Phishing à l'étage de la direction : comment les cadres deviennent une faille de sécurité

Première date de publication : 04.10.2023

‍

‍

Les dirigeants restent des cibles privilégiées

Un rapport de Hoxhunt datant de 2025, qui a évalué 50 millions de simulations d'hameçonnage et d'attaques réelles, confirme : Les cadres supérieurs cliquent nettement plus souvent sur des contenus malveillants que les collaborateurs - un facteur de risque humain qui persiste.

Une enquête du Financial Times démontre également l'augmentation des attaques de spear phishing générées par l'IA contre les cadres : des e-mails hyperpersonnalisés et crédibles qui contournent sans problème les filtres classiques.

Alors que les managers étaient auparavant environ quatre fois plus souvent victimes de phishing que les collaborateurs(Ivanti, 2023), cet écart ne s'est guère réduit : la valeur de base globale du taux de clics dans les simulations n'a baissé que d'un demi-point de pourcentage en 2024-2025 et reste à un niveau élevé d'environ 30-34 %.

‍

Les attaques basées sur l'IA augmentent les risques

Le développement du phishing est de plus en plus poussé par l'IA :

• Les deepfakes vocaux générés par l'IA imitent de manière convaincante les voix des cadres de niveau C lors des appels.
• Les e-mails basés sur l'IA, presque impossibles à distinguer des messages réels, atteignent des taux de clics allant jusqu'à 54 % - bien au-dessus de la moyenne des attaques traditionnelles.
• Le quishing (hameçonnage à l'aide de codes QR) et le spear phishing assisté par LLM atteignent des taux de réussite tout aussi élevés, parfois plus de 30 % d'interaction.
• Les cadres - habitués à l'urgence et au flux d'informations - restent les victimes privilégiées des tactiques de "confiance et d'autorité".

‍

Conséquences : Du vol de données aux millions de dommages causés par les ransomwares

Le phishing est souvent la porte d'entrée pour des attaques plus graves :

• Business Email Compromise (BEC) - ciblé contre les expéditeurs de niveau C - cause en moyenne 4,67 millions de dollars de dommages par incident; les pertes globales dues au BEC s'élèvent depuis 2013 à plus de 55 milliards de dollars.
• Les infections par ransomware via le phishing sont en augmentation: 32 à 35 % de toutes les variantes de ransomware sont diffusées via des canaux de phishing.
• Le coût moyen par attaque de ransomware s'élève désormais à 5,13 millions de dollars (2024) et devrait passer en 2025 à 5,5-6 millions USD.
• Au niveau mondial, le coût total des ransomwares devrait s'élever d'ici fin 2025 à 57 milliards de dollars par an selon les estimations.

Ces pertes comprennent, outre le cryptage des données, les pannes de système ( 53 000 dollars par heure en moyenne), les frais de restauration, les dommages à la réputation, les amendes éventuelles et la perte de clients.

‍

Recommandations pour une meilleure résistance

Ainsi, vous compliquez de manière ciblée le CEO-Fraud, le Spear-Phishing et le Whaling :

1. formation spécifique & simulations pour le phishing des dirigeants

Les formations standard ne suffisent pas. Les programmes modernes doivent inclure des simulations basées sur l'IA qui reproduisent de manière réaliste les deepfakes, le quishing et le BEC.

2. remettre en question la sensibilisation psychologique & la confiance en soi

Combattez l'excès de confiance ("je sais reconnaître le phishing") par des mesures fondées sur les sciences du comportement - afin de combler l'écart entre la vulnérabilité perçue et la vulnérabilité réelle.

3. contrôles techniques avancés & analyses comportementales

Utilisez l'UEBA (User & Entity Behavior Analytics) pour détecter les anomalies. Utilisez des outils de détection des menaces après livraison qui s'appuient sur des modèles de comportement plutôt que sur de simples signatures (par exemple Cofense).

4. renforcement des mesures de défense BEC

Introduisez l'authentification multi-facteurs pour les communications à haut risque. En outre, les protocoles de rappel devraient être obligatoires pour les virements.

5. supervision au niveau du conseil d'administration

La cybersécurité a besoin du soutien du sommet : 72 % des fournisseurs de services informatiques augmentent leur budget de sécurité en 2025. Le soutien explicite du top management est en corrélation mesurable avec de meilleurs résultats.

6. audits externes & alignement sur la conformité

Il est indispensable de procéder à des contrôles réguliers et indépendants et de s'aligner sur les normes NIS2/DORA ou nationales.

7) Prévention des ransomwares au lieu du paiement de la rançon

Étant donné que le paiement de rançons reste répandu, les entreprises doivent miser davantage sur la prévention : La réponse aux incidents, les sauvegardes, les cyber-assurances et les plans de récupération segmentés sont essentiels.

‍

Conclusion

Selon les études sur la sécurité informatique, le phishing reste la porte d'entrée numéro 1 des cyberattaques. La menace des campagnes hyper-ciblées et basées sur l'IA contre les cadres dirigeants continue d'augmenter, tout comme les dommages financiers : pertes de plusieurs millions par incident et forte augmentation des coûts des ransomwares.

Avec l'augmentation des budgets, la formation stratégique sensible à l'IA combinée à l'analyse comportementale et au soutien au niveau du conseil d'administration devient plus importante que jamais.

‍