Les attaques de business email compromise ne reposent plus seulement sur des pièces jointes piégées ou des liens malveillants. Elles s’appuient désormais sur des messages crédibles, des usurpations d’identité et des scénarios taillés pour contourner aussi bien les réflexes des équipes que les filtres de messagerie classiques.
Points clés
- Le FBI a recensé 2,77 milliards de dollars de pertes liées au BEC en 2024 pour 21 442 plaintes
- Microsoft mesure des taux de clics jusqu’à 54 % pour le phishing généré par IA, contre 12 % pour les messages classiques
- Les attaquants privilégient l’usurpation d’identité crédible plutôt que les pièces jointes piégées
- La détection par analyse comportementale vise à repérer les anomalies que les filtres anti-spam laissent passer
Du malware à l’usurpation crédible
Dans le BEC (business email compromise), l’attaquant ne cherche pas forcément à infecter une machine. Il se fait passer pour un dirigeant, un fournisseur, un partenaire ou un membre de l’équipe financière, puis déclenche un virement, un changement de coordonnées bancaires ou une fuite d’informations. La logique relève de l’ingénierie sociale plutôt que de l’exploitation technique.
Les chiffres confirment l’ampleur du problème. Le rapport 2024 de l’Internet Crime Complaint Center du FBI fait état de 2,77 milliards de dollars de pertes liées au BEC, pour 21 442 plaintes. La fraude par email reste donc un poste majeur de la cybercriminalité.
L’IA au service des attaquants
Les campagnes récentes exploitent aussi l’IA pour produire des textes plus propres, plus personnalisés et plus convaincants. Dans son Digital Defense Report 2025, Microsoft indique que des campagnes de phishing générées par IA atteignaient des taux de clics pouvant monter à 54 %, contre 12 % pour des messages traditionnels. Le groupe décrit également une hausse des attaques par usurpation de marques et par hameçonnage assisté par IA.
La détection par le comportement
Face à ces messages bien rédigés, sans pièce jointe suspecte et parfois insérés dans des fils de discussion existants, les défenses email conçues pour repérer du spam ou du malware atteignent leurs limites. La crédibilité de l’émetteur compte souvent davantage que la technique employée.
Une approche consiste à analyser les schémas d’activité plutôt que les seules signatures ou le contenu brut. L’IA dite comportementale cherche des anomalies dans l’expéditeur, la séquence d’échanges, les habitudes de paiement ou les changements de contexte inhabituels. L’automatisation de la détection, de l’investigation et des workflows de réponse vise à raccourcir le délai entre la réception d’un message douteux et l’action de blocage, un facteur décisif quand un virement frauduleux peut partir en quelques minutes.
Le sujet reste particulièrement sensible pour les organisations qui traitent des paiements, des factures ou des changements de coordonnées bancaires. Le BEC touche directement les processus métier, avec des pertes qui surviennent parfois avant même qu’un incident soit identifié comme tel.
