Anatomie du phishing moderne : le clic anodin qui coûte tout

3,8 millions d'attaques de phishing ont été recensées en 2025, un niveau record. Et pourtant, ce chiffre ne raconte qu'une partie de l'histoire.

Ce qui a véritablement changé cette année, ce n'est pas le volume des attaques mais leur capacité à se fondre dans le décor de notre quotidien en ligne.

Le phishing ne ressemble plus à ce qu'on nous a appris à reconnaître. Il n'arrive plus uniquement sous la forme d'un email mal rédigé, d'un expéditeur inconnu ou d'un lien au domaine suspect. Aujourd'hui, il se cache derrière les outils que nous utilisons chaque jour, et il exploite précisément la confiance qu'on leur accorde.

Les raccourcisseurs d'URL, outils des équipes marketing… et des attaquants

Le service le plus utilisé pour masquer des attaques de phishing s'appelle bit.ly. Il n'est pas question d'un domaine enregistré en Biélorussie à trois heures du matin, mais du même raccourcisseur d'URL que les services communications d'entreprises utilisent souvent pour leurs newsletters. Cela révèle une stratégie délibérée : détourner des infrastructures légitimes pour contourner les défenses.

Quand un filtre de messagerie analyse un email contenant un lien bit.ly, il voit un service reconnu, sur liste blanche. La destination finale (la page de vol d'identifiants, le formulaire piégé) reste invisible tant que la victime ciblée n'a pas cliqué. Peu de passerelles web sécurisées (SWG) résolvent dynamiquement ces raccourcis à la volée, donc le filtre valide le lien et l'utilisateur franchit la barrière.

De plus, les raccourcisseurs d'URL peuvent s'imbriquer dans toutes les techniques d'attaque modernes. Le quishing (phishing par QR code) par exemple utilise un QR code qui dissimule un lien TinyURL qui à son tour dissimule la page finale. Les attaques Adversary-in-the-Middle utilisent t.co ou is.gd comme intermédiaires pour échapper à la détection. 

Le constat pour les équipes sécurité est rude : la règle "vérifiez l'URL avant de cliquer" ne tient plus quand l'URL est en construction masquée par un service techniquement légitime.

Le Cloaking, quand Google Ads devient un vecteur d'attaque de masse

Autre menace tout aussi préoccupante, les moteurs de recherche sont devenus un terrain de chasse. Le scénario est devenu banal en 2025 : un collaborateur cherche à télécharger Microsoft Teams, il tape la requête dans Google, le premier résultat affiche un logo Microsoft, URL crédible, description officielle… Le collaborateur ne remarque pas le petit tag "Sponsorisé", il clique, télécharge, installe. Mais ce n'était pas Teams, c'était un ransomware. Des campagnes de ce type ciblent les logiciels les plus recherchés en entreprise : Teams, AnyDesk, VLC, Slack, ChatGPT. Des noms que tout le monde connaît et cherche.

Le mécanisme qui rend cette attaque si difficile à contrer s'appelle le cloaking. L'attaquant achète un espace publicitaire, clone le site officiel du logiciel ciblé, puis sert deux versions de sa page : une propre, destinée aux robots de vérification de Google, et une piégée, destinée aux vrais utilisateurs. Le fichier malveillant lui-même n'est pas hébergé sur un domaine douteux, il est souvent sur GitHub ou Dropbox, des plateformes que la quasi-totalité des filtres d'entreprise autorisent.

Les chiffres donnent le vertige : en 2024, une seule campagne de ce type a compromis un million d'appareils, via des publicités diffusées sur des sites de streaming grand public. Aujourd'hui, une publicité sur 130 dans les résultats de recherche est malveillante.

L'IA générative, nouveau vecteur non protégé

La menace déborde désormais des moteurs de recherche traditionnels pour atteindre un territoire encore moins sécurisé : les interfaces d'IA générative. De plus en plus de collaborateurs utilisent ChatGPT ou Perplexity pour chercher des logiciels, trouver des liens, obtenir des recommandations. Or ces outils ne disposent pas des protections anti-phishing intégrées aux navigateurs classiques. Une étude récente révèle qu'une URL suggérée sur trois par ces moteurs IA ne pointe pas vers le domaine officiel de la marque concernée.

Le réflexe "je cherche, je clique" migre vers l'IA, mais pas les solutions qui nous protègent.

Les implications pour les responsables sécurité

Raccourcisseurs d'URL et malvertising partagent une caractéristique commune qui les rend particulièrement dangereux : ils exploitent des services légitimes, connus, auxquels les utilisateurs font confiance. Face à cette réalité, plusieurs mesures s'imposent :

Sur le plan technique, les SWG doivent être configurés pour résoudre dynamiquement les raccourcisseurs d'URL avant de valider un lien. Le filtrage par catégorie de domaine seul est aveugle face à la combinaison raccourcisseur + redirection post-validation. L'analyse comportementale des pages de destination devient indispensable.

Sur le plan des politiques, il devient nécessaire d'encadrer l'usage des raccourcisseurs au sein des outils internes de l'organisation. Non pas pour les interdire, mais pour distinguer les usages légitimes des usages suspects.

Sur le plan de la sensibilisation, les messages historiques ("vérifiez l'URL", "méfiez-vous des expéditeurs inconnus") doivent être mis à jour. Le vrai message aujourd'hui est plus contre-intuitif : un lien peut paraître parfaitement légitime et mener directement à une compromission. La vigilance ne se joue plus sur la reconnaissance visuelle d'une anomalie mais sur la compréhension du risque. Le premier résultat Google peut être une pub, bit.ly peut cacher n'importe quoi, et le fichier téléchargé depuis GitHub peut être malveillant.

Le phishing n'a plus besoin de se déguiser grossièrement. Il se fond dans l'infrastructure légitime d'Internet et exploite les angles morts des défenses construites pour un monde où les menaces étaient, il y a peu encore, reconnaissables à l'œil nu. La surface d'attaque n'est plus seulement technique, elle est cognitive. Et c'est précisément pourquoi elle est si difficile à défendre avec les seuls outils d'hier.