Phishing en entreprise 2026 : les 7 techniques les plus utilisées et comment les neutraliser
En 2026, 91 % des cyberattaques réussies contre les entreprises commencent par un email de phishing. Les techniques ont profondément évolué : les LLMs génèrent des messages impossibles à distinguer d'une communication légitime, les QR codes contournent les filtres email, et les deepfakes vocaux impersonnent les dirigeants en temps réel. Ce guide décortique les 7 techniques actives contre les PME françaises — et vous donne les mesures concrètes pour les neutraliser.
Chiffres clés 2026
— Pourquoi le phishing reste l'attaque n°1 en 2026
Le phishing est l'arme d'entrée de choix des cybercriminels pour une raison simple : il cible le maillon le plus difficile à patcher de votre infrastructure — l'humain. Aucun pare-feu, aucun EDR ne peut bloquer à 100 % un utilisateur qui clique volontairement. Et avec l'émergence des LLMs capables de personnaliser des milliers d'emails par heure, le volume et la sophistication des campagnes ont bondi de 67 % entre 2024 et 2026 selon l'ANSSI.
Pour les PME françaises, la menace est particulièrement aiguë. Elles concentrent de la valeur (données clients, accès bancaires, propriété intellectuelle) sans disposer des équipes de sécurité des grandes entreprises. Résultat : 60 % des PME victimes d'une cyberattaque significative ne s'en remettent pas dans les 18 mois.
— Technique 1 : Le spear-phishing assisté par IA
Le spear-phishing classique ciblait déjà les individus plutôt que les masses. En 2026, l'IA change l'échelle : des outils comme WormGPT ou les LLMs détournés permettent de générer automatiquement des emails hyper-personnalisés à partir de données OSINT (LinkedIn, communiqués de presse, rapports annuels, réseaux sociaux).
Exemple réel (anonymisé)
"Bonjour Marie, suite à notre échange lors du salon Viva Tech la semaine dernière à propos de votre projet de migration Azure, je vous transmets comme convenu le devis pour la phase 2. Pourriez-vous valider le bon de commande joint avant vendredi ? — Jean-Philippe Durand, Directeur Commercial, [fournisseur légitime avec domaine typosquatté]"
Taux de clic moyen : 38-55 % vs 3-8 % pour le phishing générique.
Contre-mesure : Formation aux signaux d'alerte contextuels (urgence, demande de virement, lien vers document externe). Systématiser la vérification par téléphone pour toute demande financière ou de partage d'accès, même si l'email semble parfaitement légitime.
— Technique 2 : Le QR code phishing (Quishing)
Les filtres email analysent le contenu textuel et les URLs. Les QR codes contournent les deux. Un email affichant un QR code "pour accéder au document sécurisé" ou "valider l'authentification MFA" redirige vers une page de phishing sans déclencher les alarmes des passerelles email.
Cette technique est particulièrement efficace car la majorité des collaborateurs scannent le QR code avec leur smartphone personnel — souvent non géré par la DSI, sans MDM, sans protection endpoint.
Contre-mesures : Activer l'analyse des images dans votre gateway email (Microsoft Defender for Office 365, Proofpoint). Former les utilisateurs à ne jamais scanner un QR code reçu par email sans vérifier l'expéditeur. Déployer un DNS filtrant sur les réseaux mobiles des collaborateurs via un VPN d'entreprise.
Vos collaborateurs sont-ils préparés à ces attaques ?
WebGuard Agency réalise des campagnes de phishing simulé pour mesurer votre exposition réelle — et former vos équipes sur les cas qui les concernent directement. Devis gratuit sous 24h.
Tester la résistance de mon équipe →— Technique 3 : Le vishing IA (usurpation vocale)
Avec quelques minutes d'audio public (interview, vidéo YouTube, podcast), les outils de voice cloning actuels peuvent générer en temps réel une voix synthétique indiscernable de l'originale. Des collaborateurs de PME françaises ont reçu des appels de "leur DG" ou "leur banquier" leur demandant de valider un virement urgent ou de communiquer leurs identifiants VPN.
Contre-mesures : Établir un mot de passe secret verbal pour toute demande téléphonique urgente impliquant un virement ou un accès. Ne jamais effectuer de virement sur la base d'un appel téléphonique seul, même si la voix est parfaitement reconnaissable. Former les équipes comptables et RH en priorité.
— Technique 4 : L'arnaque au faux fournisseur (BEC)
Le Business Email Compromise (BEC) reste l'une des techniques les plus rentables pour les attaquants. Après avoir compromis la boîte email d'un fournisseur légitime (ou créé un domaine quasi-identique), l'attaquant insère un nouveau RIB dans une conversation de facturation en cours. Le montant est virement vers un compte contrôlé par les criminels.
En France, le préjudice médian d'un BEC est de 32 000 € pour les PME, et le taux de récupération des fonds est inférieur à 15 % une fois que le virement a été exécuté.
Contre-mesures : Procédure systématique de vérification par appel téléphonique (sur numéro connu, pas celui fourni dans l'email) pour tout changement de coordonnées bancaires. Activer DMARC, DKIM et SPF sur vos domaines pour réduire le spoofing de votre propre domaine. Sensibiliser spécifiquement les équipes comptabilité et direction financière.
— Technique 5 : Le phishing via outils collaboratifs (Teams, Slack, SharePoint)
Les outils de collaboration sont devenus des vecteurs d'attaque de premier plan. Un lien SharePoint partagé, un message Teams d'un "collègue" externe, une invitation Notion — ces messages bénéficient d'une confiance implicite que les emails entrants n'ont plus. Les filtres de sécurité sont souvent moins stricts sur ces canaux.
Contre-mesures : Restreindre les invitations externes dans Microsoft Teams et Slack aux domaines partenaires whitelistés. Activer l'analyse des liens dans les messages internes (Microsoft Defender for Office 365 — Safe Links fonctionne aussi dans Teams). Former les collaborateurs à traiter avec la même vigilance un lien Teams qu'un lien email.
— Technique 6 : Le phishing de réinitialisation MFA (MFA Fatigue & AiTM)
L'authentification multifacteur (MFA) est désormais contournée par deux techniques principales. La MFA Fatigue consiste à bombarder l'utilisateur de notifications push jusqu'à ce qu'il valide par erreur ou lassitude. L'Adversary-in-the-Middle (AiTM) utilise un proxy transparent qui intercepte la session authentifiée en temps réel, capturant le cookie de session après validation du MFA légitime.
Contre-mesures : Migrer vers des méthodes MFA résistantes au phishing : clés FIDO2/WebAuthn (YubiKey, Windows Hello), passkeys. Activer la correspondance de numéro dans Microsoft Authenticator pour éliminer la MFA Fatigue. Déployer des politiques d'accès conditionnel qui détectent les anomalies de session.
— Technique 7 : Le phishing par SMS et messagerie (Smishing)
Les SMS bénéficient d'un taux d'ouverture de 98 % et arrivent directement sur les smartphones personnels des collaborateurs — hors du périmètre de contrôle de la DSI. Les campagnes de smishing impersonnent des transporteurs (Chronopost, DHL), des administrations (URSSAF, ANTAI), ou des banques pour capturer des identifiants ou installer des malwares mobiles.
En 2026, on observe une recrudescence de smishing ciblant les dirigeants via WhatsApp Business, avec usurpation de l'identité d'avocats ou de notaires dans le cadre de transactions en cours.
Contre-mesures : Former les collaborateurs à ne jamais cliquer sur un lien reçu par SMS/WhatsApp sans vérification directe. Déployer un MDM (Mobile Device Management) avec filtrage DNS sur les appareils professionnels. Utiliser des solutions comme Lookout ou Zimperium pour la protection mobile.
— Plan de protection en 5 niveaux pour les PME
-
1
Niveau technique
Activer DMARC (politique reject), DKIM, SPF. Déployer une gateway email (Microsoft Defender, Proofpoint, Mimecast). Activer l'analyse des pièces jointes en sandbox. Mettre en place le Safe Links et Safe Attachments. Migrer vers MFA FIDO2 ou passkeys.
-
2
Niveau procédures
Procédure de vérification pour tout changement de RIB ou de coordonnées. Procédure de validation des virements exceptionnels (double validation, appel sur numéro connu). Mot de passe vocal pour les demandes urgentes par téléphone.
-
3
Niveau formation
Simulation mensuelle de phishing interne. Formation courte contextuelle (15-20 min) ciblée sur les techniques actives dans votre secteur. Reporting sûr et sans sanction pour les clics accidentels.
-
4
Niveau détection
Déployer un SIEM ou un service MDR pour corréler les alertes de connexion anormale. Activer les logs de connexion et mettre en place des alertes sur les connexions depuis des IP/pays inhabituels. Surveillance des boîtes email VIP (DG, DAF, DRH).
-
5
Niveau réponse à incident
Documenter un plan de réponse à incident phishing : qui alerter, comment isoler le poste compromis, comment contacter la banque en cas de virement frauduleux (délai critique : moins de 72h). Souscrire une assurance cyber couvrant la fraude au virement.
"Nous avons subi un BEC de 45 000 € avant de faire appel à WebGuard. En 3 mois, ils ont formé nos équipes, mis en place les procédures de vérification et déployé DMARC sur tous nos domaines. Depuis, zéro incident."
— FAQ : Phishing en entreprise 2026
Conclusion : la vigilance n'est pas suffisante, il faut l'outiller
La réalité du phishing en 2026 est que les techniques ont dépassé ce que la simple sensibilisation peut contrer. Un collaborateur vigilant peut être trompé par un email généré par IA, une voix clonée ou un SMS parfaitement mimétique. La défense efficace combine mesures techniques, procédures robustes et formation régulière basée sur des simulations réalistes — pas des slideshows annuels.
Évaluez la résistance réelle de votre entreprise au phishing
WebGuard Agency déploie des campagnes de phishing simulé sur mesure, analyse les résultats et forme vos équipes sur les cas concrets qui les ciblent. Rapport détaillé sous 10 jours ouvrés. Devis gratuit sous 24h.