← Retour au blog

Tendances du phishing en 2026 : ce qui change vraiment (et ce qui ne change pas)

Découvrez les principales tendances du phishing pour 2026 — deepfakes IA, mobile/QR, abus de consentement SaaS et infrastructures de confiance. Des défenses pratiques pour les PME.

Par Équipe Autophish|Publié le 11/26/2025
Cover image for Tendances du phishing en 2026 : ce qui change vraiment (et ce qui ne change pas)

Si vous travaillez dans la sécurité ou la conformité, vous avez peut-être l’impression que chaque année est proclamée « l’année du phishing ». La mauvaise nouvelle : en 2026, c’est toujours vrai. La bonne nouvelle : les tendances relèvent davantage de l’évolution que de la science-fiction.

La majeure partie de ce que nous verrons en 2026 s’appuie directement sur ce qui nuit déjà aux organisations aujourd’hui : arnaques par QR code et sur mobile, abus de consentement SaaS, compromission de la messagerie professionnelle (BEC), et attaquants qui s’en prennent à la confiance elle-même plutôt qu’aux seuls mots de passe. Les principaux rapports de menaces d’ENISA et de Microsoft classent toujours l’ingénierie sociale et le phishing parmi les risques de premier plan, avec une forte croissance du smishing (phishing par SMS) et des attaques basées sur les QR codes (« quishing ») (par exemple les résumés de l’ENISA Threat Landscape : ENISA Threat Landscape overview et le rapport ENISA Threat Landscape 2023 : ENISA Threat Landscape 2023 report, ainsi que les Digital Defense Reports de Microsoft : Microsoft Digital Defense Report portal).

Ce guide vous accompagne à travers 10 tendances concrètes du phishing pour 2026, pourquoi elles comptent tout particulièrement pour les PME, et ce que vous pouvez faire de façon réaliste dans les 90 prochains jours — sans budget hollywoodien.

La version courte : ce qui change vraiment en 2026

Voici la version « pitch ascenseur » pour votre prochain comité de direction ou de gouvernance :

  • Le BEC assisté par deepfake se généralise
    L’imitation par voix et vidéo passe du stade de « wow, super démo » à « l’équipe finance a vraiment reçu un appel comme ça la semaine dernière ». Les nouvelles éditions du Digital Defense Report de Microsoft citent explicitement les deepfakes comme facilitateur du BEC (par exemple : Microsoft Digital Defense Report 2025 (PDF)).

  • Le phishing suit vos conversations et vos QR codes
    WhatsApp, Signal, Teams et les flux de connexion par QR deviennent des cibles de premier plan, plus des chemins secondaires. Les rapports sectoriels d’ENISA et le panorama des menaces financières mettent en avant le smishing et le phishing par QR comme vecteurs d’attaque en hausse : ENISA Threat Landscape – Finance Sector.

  • Les mots de passe comptent moins que les jetons et les consentements
    Le phishing par consentement OAuth et le vol de jetons de session donnent aux attaquants un accès durable sans jamais « se connecter ». Voir l’explication de Microsoft sur le phishing par consentement OAuth : Microsoft Entra blog – OAuth consent phishing explained and prevented.

  • L’abus de l’« infrastructure de confiance » bat le faux semblant de votre marque
    Des domaines Microsoft/Google légitimes, des formulaires web, des créateurs de sites et des outils de support sont détournés pour diffuser des leurres extrêmement crédibles.

  • Les grandes applications de données deviennent des coffres au trésor en un clic
    Les entrepôts de données (Snowflake et consorts) et les espaces de fichiers sont des cibles à forte valeur et faible friction si une seule identité ou un seul jeton est compromis. La campagne UNC5537/Snowflake en est un exemple emblématique, documenté ici : Google Cloud / Mandiant – UNC5537 targets Snowflake et dans le guide de threat hunting associé : Snowflake threat-hunting guide (PDF).

  • La réglementation rattrape enfin son retard
    Les cadres comme NIS2 attendent explicitement une sensibilisation à la sécurité et des formations phishing continues et auditables — pas seulement une e-learning ponctuelle (voir le texte juridique NIS2 sur EUR-Lex : NIS2 Directive legal text et des guides pratiques comme NIS2 training and awareness guidance).

Et oui : l’automatisation gagne. Les organisations qui testent en continu, mesurent et ajustent leurs contrôles s’en sortent tout simplement mieux que celles qui organisent une seule « semaine de sensibilisation cyber » par an.

En un coup d’œil : 10 tendances du phishing et des contrôles rapides

|

| Tendance | Pourquoi les attaquants l’adorent | Contrôle rapide à lancer ce mois-ci |

|---|-------|-----------------------|----------------------------------------| | 1 | BEC assisté par deepfake | ROI élevé, faible volume, très personnalisé | Approbations de paiement renforcées + règles de rappel | | 2 | Mobile, messagerie + QR | Tout le monde vit dans les chats ; le QR = connexion silencieuse | Refonte BYOD, restreindre les liaisons sur appareils non gérés | | 3 | Abus SaaS de consentement & OAuth | Accès sans mot de passe avec jetons longue durée | Gouvernance des consentements d’applications, listes d’autorisation du tenant | | 4 | Abus de l’« infrastructure de confiance » | Les domaines de premier parti semblent « évidemment sûrs » | Filtres d’ancienneté d’URL, DMARC strict sur tous les chemins de messagerie | | 5 | Phishing à allure interne | « Cela venait de l’interne » réduit la suspicion | Durcir les connecteurs, surveiller les messages à apparence interne | | 6 | Phishing sans identifiants | Les jetons, pas les mots de passe, sont les nouvelles clés | Clés FIDO2, jetons liés à l’appareil, contrôles contre la fatigue MFA | | 7 | Campagnes calées sur le calendrier | Impôts / voyages / sport = pics de clics | Conseils et simulations pilotés par le calendrier | | 8 | Leurres LLM localisés | Ton natif & jargon contournent le filtre « mauvais anglais » | Former sur les signaux structurels, pas sur la qualité de la langue | | 9 | Pivot vers entrepôts de données & partage de fichiers | Un compte → des millions d’enregistrements | SSO + MFA partout, analytique comportementale | |10| Pression réglementaire & audits | Les conseils d’administration doivent prouver leur diligence | Simulations trimestrielles avec pistes d’audit propres |

Ci-dessous, nous détaillons chaque tendance avec : Ce qui est nouveau en 2026 → Ce que nous observons → Agir maintenant.

Tendance 1 : le BEC assisté par deepfake se généralise

Ce qui est nouveau en 2026

La compromission de la messagerie professionnelle est l’une des cybermenaces les plus coûteuses depuis des années, et les Digital Defense Reports de Microsoft ainsi que d’autres analyses éditeurs montrent toujours le BEC comme une attaque de premier plan par son impact (par exemple le rapport 2023 : Microsoft Digital Defense Report 2023 (PDF)).

Ce qui change, c’est la qualité et l’accessibilité des outils de deepfake :

  • Les services de clonage vocal peuvent produire en quelques minutes un crédible « CFO dans un taxi, en Bluetooth ».
  • Des outils prêts à l’emploi peuvent générer de courts extraits vidéo qui passent un contrôle sommaire lors d’un appel Teams expédié à la va-vite.
  • Les régulateurs et les cellules de lutte contre la fraude alertent explicitement sur des schémas frauduleux utilisant audio et vidéo deepfake dans des transactions de forte valeur (voir la partie sur la fraude facilitée par deepfake dans Microsoft Digital Defense Report 2025 : Microsoft Digital Defense Report 2025 (PDF)).

Le résultat : les histoires de BEC classiques, mais avec un visage et une voix synthétiques en prime.

Ce que nous observons sur le terrain

Les attaquants sautent de plus en plus les longs fils d’e-mails pour passer directement aux “appels urgents” afin de pousser des changements de paiement, de nouveaux comptes bénéficiaires ou des virements à risque — en s’appuyant sur de vrais projets et du jargon interne récupérés depuis les e-mails, LinkedIn et des fuites de données.

Agir maintenant

  • Politique :
    • Exiger une vérification hors bande (rappel vers un numéro vérifié depuis votre ERP/CRM) pour toute nouvelle donnée bancaire ou toute modification de coordonnées et pour les virements importants.
  • Contrôle :
    • Configurer des suspensions de paiement et des approbations doubles au-delà de certains seuils — idéalement deux approbateurs issus de services différents.
  • Sensibilisation :
    • Apprendre aux équipes que « je les ai vus en vidéo » n’est pas un contrôle. Faites des jeux de rôle en direct où un faux « CFO » appelle pendant un moment de forte activité.

Tendance 2 : phishing sur mobile et messageries + QR codes comme jetons d’authentification

Ce qui est nouveau en 2026

Le phishing n’est plus seulement un problème d’e-mail :

  • Le smishing et le phishing via applications de messagerie (WhatsApp, Signal, Telegram, chat d’entreprise) ont explosé, avec des attaques par URL et des tours de QR code utilisées pour détourner des comptes. Le panorama des menaces du secteur financier d’ENISA note que le phishing, le smishing et le vishing figurent parmi les types d’attaque les plus courants contre les institutions financières européennes : ENISA Threat Landscape – Finance Sector.
  • Les attaquants abusent de plus en plus des QR codes comme mécanismes de connexion, en poussant les victimes à scanner des codes qui lient leurs comptes à un appareil ou une session contrôlée par l’attaquant. Ce schéma apparaît dans plusieurs comptes rendus récents de détournements de comptes de messagerie et de campagnes de malware mobile.

Avec le BYOD et les canaux de messagerie parallèles, c’est un terrain de jeu idéal.

Ce que nous observons sur le terrain

Des cas réels montrent des responsables publics et des dirigeants perdant des comptes de messagerie via des QR codes malveillants, et les rapports de menace soulignent une forte croissance des campagnes de phishing par URL et par QR par rapport aux pièces jointes classiques (par exemple l’aperçu d’ENISA sur les vecteurs d’ingénierie sociale : ENISA Threat Landscape overview).

Agir maintenant

  • Politique :
    • Mettre à jour les politiques BYOD et messagerie : quelles applications sont autorisées pour le travail, lesquelles ne le sont pas, et ce qui est strictement interdit (par exemple partager des QR codes de connexion ou des captures d’écran de demandes d’authentification).
  • Contrôle :
    • Imposer la correspondance de numéro et le lien à l’appareil pour le MFA ; restreindre, lorsque c’est possible, l’association de comptes à de nouveaux appareils depuis des terminaux non gérés.
  • Sensibilisation :
    • Lancer des simulations qui imitent des avis de livraison, des invites MFA et des invitations de chat — y compris des QR codes — pour habituer les utilisateurs à marquer une pause avant de scanner.

Tendance 3 : phishing par consentement SaaS & abus de jetons OAuth

Ce qui est nouveau en 2026

Plutôt que de voler des mots de passe, les attaquants demandent simplement à vos utilisateurs de cliquer sur “Accepter”.

Dans le phishing par consentement OAuth, l’utilisateur est attiré vers un écran de consentement apparemment légitime qui demande des permissions pour lire les e-mails, les fichiers ou les calendriers. Une fois le consentement donné, l’attaquant obtient un jeton d’accès longue durée — pas de mot de passe, pas d’invite MFA, et souvent aucun signe évident dans les journaux de connexion pour le triage. L’explication officielle de Microsoft détaille ce schéma :
Microsoft Entra blog – OAuth consent phishing explained and prevented

Des chercheurs indépendants suivent également l’évolution du phishing par consentement pour contourner les contrôles de détection, par exemple :
Push Security – How consent phishing is evolving et
Valence Security – The rising threat of consent phishing

Des campagnes récentes s’appuient même sur des agents IA et des outils low-code ; des bots compromis peuvent servir à voler des jetons OAuth à grande échelle (par exemple la technique « CoPhish » exploitant des agents Microsoft Copilot Studio : TechRadar – Copilot Studio agents hijacked to steal OAuth tokens).

Ce que nous observons sur le terrain

Les équipes de sécurité cloud signalent davantage d’incidents de « mystère d’accès aux données » où aucun changement de mot de passe ni connexion suspecte n’apparaît — seulement une application récemment consentie avec des portées larges sur les boîtes mail et SharePoint.

Agir maintenant

  • Politique :
    • Définir quelles équipes peuvent approuver de nouvelles applications et quelles « portées à haut risque » (par exemple Mail.ReadWrite, Files.Read.All) exigent une revue formelle.
  • Contrôle :
    • Utiliser la gouvernance des consentements d’applications de votre IdP : désactiver le consentement initié par l’utilisateur lorsque c’est possible, maintenir des listes d’autorisation du tenant et activer l’évaluation continue des accès ou l’équivalent.
  • Sensibilisation :
    • Intégrer les écrans de consentement et les flux “Se connecter avec…” dans la formation — la plupart des utilisateurs ignorent que ces pop-ups peuvent être malveillants.

Tendance 4 : abus de l’« infrastructure de confiance » (formulaires, générateurs de sites, outils de support)

Ce qui est nouveau en 2026

Pourquoi falsifier votre domaine quand un attaquant peut envoyer des liens depuis :

  • *.microsoft.com (Forms, SharePoint, Copilot, etc.)
  • *.google.com (Docs, Drive, Sites)
  • Des constructeurs de sites et plateformes de support bien connus (systèmes de tickets, outils RMM, expéditeurs CRM)

Les grands rapports de menace notent que les URL malveillantes hébergées sur des services légitimes dépassent désormais de très loin les pièces jointes malveillantes classiques (voir, par exemple, les Digital Defense Reports de Microsoft et les synthèses d’ENISA sur les tendances de l’ingénierie sociale :
Microsoft Digital Defense Report portal
ENISA – Emerging technologies make it easier to phish).

Ce que nous observons sur le terrain

Nous voyons davantage de campagnes où tout le parcours — du formulaire au fichier jusqu’à l’e-mail de relance — transite par une infrastructure cloud légitime, ce qui complique énormément la tâche des filtres hérités qui s’appuient uniquement sur la réputation du domaine.

Agir maintenant

  • Politique :
    • Exiger que tout formulaire destiné aux clients collectant des données sensibles soit documenté et enregistré de manière centralisée (afin d’identifier les faux).
  • Contrôle :
    • Utiliser des passerelles de messagerie sécurisées ou des outils cloud natifs qui inspectent l’ancienneté de l’URL, le contexte d’hébergement et les types de fichiers plutôt que la seule réputation de l’expéditeur ; imposer un alignement DMARC pour tous les chemins de messagerie légitimes, y compris les outils de support et de ticketing. L’aperçu « Threat Landscape » d’ENISA propose un bon résumé de ces vecteurs : ENISA Threat Landscape overview.
  • Sensibilisation :
    • Apprendre aux utilisateurs : « Domaine légitime » ≠ demande légitime. Réflexe à adopter : « Est-ce que j’attendais ce formulaire / fichier / e-mail de support ? ».

Tendance 5 : phishing à allure interne sans compromission réelle

Ce qui est nouveau en 2026

De nombreux systèmes de messagerie cloud proposent des fonctionnalités comme Direct Send, les connecteurs et les relais permettant à des applications et appareils d’envoyer des messages « comme en interne ». Mal configurés, ils permettent :

  • des e-mails qui semblent provenir de l’intérieur de votre organisation ou d’un partenaire de confiance ;
  • des e-mails systèmes ou de ticketing qui échappent à un filtrage poussé.

Les attaquants abusent de plus en plus de ces fonctions, ou compromettent un seul compte de service, pour envoyer du phishing “interne” sans pirater la boîte mail d’un humain.

Ce que nous observons sur le terrain

Les intervenants en réponse à incident signalent fréquemment des campagnes de phishing « internes » provenant de plages IP inattendues, de relais mal configurés ou de boîtes partagées compromises, et non de l’ordinateur portable du CEO.

Agir maintenant

  • Politique :
    • Inventorier tous les systèmes autorisés à envoyer des messages sous votre domaine, et définir un propriétaire + une justification métier. Pas de propriétaire, pas d’envoi.
  • Contrôle :
    • Durcir les connecteurs de messagerie : les verrouiller à des plages IP et à des méthodes d’authentification spécifiques ; surveiller les pics de trafic interne-vers-interne avec des schémas inhabituels.
  • Sensibilisation :
    • Ajouter un mantra à la formation : « Interne ≠ sûr par défaut ». Encourager le signalement de toute requête interne étrange, pas seulement des externes.

Tendance 6 : phishing sans identifiants – jetons, sessions et fatigue MFA

Ce qui est nouveau en 2026

Si votre stratégie c’est « mots de passe solides + MFA et on est bons », 2026 vous dit bonjour.

Les analyses actuelles d’incidents montrent plutôt des attaquants qui se tournent vers les cookies de session, les jetons de rafraîchissement et les techniques de fatigue MFA :

  • Vol de jetons de navigateur via malware ou infostealers
  • « Push bombing » des utilisateurs jusqu’à ce qu’ils acceptent par erreur des invites d’authentification
  • Capture en temps réel des jetons via des kits de phishing adversary-in-the-middle

La campagne Snowflake/UNC5537 est un cas d’école de ce qui se produit quand des identifiants volés et l’absence de MFA rencontrent une plateforme de données puissante :
Google Cloud / Mandiant – UNC5537 targets Snowflake
Snowflake threat-hunting guide (PDF)
Un bon résumé de haut niveau est également disponible chez Cloud Security Alliance : Cloud Security Alliance – Unpacking the 2024 Snowflake data breach.

Ce que nous observons sur le terrain

Dans de grands incidents comme le vol de données lié à Snowflake, les attaquants ont souvent utilisé des identifiants et jetons précédemment volés pour accéder à des plateformes de données de grande valeur, puis exfiltrer et faire du chantage à grande échelle.

Agir maintenant

  • Politique :
    • Rendre obligatoire un MFA résistant au phishing (clés de sécurité FIDO2 ou passkeys) en commençant par les administrateurs et les fonctions à risque.
  • Contrôle :
    • Imposer des jetons liés à l’appareil, un accès conditionnel (voyages impossibles, IP inhabituelles) et une révocation automatique des jetons après des événements suspects.
  • Sensibilisation :
    • Former les équipes : des invites MFA répétées = une urgence, pas une nuisance. Simulez des scénarios de fatigue MFA dans votre programme de phishing.

Tendance 7 : campagnes calées sur le calendrier (impôts, voyages, sports, subventions)

Ce qui est nouveau en 2026

Les attaquants excellent dans l’OSINT calendaire :

  • échéances fiscales ;
  • grands événements sportifs ;
  • fenêtres de subventions et aides ;
  • périodes de voyage habituelles.

Les rapports de renseignement sur les menaces montrent des campagnes de phishing qui se concentrent étroitement autour de ces événements, avec des leurres promettant des remboursements, des billets ou des tâches de conformité urgentes. ENISA et divers rapports sectoriels citent l’ingénierie sociale comme facteur majeur dans la fraude et les incidents liés à la finance, par exemple :
ENISA Threat Landscape – Finance Sector et un résumé lisible ici : ComplexDiscovery – Rising cyber threats in Europe’s financial sector.

Ce que nous observons sur le terrain

Les PME signalent de plus en plus des vagues courtes et intenses de phishing très ciblé pile au moment où tout le monde court pour déposer des formulaires, acheter des billets ou réclamer des réductions.

Agir maintenant

  • Politique :
    • Construire un « calendrier cyber » en parallèle de votre calendrier métier : noter les périodes à haut risque pour votre secteur et votre zone géographique.
  • Contrôle :
    • Préconfigurer des bannières ou avertissements e-mail pour des mots-clés précis (taxe, remboursement, billet, subvention) autour de ces fenêtres.
  • Sensibilisation :
    • Lancer des simulations de phishing calées dans le temps et des conseils juste-à-temps une semaine avant les événements de risque prévisibles.

Tendance 8 : leurres LLM localisés (mimétisme de la langue et du ton)

Ce qui est nouveau en 2026

Les grands modèles de langage (LLM) ont largement tué l’ancien réflexe « fautes d’orthographe = phishing ».

  • Les attaquants peuvent générer des e-mails parfaitement localisés en allemand d’Autriche, en anglais britannique, en portugais brésilien… avec idiomes et niveaux de politesse adaptés.
  • Les données publiques (sites web, réseaux sociaux, offres d’emploi) leur permettent d’imiter le ton de votre organisation de manière franchement troublante.

ENISA note explicitement que les technologies émergentes comme l’IA et l’automatisation aident les attaquants à analyser les comportements et à lancer des phishing plus ciblés : ENISA – Emerging technologies make it easier to phish.
Les campagnes de sensibilisation à travers l’Europe mettent désormais en avant l’IA, les deepfakes et le smishing comme thèmes centraux (par exemple : ENISA – Promoting security in the digital world during European Cybersecurity Month).

Ce que nous observons sur le terrain

Davantage d’organisations signalent des e-mails de phishing dont la qualité linguistique est indiscernable des communications internes réelles — jusqu’aux signatures et aux formules standard. Des articles comme ce résumé de TechRadar décrivent comment les e-mails de phishing générés par IA sont désormais plus propres et plus convaincants que beaucoup d’e-mails légitimes :
TechRadar – AI is making phishing emails far more convincing.

Agir maintenant

  • Politique :
    • Bannir des supports de formation officiels des consignes du type « cherchez les fautes d’orthographe » ; elles sont désormais activement trompeuses.
  • Contrôle :
    • Investir dans une détection sensible au contenu qui regarde l’intention, les liens et les pièces jointes — pas seulement de simples signatures ou listes de blocage.
  • Sensibilisation :
    • Enseigner plutôt les indices structurels : urgence inhabituelle, canaux atypiques, demandes de contourner un processus, ou pages de connexion qui ne correspondent pas aux parcours habituels.

Tendance 9 : pivot vers entrepôts de données & partage de fichiers (Snowflake, Drive, SharePoint & autres)

Ce qui est nouveau en 2026

Des systèmes centrés sur les données comme Snowflake, BigQuery, les data lakes S3 et les plateformes collaboratives concentrent d’énormes volumes de données clients et opérationnelles.

Les enquêtes récentes sur le vol de données lié à Snowflake en 2024 montrent comment les attaquants ont utilisé des identifiants et jetons volés pour accéder à plusieurs environnements clients et lancer des campagnes d’extorsion à grande échelle, comme l’ont décrit Mandiant et Snowflake :
Google Cloud / Mandiant – UNC5537 targets Snowflake
Snowflake threat-hunting guide (PDF)
Un récit neutre vis-à-vis des éditeurs est également proposé par Cloud Security Alliance :
Cloud Security Alliance – Unpacking the 2024 Snowflake data breach
et l’aperçu public sur Wikipédia donne le contexte de l’impact plus large :
Wikipedia – Snowflake data breach

Pour les attaquants, ces plateformes sont un rêve :

  • Une identité compromise peut donner accès à des millions d’enregistrements.
  • Les données peuvent être exfiltrées discrètement via des requêtes qui semblent normales.

Ce que nous observons sur le terrain

Même les organisations plus petites s’appuient désormais sur des entrepôts de données cloud et des lecteurs partagés pour tout, des exports CRM aux rapports RH — souvent avec des comptes de service et des rôles trop privilégiés que personne ne revoit.

Agir maintenant

  • Politique :
    • Considérer les plateformes de données comme des « joyaux de la couronne » dans votre registre des risques ; exiger des validations explicites sur qui peut accéder à quoi et pourquoi.
  • Contrôle :
    • Imposer le SSO + MFA pour tout accès ; réduire les privilèges permanents ; surveiller les requêtes, exports et téléchargements anormaux.
  • Sensibilisation :
    • Intégrer des scénarios de « données à grande échelle » dans la formation — le personnel doit comprendre qu’un seul compte analytique compromis peut être pire que 100 boîtes de réception.

Tendance 10 : pression réglementaire → sensibilisation et programmes de phishing auditables

Ce qui est nouveau en 2026

Des réglementations comme la directive NIS2 (UE) élèvent explicitement le niveau d’exigence en matière de gouvernance, gestion des risques et sensibilisation du personnel dans de nombreux secteurs, y compris les organisations de taille intermédiaire.

Le texte juridique est disponible ici :
https://eur-lex.europa.eu/eli/dir/2022/2555/oj/eng

Des explications pratiques clarifient les attentes :

Thèmes clés :

  • La sensibilisation à la sécurité n’est pas optionnelle pour les entités concernées — les régulateurs attendent des preuves.
  • Les conseils d’administration et organes de direction sont explicitement responsables de la supervision du risque cyber.
  • La documentation compte : politiques, traces de formation et traitement des incidents doivent résister à l’examen.

Ce que nous observons sur le terrain

Les PME qui autrefois se contentaient d’un diaporama annuel s’empressent désormais de démontrer des simulations de phishing structurées et récurrentes, un suivi des présences et des relances documentées — surtout lorsqu’elles travaillent avec des clients régulés.

Note : Rien dans cet article ne constitue un conseil juridique. Consultez toujours votre équipe juridique / conformité pour l’interprétation de NIS2 et des lois associées dans votre juridiction.

Agir maintenant

  • Politique :
    • Définir une politique formelle de sensibilisation à la sécurité et de phishing : fréquence, groupes cibles, mesures et responsabilités.
  • Contrôle :
    • Mettre en œuvre une plateforme offrant des options d’anonymisation, des possibilités d’exclusion lorsque nécessaire, et des rapports propres conformes aux attentes du comité d’entreprise et du RGPD — par exemple les modes respectueux de la vie privée décrits dans le guide d’anonymisation d’AutoPhish à https://autophish.io/anonymization (ou l’URL équivalente locale).
  • Sensibilisation :
    • Communiquer clairement que les simulations de phishing servent à apprendre, pas à punir — une culture sans blâme améliore réellement les taux de signalement.

Ce que les PME devraient prioriser ce trimestre (plan sur 90 jours)

Vous n’avez pas besoin de tout corriger d’un coup. Voici une feuille de route réaliste sur 90 jours.

Semaines 1–4 : gagner en visibilité et obtenir des résultats rapides

  • Lancer un test de phishing de référence sur un large groupe d’utilisateurs pour comprendre les taux de clic et de signalement.
  • Cartographier vos processus métier critiques susceptibles d’être touchés par le phishing (paiements, changements RH, accès distant, exports de données).
  • Activer ou renforcer le MFA pour tous les comptes, en priorisant les administrateurs et les accès externes.
  • Vérifier les connecteurs / relais de messagerie et documenter quels systèmes envoient sous votre domaine.

Semaines 5–8 : durcir les flux à risque élevé

  • Déployer un MFA résistant au phishing (FIDO2 / passkeys) pour la finance, les RH et les administrateurs IT.
  • Mettre en place une gouvernance de base des consentements applicatifs : désactiver le consentement libre lorsque c’est possible, définir une liste d’autorisation pour les applications métier.
  • Mettre à jour les politiques BYOD et messagerie, y compris les règles sur les connexions par QR code et les validations par chat.
  • Configurer des bannières de sécurité et des filtres pour les messages liés aux impôts, aux subventions et aux paiements avant les périodes de forte activité connues.

Semaines 9–12 : construire des pratiques durables et auditables

  • Passer des tests ponctuels à un programme de simulations récurrent (par exemple une petite campagne mensuelle + une grande campagne trimestrielle).
  • Introduire un bouton de signalement simple, en un clic dans la messagerie et former les équipes à l’utiliser.
  • Documenter votre programme : politiques, calendriers, paramètres d’anonymisation et indicateurs de synthèse — cela aidera pour NIS2 et les audits clients.
  • Aligner les simulations de phishing avec d’autres initiatives de sécurité (exercices de réponse à incident, tabletop exercises, évaluations de fournisseurs).

Si vous ne faites rien d’autre en 2026, mettre ces bases en place vous placera déjà devant beaucoup de vos pairs.

Comment AutoPhish aide (sans le bingo des mots à la mode)

Les outils ne réparent pas magiquement la culture — mais ils peuvent rendre les bonnes choses plus faciles et les mauvaises plus difficiles.

AutoPhish est conçu spécifiquement pour les PME qui ont besoin d’une formation phishing moderne sans devenir des SOC à plein temps :

  • Lancer des campagnes de phishing automatisées et pilotées par le calendrier qui reflètent les tendances ci-dessus (mobile, QR, écrans de consentement, leurres de type BEC).
  • Utiliser des modes respectueux de la vie privée et des options d’anonymisation qui rassurent beaucoup moins les comités d’entreprise et les DPO (voir le guide public d’anonymisation, par exemple : AutoPhish anonymisation guide).
  • S’aligner avec des réglementations comme NIS2 en fournissant des pistes d’audit propres : qui a été ciblé, comment les campagnes ont été configurées et quelles améliorations en ont résulté.
  • Combiner des modèles par rôle (finance, RH, dirigeants, IT) avec un contenu localisé pour que les utilisateurs voient des leurres réalistes et adaptés à leur langue.
  • Intégrer les simulations avec vos contenus de formation existants, y compris les vidéos des éditeurs et vos propres supports de sensibilisation.

Si vous comparez actuellement des outils, consultez nos analyses approfondies sur :

FAQ : le phishing en 2026

Le phishing passe-t-il encore surtout par l’e-mail ?

L’e-mail reste un vecteur majeur, mais le phishing basé sur les URL et les chats a dépassé les attaques classiques par pièces jointes, et le smishing ainsi que les arnaques basées sur les QR codes croissent rapidement. Les résumés d’ENISA sur le panorama des menaces et les rapports sectoriels donnent de bonnes données sur cette tendance :
ENISA Threat Landscape overview
ENISA Threat Landscape – Finance Sector

Le phishing peut-il vraiment avoir lieu par téléphone ou WhatsApp ?

Oui. Les appels vocaux, la messagerie vocale, les SMS et les applications de messagerie servent tous au vishing, au smishing et au phishing via chat. Les supports d’ENISA pour le Mois européen de la cybersécurité se concentrent explicitement sur l’ingénierie sociale, le smishing et les deepfakes :
ENISA – Promoting security in the digital world during European Cybersecurity Month

Les e-mails de phishing sont-ils réellement illégaux ?

Dans la plupart des juridictions, le phishing relève d’infractions de fraude, usurpation d’identité ou usage abusif d’un système informatique. Même si une tentative échoue, l’envoi de tels messages peut enfreindre des lois sur l’accès non autorisé ou le détournement de données. Consultez un conseil juridique local pour les détails, surtout si vous concevez des simulations internes.

L’IA rend-elle le phishing impossible à stopper ?

Non — mais elle rend le phishing à faible effort plus qualitatif. L’enjeu n’est plus tant de repérer les fautes grossières que de reconnaître le contexte, les demandes et les flux suspects. Des rapports comme « Emerging technologies make it easier to phish » d’ENISA et l’aperçu de TechRadar sur le phishing dopé à l’IA montrent comment attaquants et défenseurs s’adaptent :
ENISA – Emerging technologies make it easier to phish
TechRadar – AI is making phishing emails far more convincing

Avec le bon mélange de contrôles, de culture et de tests continus, le phishing boosté par l’IA reste très gérable.

À quelle fréquence faut-il lancer des simulations de phishing ?

Pour la plupart des PME, un bon point de départ est :

  • Une petite campagne par mois (thèmes ciblés, petits groupes)
  • Une grande campagne à l’échelle de l’organisation par trimestre
  • Des simulations supplémentaires pilotées par les événements autour de la saison fiscale, des lancements de produits majeurs ou d’autres périodes de forte activité.

L’essentiel est que ce soit régulier et prévisible et non punitif, afin que les gens participent au lieu de chercher à contourner le système.

Lectures complémentaires & sources

Voici quelques points de départ réputés utilisés lors de la rédaction de cet article (tous avec les URL complètes) :

Prêt à voir où vous en êtes ?

Pas besoin d’une boule de cristal pour vous préparer à 2026.

Lancez un test de phishing de référence cette semaine, capturez ce qui se passe, et décidez laquelle des 10 tendances ci-dessus compte le plus pour votre organisation. Si vous souhaitez être accompagné dans cette démarche de manière respectueuse de la vie privée et compatible avec le comité d’entreprise, vous pouvez démarrer un essai d’AutoPhish à tout moment.

← Retour à tous les articles

Lancez votre premier test de phishing en 10 minutes.

Inscrivez-vous gratuitement — sans carte bancaire. Essayez l'offre Pro gratuitement pendant 7 jours quand vous serez prêt.

Commencer la simulationBesoin d'une démo pour une équipe plus grande ? Contactez-nous →