[blog.article_6.title]

Pourquoi les anti-spams échouent sur le spear phishing

Les anti-spams traditionnels (Microsoft Defender, Proofpoint, etc.) classent un mail en se basant sur :

• La réputation IP de l'expéditeur (blacklists)
• Le contenu (mots-clés "viagra", "cialis", etc.)
• Les pièces jointes (signatures de malware connus)
• Les URL (blacklists de domaines connus)

Or un spear phishing typique est envoyé depuis une vraie boîte mail compromise ou une nouvelle boîte usurpant un nom de collègue, sans pièce jointe malveillante, sans URL connue, sans mot-clé suspect. Les anti-spams classiques le laissent passer car il ressemble à un mail légitime.

Les 4 patterns du spear phishing

1. Usurpation de nom interne
Mail prétendant venir de votre PDG, mais envoyé depuis p.dupont@gmail.com alors que la vraie adresse est p.dupont@votre-entreprise.fr. Le nom affiché est correct, l'adresse non.

2. Domaine cousin (cousin domain)
L'attaquant achète un domaine très proche du vôtre : votre-entreprise-corp.fr, votre-entreprïse.fr (avec ï), votre.enterprise.fr. Les premiers caractères sont identiques, le cerveau ne fait pas la différence.

3. Compromission de compte fournisseur
Votre vrai fournisseur est piraté. L'attaquant envoie depuis sa vraie boîte un mail "Notre IBAN a changé, merci de mettre à jour". Le mail est techniquement légitime (SPF/DKIM passent) mais le contenu est frauduleux.

4. Pretexting
L'attaquant a fait des recherches : il connaît le projet en cours, le nom du DAF, l'agenda. Le mail dit "Comme convenu lors de la réunion de mardi, voici les coordonnées pour le virement." Aucun marqueur technique ne le trahit.

Comment Fiabli détecte le spear phishing

Notre IA est entraînée à reconnaître les patterns spécifiques du spear phishing :

• Détection "display name spoofing" : nous comparons le nom affiché à toutes les vraies adresses de votre tenant. Si le nom "Pierre Dupont" est utilisé par un expéditeur externe à votre domaine, alerte.
• Détection cousin domain : algorithme Levenshtein pour calculer la distance entre le domaine émetteur et votre domaine. Distance ≤ 2 caractères = alerte.
• Détection "sudden behavior change" : si un fournisseur habituellement à compta@fournisseur.fr envoie soudain depuis compta@fournisseur.fr.io, alerte.
• Analyse contextuelle Claude Sonnet 4.6 : sur les demandes de virement / changement RIB / urgence financière, escalade automatique vers Sonnet pour analyse fine.

Le rôle des humains : la formation reste indispensable

Aucune IA, aussi bonne soit-elle, ne remplace une équipe formée. Les bonnes pratiques à instaurer dans toute organisation :

• Double validation pour tout virement non habituel, par un canal différent (téléphone, en personne)
• Vérifier l'IBAN systématiquement : un changement d'IBAN d'un fournisseur connu = appel téléphonique obligatoire
• Ne jamais cliquer sur un lien dans un mail urgent : aller directement sur le site officiel
• Sensibilisation régulière : formations courtes (15 min) tous les 6 mois, exemples réels

Le retour sur investissement

Selon le rapport IBM 2024 "Cost of a Data Breach", le coût moyen d'une fraude au virement réussie en PME européenne est de ~50 000 €. Pour le secteur santé, ça monte à 165 000 €. Pour la finance, 200 000 € et plus.

Comparé au coût d'un abonnement Fiabli PME (79 €/mois = 948 €/an), un seul phishing évité par an rentabilise l'outil 50× et plus. Sans compter le temps économisé sur les analyses manuelles et la sérénité retrouvée par l'équipe.

Pour aller plus loin

Le spear phishing est probablement le risque cyber le plus sous-estimé en PME. Il ne fait pas de gros titres comme les ransomwares mais il vide les comptes en silence. La défense passe par 3 piliers complémentaires : technique (détection IA + SPF/DKIM/DMARC stricts), processus (double validation, formations), culturel (libérer la parole sur les doutes — un collaborateur ne doit jamais avoir peur de poser la question "ce mail est-il légitime ?").

Pour activer la détection spear phishing avancée sur vos boîtes professionnelles, créez un compte Fiabli plan TPE ou PME et bénéficiez de l'analyse Sonnet 4.6 sur les cas critiques.