14 août 2026

Mots de passe volés avec l'IA : protéger les comptes qui comptent

Dans un cabinet comptable de Terrassa, une assistante administrative a reçu un e-mail qui semblait venir de son propre domaine. Objet : « Votre boîte mail approche de la limite — ajoutez de l'espace. » Logo correct, signature d'entreprise correcte, pas une faute. Elle a cliqué, saisi son identifiant et son mot de passe de messagerie, et la page l'a redirigée vers sa vraie boîte. Rien d'étrange. Rien, jusqu'à ce que, deux semaines plus tard, trois clients reçoivent un changement de coordonnées bancaires pour leurs prélèvements.

Personne n'est entré par la porte. Ils sont entrés avec les clés.

Pourquoi c'est plus difficile à repérer maintenant

L'hameçonnage d'autrefois se trahissait tout seul : traductions bancales, « Cher client », liens absurdes. Avec l'IA générative, celui qui monte l'attaque peut écrire dans un catalan ou un français impeccable, imiter le ton interne d'une entreprise et personnaliser chaque message avec des informations publiques — le nom de votre chargé de compte, le logiciel de facturation que vous utilisez, la campagne que vous venez d'annoncer sur votre site.

Et il n'est pas nécessaire d'être une grande cible. Ces attaques se font à l'échelle : un e-mail bien fait est réutilisé pour des centaines de petites entreprises en changeant quatre détails. Une structure de huit personnes est souvent plus rentable à attaquer qu'un groupe doté d'un service de sécurité.

Le butin n'est pas non plus le mot de passe en soi. C'est ce qu'il y a derrière : la messagerie — d'où partent les changements de RIB vers vos clients —, la gestion documentaire, la banque en ligne, le logiciel de paie.

Les signaux d'alerte

• Un e-mail qui vous fait cliquer pour résoudre une urgence. Boîte pleine, facture en attente, mot de passe qui expire aujourd'hui, colis retenu. La hâte est l'outil, pas l'excuse.
• Un écran de connexion juste après avoir cliqué sur un lien. Les services légitimes vous demandent rarement votre mot de passe immédiatement après un e-mail.
• L'adresse de l'expéditeur ne correspond pas au vrai domaine. Regardez le domaine complet, pas le nom affiché : microsoft-support.net n'est pas microsoft.com.
• On vous demande votre code de vérification par téléphone, messagerie ou chat. Aucune entreprise légitime ne le demande jamais.
• Des demandes de second facteur que vous n'avez pas déclenchées. Si votre téléphone demande « Approuver cette connexion ? » alors que vous ne vous connectez nulle part, quelqu'un a déjà votre mot de passe.
• Vos propres e-mails qui disparaissent. Les attaquants créent souvent des règles qui envoient directement à la corbeille les alertes bancaires ou les réponses des clients.

Quatre mesures qui valent l'effort

1. L'authentification à deux facteurs partout, avec une application plutôt que par SMS. C'est la mesure qui arrête le plus par unité d'effort. Les SMS peuvent être interceptés ou détournés par un échange de carte SIM ; une application d'authentification sur le téléphone, non. Priorité à la messagerie professionnelle, à la banque et à la gestion documentaire.

2. Un gestionnaire de mots de passe pour l'équipe. Non pour allonger les mots de passe, mais pour qu'ils cessent de se répéter. Si le mot de passe de la messagerie est le même que celui d'une boutique en ligne piratée il y a trois ans, il n'est plus secret. Et il y a un effet secondaire qui vaut plus qu'il n'y paraît : un gestionnaire ne remplit pas automatiquement les champs sur un faux domaine. Ce silence avertit mieux que n'importe quelle formation.

3. Un canal de vérification hors e-mail. Tout changement de coordonnées bancaires, de données de paiement ou de droits d'accès se confirme par téléphone, à un numéro que vous aviez déjà noté. Jamais celui du message. Écrivez la règle et assurez-vous que tous ceux qui touchent aux paiements la connaissent.

4. Revoyez qui a accès à quoi, deux fois par an. Comptes encore actifs de personnes parties, comptes partagés sans propriétaire, droits d'administrateur dont plus personne n'a besoin. Une demi-heure de travail, et cela réduit la surface d'attaque plus que n'importe quel outil.

Si vous pensez que c'est déjà arrivé

L'ordre compte, parce que le temps joue contre vous :

1. Changez le mot de passe et fermez toutes les sessions ouvertes du compte concerné. Tous les grands services ont une option « se déconnecter de tous les appareils ».
2. Vérifiez les règles de messagerie. Supprimez toutes celles que vous n'avez pas créées — c'est là que les attaquants cachent les preuves.
3. Vérifiez les transferts et l'adresse de récupération. Un transfert silencieux vers une adresse externe est le moyen le plus discret de continuer à lire votre courrier après un changement de mot de passe.
4. Prévenez clients et fournisseurs susceptibles d'avoir reçu quelque chose en votre nom, par téléphone ou par un canal autre que celui compromis.
5. Ensuite, cherchez par où ils sont entrés, et si le même mot de passe ouvre autre chose.

Si de l'argent a déjà bougé, la séquence est différente et l'horloge beaucoup plus serrée — je l'ai détaillée dans l'article sur les premières 24 heures.

Pourquoi cela relève des opérations, pas seulement de la sécurité

Presque tout ce qui précède est une décision de processus plutôt que technique : une règle sur les changements de RIB, une revue des accès dont quelqu'un est responsable, une liste de qui détient des droits d'administrateur. La technologie est la moitié facile. La moitié qui échoue, c'est celle où personne n'est responsable de la règle entre deux incidents.

Cet article est une information générale, pas un conseil juridique ou de sécurité pour un cas précis.