Le phishing (hameçonnage) est une attaque d'ingénierie sociale qui pousse une victime à divulguer des informations ou à valider une action en se faisant passer pour un tiers de confiance. Le vecteur est le plus souvent un courriel accompagné d'un site imitant un service légitime, mais la famille s'est largement diversifiée.
Les principales variantes
| Variante | Canal | Particularité |
|---|---|---|
| Phishing de masse | Courriel | Volume, faible personnalisation |
| Spear phishing | Courriel | Cible nommée, contexte réel |
| Smishing | SMS | Lien court, sentiment d'urgence |
| Vishing | Voix | Faux support ou faux conseiller |
| Quishing | QR code | Le lien échappe aux filtres de messagerie |
L'objectif n'est plus systématiquement le mot de passe : il peut s'agir d'un code à usage unique, d'une approbation MFA, d'un consentement OAuth accordé à une application malveillante, ou d'un virement autorisé de bonne foi.
Ce qui résiste réellement
La sensibilisation réduit le taux de clic, sans l'annuler : les campagnes évoluent plus vite que les formations, et l'IA générative supprime les fautes de langue qui servaient d'indice.
Les contre-mesures efficaces sont techniques et structurelles : une authentification liée à l'origine, comme FIDO2/WebAuthn, refuse de fonctionner sur un domaine imité ; l'absence de secret réutilisable prive l'attaquant de butin ; une validation portant sur l'action — et non sur la seule session — empêche qu'une approbation obtenue par ruse serve à autre chose que ce que l'utilisateur croyait valider.
Aller plus loin : MFA résistant au phishing · le 4ᵉ facteur cognitif contre le phishing · définition du spear phishing · l'authentification cognitive