Quand un message de phishing reprend le ton, la signature et le fil de discussion d’un collègue, les filtres anti-spam classiques deviennent presque aveugles. Les campagnes récentes ne cherchent plus à rediriger vers un faux site bancaire : elles s’insèrent dans les flux de travail quotidiens, depuis les messageries professionnelles jusqu’aux invitations de calendrier. Mesurer l’ampleur de ce glissement suppose de comparer les vecteurs utilisés, les taux de réaction des collaborateurs et les mécanismes de détection disponibles.
Vecteurs de phishing interne : canaux exploités et taux de succès
Le phishing ne passe plus uniquement par l’e-mail entrant. Les données publiées en 2026 révèlent une diversification rapide des canaux qui ciblent les échanges internes.
| Vecteur | Part dans le phishing mobile (source Pradeo 2026) | Particularité |
|---|---|---|
| SMS / smishing | 55 % | Reste le canal mobile dominant |
| Messageries chiffrées (Signal, Teams) | En forte hausse | Message frauduleux envoyé directement dans l’application |
| Invitations de calendrier | Hausse marquée (rapport août 2026) | Exploite les agendas professionnels, pas la boîte de réception |
| E-mail interne (BEC conversationnel) | Non quantifié séparément | Amorce générique (« Are you at your desk? ») avant toute demande |
Le smishing conserve la première place en volume. En revanche, les attaques via messageries internes et invitations d’agenda progressent parce qu’elles contournent les passerelles de filtrage e-mail, qui ne scrutent pas ces flux.
Un terminal mobile professionnel reçoit en moyenne 288 tentatives de phishing par an, selon le rapport Pradeo 2026. Et 45 % des utilisateurs cliquent sur les liens reçus, un taux qui grimpe quand le message semble provenir d’un outil interne familier.
Phishing conversationnel BEC : détecter un échange interne falsifié
Microsoft signale qu’au deuxième trimestre 2026, les campagnes de Business Email Compromise reposent majoritairement sur des messages d’ouverture anodins. Un simple « Vous êtes disponible ? » suffit à engager un échange qui, après plusieurs allers-retours, débouche sur une demande de virement ou de partage d’identifiants.
Cette approche progressive rend la détection par mots-clés ou par analyse de liens quasiment inopérante : le premier message ne contient ni lien, ni pièce jointe, ni urgence apparente.
Signaux faibles à surveiller dans les flux internes
- Un expéditeur interne dont le nom affiché est correct mais dont le domaine d’envoi diffère d’un caractère (typosquatting sur le domaine interne)
- Une demande qui rompt le processus habituel de validation, par exemple un ordre de paiement sans passage par l’outil de comptabilité
- Un message envoyé en dehors des horaires de travail normaux de l’expéditeur supposé, ou depuis un fuseau horaire incohérent
- L’absence d’historique de conversation réel : le fil cité dans le message n’existe pas dans la boîte du destinataire
Selon un rapport Fortra 2026, 9 e-mails de phishing sur 10 ne sont jamais signalés par les collaborateurs. Ce ratio montre que la détection ne peut pas reposer sur la seule vigilance humaine, surtout quand le message imite un collègue connu.
Exploitation des outils collaboratifs : au-delà de la boîte mail
Une alerte CISA de juillet 2026 décrit une campagne ciblant Zimbra où le simple affichage d’un e-mail déclenche l’exfiltration de données, sans que la victime clique sur quoi que ce soit. Les communications récentes et l’annuaire de l’organisation sont aspirés dès l’ouverture du message dans le client webmail.
Ce type d’attaque exploite une faille de rendu HTML côté serveur. La parade technique exige un correctif sur l’infrastructure de messagerie, pas une formation utilisateur. Quand l’outil collaboratif lui-même devient le vecteur, la frontière entre communication légitime et compromission disparaît.
Calendar invite phishing : un canal encore peu surveillé
Les invitations de calendrier constituent un angle mort. Un rapport de tendances publié en août 2026 signale une hausse marquée du calendar invite phishing. L’invitation arrive directement dans l’agenda, souvent acceptée automatiquement par le client de messagerie. Le lien malveillant se trouve dans le champ « lieu » ou « notes » de l’événement.
La plupart des solutions de sécurité e-mail n’analysent pas les objets ICS (fichiers d’invitation calendrier) avec la même rigueur que les pièces jointes classiques. Ce décalage de couverture offre aux attaquants un canal à faible résistance.
Indicateurs techniques pour identifier un phishing imitant les communications internes
Les équipes de sécurité qui veulent réduire le délai de détection disposent de plusieurs leviers complémentaires.
L’analyse des en-têtes SMTP reste le premier réflexe. Un message censé provenir d’un collègue mais transitant par un serveur externe affiche des champs « Received » incohérents avec l’infrastructure interne. Les protocoles SPF, DKIM et DMARC bloquent une partie de ces usurpations, à condition d’être configurés en mode strict (politique « reject » et non « none »).
La corrélation comportementale apporte une deuxième couche. Si un compte envoie dix messages en trois minutes à des destinataires qui ne font pas partie de ses contacts habituels, l’anomalie peut déclencher une alerte avant qu’un humain ne repère le problème.
Les campagnes récentes combinent phishing par e-mail et appels de suivi usurpant un collègue ou un prestataire. Quand un collaborateur reçoit un message suspect puis un appel confirmant la demande, le taux de réussite de l’attaque augmente. Seule une politique de double vérification par un canal tiers (messagerie instantanée directe, appel sortant vers le numéro connu) permet de casser cette chaîne.
Les organisations qui réduisent leur exposition au phishing interne partagent un point commun : elles ne comptent pas sur un seul mécanisme de défense. La combinaison d’un filtrage technique strict sur tous les canaux (e-mail, calendrier, messagerie), d’une corrélation comportementale en temps réel et d’un processus de signalement simplifié pour les collaborateurs constitue le socle le plus résistant face à des campagnes qui imitent, avec une précision croissante, les échanges du quotidien.
