Pendant des années, les RSSI s'appuyaient sur un signal faible mais robuste : les emails de phishing en français étaient truffés de fautes d'orthographe, de tournures étranges, de noms d'entreprise mal orthographiés. Cette époque est révolue.
Une qualité linguistique indiscernable
Depuis l'apparition des LLM grand public, les attaquants disposent d'un service de rédaction professionnelle accessible à quelques euros. Nos analystes voient désormais passer des emails de phishing dont la qualité rédactionnelle dépasse celle des communications internes de leurs cibles. Argot d'entreprise, conventions hiérarchiques françaises, références à des sigles métier : tout y est.
Le contexte personnalisé à grande échelle
Plus inquiétant : la phase de reconnaissance s'industrialise. Un attaquant équipé de scrapers LinkedIn et d'un LLM peut générer 10 000 emails ciblés en une heure, chacun référant au manager direct, au projet en cours, à l'événement récent de l'entreprise.
Les détections traditionnelles deviennent caduques
Les filtres anti-spam basés sur la cohérence linguistique, les fautes ou la similarité avec des templates connus sont contournés. Idem pour les outils basés sur la réputation IP : les attaquants utilisent désormais des comptes Microsoft 365 ou Google Workspace compromis comme rampe de lancement.
Les nouvelles lignes de défense
- Comportementale : analyse du couplage expéditeur ↔ destinataire ↔ contexte. Un fournisseur qui demande pour la première fois un changement de RIB déclenche une alerte, peu importe la qualité de l'email.
- Authentification stricte : DMARC, SPF, DKIM en mode reject — non négociable.
- Sandboxing universel des liens et pièces jointes : pas seulement sur des extensions « risquées ».
- Formation des utilisateurs sur les patterns de manipulation, pas sur la détection orthographique.
C'est l'enjeu : passer d'une détection « surface » (fautes, formatage) à une détection « intentionnelle » (contexte, comportement, authentification).
L'équipe Threat Intelligence