
Oui. Un lien peut déclencher un drive-by download ou mener vers un site qui dépose un malware — ou simplement voler vos identifiants. Gardez vos logiciels à jour, utilisez une protection endpoint de confiance et évitez d’ouvrir les liens/pièces jointes provenant d’inconnus (explication Emsisoft, Kaspersky).
Peut-on faire du phishing par téléphone ?
Absolument. Le vishing (voix) et le smishing (SMS) sont devenus courants — souvent renforcés par le clonage vocal IA. Vérifiez via un canal connu avant d’agir (définitions du FBI et de la FCC).
Qu’est-ce que le “quishing” ?
Le phishing par QR code : un message/une affiche contient un QR code qui vous renvoie vers un site malveillant — souvent sur votre téléphone, à l’abri des protections de l’entreprise. Traitez les QR codes comme des liens ; ne les scannez pas depuis des messages non sollicités (voir les données 2025 de Proofpoint sur les menaces QR : aperçu).
Le MFA stoppe-t-il tout le phishing ?
Le MFA est indispensable, mais un AiTM peut voler le cookie de session après le MFA. Préférez un MFA résistant au phishing (passkeys/FIDO2) et désactivez les solutions de repli fragiles (SMS/voix) dès que possible ([MSFT sur AiTM](https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/; see also https://www.microsoft.com/en-us/security/blog/2023/06/08/detecting-and-mitigating-a-multi-stage-aitm-phishing-and-bec-campaign/; Cisco Talos IR: https://blog.talosintelligence.com/ir-trends-q2-2025/)); playbooks CISA.
Le phishing par consentement OAuth, en une phrase ?
Une application malveillante demande l’autorisation d’accéder à vos données ; si vous cliquez sur Autoriser, elle conserve l’accès API jusqu’à révocation du consentement — même sans votre mot de passe (Microsoft Learn).
Vous voulez expliquer tout cela à votre équipe entière — avec de la pratique concrète ? Lancez un programme mensuel adapté aux rôles en quelques minutes avec AutoPhish. Faites de vos collaborateurs votre pare-feu.