Un de vos collaborateurs reçoit un e-mail du « dirigeant ». Ton habituel, bonne signature, zéro faute d'orthographe, et une demande urgente, régler une facture avant ce soir. Sauf que ce message n'a jamais été écrit par votre direction. Il a été généré en quelques secondes par une intelligence artificielle. Bienvenue dans l'ère du phishing IA.

L'hameçonnage n'a rien de nouveau. Ce qui change en 2026, c'est sa qualité. En s'appuyant sur l'IA générative, les attaquants produisent des messages quasi parfaits, personnalisés et à grande échelle. Résultat, selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr publié en mars 2026, l'hameçonnage est resté la première menace tous publics confondus, avec une hausse de 70 % des demandes d'assistance, sur un total de plus de 500 000 victimes accompagnées dans l'année. Et non, les grands groupes ne sont pas les seuls visés : à Dijon, à Chalon-sur-Saône comme partout en Bourgogne, les PME sont des cibles de choix.

Le phishing dopé à l'IA, c'est quoi exactement ?

Le phishing, ou hameçonnage en français, est une technique d'arnaque qui consiste à se faire passer pour un tiers de confiance, votre banque, un fournisseur, l'administration, un collègue ou votre dirigeant. L'objectif ? Vous pousser à agir. Cliquer sur un lien, livrer un mot de passe, télécharger un fichier ou effectuer un virement. Le phishing IA, c'est exactement la même arnaque, mais dont le contenu est écrit ou perfectionné par une intelligence artificielle générative.

Cette famille d'attaques regroupe plusieurs formes que vous croiserez peut-être sous leur nom technique : le spear phishing (ou harponnage), qui vise une personne précise ; le smishing par SMS ; le vishing par appel téléphonique ; le quishing par QR code piégé. Toutes reposent sur le même levier, l'ingénierie sociale, et toutes profitent de l'IA. Pour approfondir, Cybermalveillance.gouv.fr propose un dossier complet sur l'hameçonnage.

Pourquoi le phishing IA est plus dangereux qu'un hameçonnage classique

Jusqu'ici, un e-mail frauduleux se repérait souvent à ses fautes grossières, sa mise en page bancale ou son français approximatif. L'IA générative a fait voler en éclats ces repères. Dans sa synthèse de la menace publiée le 4 février 2026, le CERT-FR (ANSSI) documente l'usage de l'IA générative par des groupes d'attaquants pour produire des contenus d'ingénierie sociale, et cite notamment un mode opératoire qui s'en sert pour « créer de faux profils d'entreprises et d'employés sur les réseaux sociaux ».

Des messages parfaits et sur-mesure

En analysant des informations publiques (votre site web, LinkedIn, la presse locale), l'IA rédige un message crédible, dans un français impeccable, qui cite le bon nom, le bon projet et le bon interlocuteur. Le vieux réflexe « je repère les fautes » ne suffit plus. Ces informations publiques sont d'ailleurs exactement ce que révèle un audit d'exposition : ce qu'un attaquant peut apprendre de vous sans jamais entrer dans votre réseau.

De fausses voix, de faux visages

L'IA sait aussi imiter une voix ou générer une vidéo : ce sont les fameux deepfakes. La fraude au président, un faux dirigeant qui réclame un virement urgent, devient redoutable quand la voix au téléphone ressemble vraiment à celle du patron. Ce n'est plus un scénario de laboratoire : le faux ordre de virement fait son entrée dans les trois principales menaces visant les entreprises et associations en 2025.

Des attaques en série

Ce qui demandait des heures se fait désormais en masse. Une même campagne peut viser des centaines de PME en quelques minutes, chacune avec un message personnalisé. Plus de volume, plus de crédibilité : le cocktail est explosif.

Les PME de Dijon et Chalon-sur-Saône sont-elles vraiment visées par le phishing IA ?

Oui, et bien plus qu'on ne le croit. Les attaquants cherchent le maillon le plus accessible, une PME dispose rarement d'une équipe cybersécurité dédiée, tout en gérant des données et des paiements sensibles. Les chiffres 2025 de Cybermalveillance.gouv.fr pour les entreprises et associations sont éloquents :

• le piratage de compte arrive en tête avec 21 % des demandes d'assistance, en progression de 52 % ;
• l'hameçonnage suit avec 16 % des diagnostics, en hausse de 29 % ;
• la fraude au virement complète le podium avec 13,5 % des assistances, en progression de 93 %.

Ces trois menaces s'enchaînent presque toujours dans le même ordre : un hameçonnage réussi ouvre un compte, et le compte ouvert permet la fraude au virement. Sur l'année, les demandes d'assistance émanant d'entreprises et d'associations ont bondi de 73 %. Une TPE ou une PME de Saône-et-Loire ou de Côte-d'Or est exactement dans la cible.

Deux facteurs aggravent le risque localement. D'abord les fuites de données massives, qui alimentent directement les campagnes d'hameçonnage : nous l'avons détaillé à propos du piratage du portail ANTS. Ensuite les outils installés hors du regard de la DSI, ces messageries et accès mal protégés que nous décrivons dans notre article sur le Shadow IT et le Shadow AI en PME.

Comment reconnaître un e-mail de phishing généré par IA ?

Puisque l'orthographe n'est plus un indice fiable, changez de réflexes. Méfiez-vous d'un message qui :

• crée un sentiment d'urgence ou de pression (« avant ce soir », « sinon compte bloqué ») ;
• demande une action sensible : virement, changement de RIB, identifiants, code reçu par SMS ;
• provient d'une adresse légèrement modifiée (un caractère en trop, un domaine inhabituel) ;
• contient un lien, un QR code ou une pièce jointe inattendus ;
• sort du contexte habituel (un « fournisseur » qui change soudain de coordonnées bancaires).

Protéger votre PME du phishing IA : la méthode en 4 étapes

Bonne nouvelle : quelques réflexes bien choisis réduisent considérablement le risque. Voici l'approche que nous mettons en place chez C2iP, et que détaille notre guide complet de l'audit cybersécurité pour les PME.

Vous avez cliqué sur un phishing ? Gardez la tête froide

Pas de panique, mais agissez vite : changez immédiatement les mots de passe concernés depuis un autre appareil, prévenez votre banque si des informations bancaires ont circulé, isolez le poste du réseau si un fichier a été téléchargé, et conservez les preuves (captures d'écran, e-mail d'origine). Cybermalveillance.gouv.fr met à disposition une fiche réflexe pour réagir étape par étape. En entreprise, prévenez sans attendre votre prestataire informatique : plus on intervient tôt, plus on limite les dégâts.

Se faire accompagner face au phishing IA : C2iP à vos côtés, en Bourgogne

Chez C2iP, on parle votre langage, pas le jargon. Depuis notre siège de Saint-Désert (Saône-et-Loire) et notre agence de Dijon, nous accompagnons plus de 250 organisations, dont de nombreuses PME de Chalon-sur-Saône, de toute la Saône-et-Loire et de la Côte-d'Or. Labellisés ExpertCyber par Cybermalveillance.gouv.fr, nous réunissons les bonnes briques face au phishing IA :

• la sensibilisation des équipes et la sécurisation de la messagerie et des accès ;
• l'audit d'exposition FERNAND, qui cartographie ce qu'un attaquant peut voir et exploiter ;
• la gestion informatique au quotidien avec l'accompagnement VIGIE : maintenance, mises à jour, support et un interlocuteur unique ;
• les services co-managés pour les équipes IT déjà en place.

Un point mérite d'être dit clairement, parce qu'il est souvent mal compris : surveiller ne suffit pas. Nous l'expliquons dans notre article « Supervision informatique PME : pourquoi surveiller ne suffit pas ». Face au phishing IA, ce qui protège vraiment, c'est la combinaison de l'organisation, des réflexes humains et de barrières techniques bien posées. Pour une vision d'ensemble, consultez notre guide de la gestion informatique en PME.

Questions fréquentes sur le phishing IA