Des liens plausibles, mais parfaitement faux. Unit 42, l’équipe de recherche de Palo Alto Networks, décrit une mécanique de phishing qui carbure aux domaines inventés par les modèles d’IA. Dans une analyse publiée le 1 juillet 2026, les chercheurs disent avoir passé au crible 2,1 millions d’URL générées par deux modèles de langage pour 913 marques mondiales. Le butin : 250 000 domaines fantômes, non encore enregistrés, qu’un attaquant peut réserver avant tout le monde.
Le rapport d’Unit 42 avance un chiffre plus concret sur la menace déjà en circulation : 13 229 URL « confirmées malveillantes » au moment de l’analyse, soit 0,61 % du corpus. Autre donnée parlante, 809 455 URL (37,28 %) pointent vers des endpoints inexistants. Dans plusieurs cas, des enregistrements réels sont apparus quelques jours après la sortie des modèles, avec une fenêtre d’anticipation de 18 à 51 jours.
Points clés
- Unit 42 a analysé 2,1 millions d’URL générées par IA pour 913 marques et identifié 250 000 domaines fantômes non enregistrés
- 13 229 URL confirmées malveillantes au moment de l’analyse, soit 0,61 % du corpus
- Des enregistrements réels observés 18 à 51 jours après la sortie des modèles, dont le kit de phishing Montana Empire
Des domaines hallucinés repérés avant les attaquants
Unit 42 baptise la technique phantom squatting. Le principe est d’une simplicité désarmante : un modèle de langage recommande un nom de domaine crédible pour une marque, sauf qu’il n’existe pas. Un attaquant l’enregistre, puis en fait une page de phishing, un faux portail d’assistance, une fausse API ou un point de distribution de malware.
Les chercheurs disent avoir testé 913 marques via 685 339 requêtes URL réparties sur plusieurs configurations de deux modèles distincts. Après normalisation, environ 250 000 domaines fantômes uniques ont émergé. Autrement dit, une surface d’attaque livrée clé en main, préfiltrée par les modèles eux-mêmes et prête à être capturée avant que la marque visée n’ait le réflexe de la réserver.
« Notre surveillance proactive de l’enregistrement des domaines hallucinés à haute priorité a produit des détections réelles dans plusieurs secteurs », écrit Unit 42 dans son analyse.
Un kit de phishing déjà croisé dans la nature
Le rapport cite un cas où un attaquant a utilisé un assistant de codage dopé à l’IA pour monter un kit de phishing complet, baptisé Montana Empire. Selon les détails relayés sur l’affaire, ce kit visait un domaine que le pipeline de détection avait repéré 23 jours plus tôt comme cible à haut risque. Trois étapes s’enchaînent : génération de l’URL par l’IA, repérage par les chercheurs, puis enregistrement et exploitation par l’adversaire.
La menace ne se limite pas au phishing classique. Les 2,1 millions d’URL incluent des pages liées à des campagnes déjà actives, ce qui place ces domaines au croisement de plusieurs usages : vol d’identifiants, distribution de charge utile et interception de trafic destiné à des services légitimes. La valeur d’un domaine ne tient plus à sa seule ressemblance avec une marque. Elle tient à sa capacité à être suggéré par un outil d’IA en amont d’une recherche ou d’un workflow automatisé.
Unit 42 ne joue pas la carte de l’hypothèse. Les enregistrements ont été validés par WHOIS, avec des délais de préemption allant jusqu’à 51 jours entre l’identification d’un domaine fantôme et son enregistrement par un tiers. Pour les défenseurs, c’est une fenêtre de détection avant l’usage opérationnel. Pour les attaquants, c’est une liste de cibles à bas coût, gracieusement dressée par les modèles de langage.
