Phishing : Microsoft reste la marque la plus usurpée, l'IA aussi

18 oct. 2026

En bref : selon le classement de Check Point Research pour juillet à septembre 2026, Microsoft représente 33 % des tentatives de phishing par usurpation de marque, loin devant Apple et Google (8 % chacun). Nouveauté : les escrocs imitent aussi les outils d'IA comme Claude ou Google Antigravity. Les petites structures peuvent s'en protéger avec quelques réflexes simples : se méfier de l'urgence, vérifier les adresses, activer la double authentification.

Un faux mail de facturation, un faux site d'installation, une fausse page d'assistance : le hameçonnage n'a rien perdu de sa vigueur. Le dernier classement trimestriel de Check Point Research, publié le 16 octobre 2026, confirme une tendance lourde et en ajoute une nouvelle. Microsoft reste, et de très loin, la marque la plus imitée par les escrocs. Et les outils d'intelligence artificielle, que de plus en plus d'associations, d'indépendants et de petites entreprises adoptent, sont désormais dans le viseur.

Pour les petites structures qui ouvrent des comptes sur ces services, souvent avec une carte bancaire au bout, le message est clair : il faut apprendre à reconnaître ces faux messages avant qu'ils ne coûtent cher.

Quelles sont les marques les plus usurpées par le phishing ?

Sur la période de juillet à septembre 2026, Microsoft concentre 33 % des tentatives de phishing reposant sur l'usurpation d'une marque, contre 23 % au trimestre précédent. C'est environ quatre fois plus que n'importe quelle autre entreprise du classement. Derrière, Apple et Google se partagent la deuxième marche avec 8 % chacun, Apple gagnant deux places au passage. LinkedIn recule au quatrième rang avec 6 %, et Amazon ferme le top 5 avec 4 %. À elles cinq, ces marques pèsent plus de la moitié de toutes les usurpations observées.

Plus bas dans le tableau, YouTube progresse de cinq places (3 %), Dropbox bondit de dix rangs pour atteindre 2 %, à égalité avec Facebook, tandis que WhatsApp et Adobe stagnent autour de 1 %. Par secteur, la technologie arrive en tête, suivie des réseaux sociaux puis de la banque : les pirates visent là où se trouvent les comptes les plus précieux.

Pourquoi Microsoft ? Parce qu'un identifiant Microsoft vaut de l'or. Check Point le résume ainsi : des identifiants volés peuvent ouvrir tout l'environnement d'une organisation. Une seule connexion à Microsoft 365 donne accès à la messagerie, aux documents partagés sur OneDrive ou SharePoint, aux conversations Teams, voire au carnet d'adresses des partenaires. Pour un escroc, c'est la porte d'entrée idéale vers d'autres fraudes, comme la fausse demande de virement envoyée depuis une vraie boîte mail.

L'ampleur du phénomène se mesure aussi ailleurs. Quelques jours avant la publication du classement, Microsoft annonçait avec la police japonaise et plusieurs entreprises de sécurité le démantèlement d'une place de marché clandestine, la YAM Store, qui vendait des kits de phishing clés en main. Plus d'un milliard de mails et de SMS frauduleux auraient été envoyés depuis janvier 2026, touchant plus de 75 000 organisations dans plus de 150 pays. Environ 750 millions de ces messages visaient des clients de Microsoft.

Comment les escrocs imitent-ils les outils d'IA ?

La nouveauté du trimestre, c'est l'arrivée des outils d'IA et de développement parmi les appâts. Le mouvement avait déjà commencé au printemps : au deuxième trimestre 2026, ChatGPT était entré pour la première fois dans le top 10 des marques les plus imitées, avec notamment un faux mail de facturation ChatGPT Plus. Check Point prévoyait alors que les plateformes d'IA deviendraient des cibles aussi intéressantes qu'une banque ou un géant de la tech.

Le trimestre suivant lui donne raison. Parmi les campagnes décrites par les chercheurs :

Un faux mail Claude, l'assistant d'Anthropic, intitulé « Payment failed for your Claude account ». Il annonçait le refus d'un paiement de 500 euros et menaçait de suspendre l'accès à l'API et les licences si le moyen de paiement n'était pas mis à jour avant une date butoir. Un bouton « Update payment method » menait à une page conçue pour récupérer coordonnées bancaires et identifiants.
Un faux site Google Antigravity, l'environnement de développement assisté par IA de Google. Le domaine, enregistré en septembre 2026, imitait la page officielle et proposait une commande d'installation pour Linux. Cachée dans une chaîne encodée, elle téléchargeait et exécutait un script depuis un serveur pirate, offrant à l'attaquant la main sur la machine.
Une fausse page d'assistance Apple, qui invitait les utilisateurs de Mac à coller des commandes dans le Terminal pour « booster » leur ordinateur. Même mécanique : c'est la victime qui installe elle-même le logiciel malveillant.
De faux sites Docusign, qui réclamaient la mise à jour d'un lecteur de documents. Le bouton installait en réalité FleetDeck, un outil légitime de prise en main à distance, détourné pour s'introduire dans l'ordinateur. Aucune faille logicielle n'est exploitée : tout repose sur la confiance de l'utilisateur.

Pour Omer Dembinsky, responsable de la recherche de données chez Check Point Research, le phishing par usurpation de marque entre dans une nouvelle phase : l'IA générative permet de produire en masse des mails crédibles et des copies de sites très convaincantes. Les fautes d'orthographe grossières qui trahissaient autrefois les arnaques disparaissent.

Pourquoi les petites structures sont-elles particulièrement exposées ?

Une association, une TPE ou un indépendant n'a généralement ni service informatique ni filtre de messagerie haut de gamme. Les comptes sont souvent partagés entre plusieurs bénévoles ou salariés, ouverts à la va-vite pour tester un nouvel outil, et rattachés à la carte bancaire du président ou du gérant. Un faux mail « échec de paiement » tombe donc pile au bon endroit : la personne qui le reçoit sait qu'un abonnement existe, ignore parfois qui l'a souscrit, et craint de perdre l'accès à un service devenu indispensable.

Les outils d'IA ajoutent une difficulté. Beaucoup d'utilisateurs découvrent ces services depuis peu et ne connaissent pas encore les adresses officielles, le look des vraies factures ou la façon normale d'installer un logiciel. Copier une commande dans un terminal, par exemple, est un geste courant dans les tutoriels pour développeurs ; les escrocs l'ont bien compris.

Comment repérer un faux message de phishing ?

Les attaques décrites par Check Point jouent toutes sur les mêmes ressorts : la confiance dans une marque connue et l'urgence. Quelques réflexes simples permettent d'en déjouer la plupart.

Méfiez-vous de l'urgence. Paiement refusé, compte suspendu sous 48 heures, licences bloquées : la pression est le premier signal d'alerte.
Vérifiez l'adresse de l'expéditeur et des liens. Survolez un lien sans cliquer pour voir où il mène réellement. Un caractère changé, un tiret en trop ou un nom de domaine à rallonge suffisent à signer une contrefaçon.
Ne passez jamais par le lien du message. En cas de doute sur une facture, connectez-vous directement au service en tapant son adresse vous-même, ou utilisez un favori enregistré.
Ne collez jamais une commande que vous ne comprenez pas. Un vrai support ne vous demandera pas d'ouvrir le Terminal pour « accélérer » votre Mac.
Téléchargez uniquement depuis les sites officiels ou les boutiques d'applications reconnues, jamais depuis une page arrivée par mail.
Rappelez-vous la règle d'or : aucune organisation sérieuse ne demande un mot de passe ou des coordonnées bancaires par mail ou par téléphone.

Quels réflexes mettre en place dans une association ou une petite entreprise ?

Au-delà de la vigilance individuelle, quelques mesures d'organisation réduisent fortement le risque, sans budget particulier.

Activez la double authentification sur Microsoft 365, Google Workspace et chaque outil d'IA qui la propose. Un mot de passe volé devient alors bien moins utile.
Tenez une liste des abonnements : quel service, quelle carte, quel responsable. Un mail de facturation pour un outil absent de la liste devient immédiatement suspect.
Utilisez des mots de passe uniques, idéalement grâce à un gestionnaire de mots de passe, qui a l'avantage de ne pas remplir les identifiants sur un faux site.
Évitez les comptes partagés lorsque c'est possible, et retirez les accès des personnes qui quittent la structure.
Parlez-en en réunion d'équipe ou de bureau. Montrer un exemple de faux mail vaut souvent mieux qu'une longue note.

Que faire si vous avez cliqué ?

Pas de panique, mais il faut agir vite. Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes, recommande de changer immédiatement le mot de passe concerné, ainsi que celui de tous les comptes qui utilisaient le même. Si des coordonnées bancaires ont été saisies, contactez votre banque sans attendre pour faire opposition. Vérifiez l'historique des connexions du compte quand le service le permet, conservez le message frauduleux comme preuve et, en cas de préjudice, déposez plainte.

Signaler aide aussi les autres : les mails douteux peuvent être transmis à Signal Spam, les SMS au 33700, et les faux sites à Phishing Initiative pour qu'ils soient bloqués. Pensez également à prévenir la marque usurpée.

Ce qu'il faut retenir pour une association ou une petite entreprise

Le phishing ne faiblit pas, il se modernise. Microsoft reste l'appât numéro un parce que ses comptes ouvrent toutes les portes, et les escrocs suivent désormais les utilisateurs vers les nouveaux outils d'IA, de Claude à Google Antigravity. Pour une petite structure, la meilleure défense reste simple : ralentir face à l'urgence, vérifier avant de cliquer, activer la double authentification et savoir qui paie quoi. Adopter l'IA, oui, mais en sécurisant ses comptes dès le premier jour : c'est l'un des sujets sur lesquels peut vous aider La BaskTech au Pays Basque.

Photo : Gustavo Fring / Pexels