Phishing Q3 2026 : Microsoft visé dans 33 % des usurpations, les outils IA dans le collimateur

Ce qui s'est passé

Check Point Research a publié son rapport semestriel sur le phishing par usurpation de marque pour le troisième trimestre 2026. Les données collectées font état d'une concentration sans précédent autour de Microsoft : la firme de Redmond représente désormais 33 % de l'ensemble des tentatives de phishing utilisant une marque comme leurre, en hausse de dix points par rapport aux 23 % enregistrés au deuxième trimestre. Ce bond trimestriel est le plus important observé pour une seule marque depuis le début du suivi de cet indicateur par Check Point.

Apple grimpe à la deuxième place avec 8 % des tentatives, à égalité avec Google qui occupe le troisième rang. LinkedIn recule de deux positions pour atteindre la quatrième place avec 6 %, et Amazon complète le podium des cinq marques les plus usurpées. Au total, ces cinq marques représentent plus de la moitié de l'ensemble des tentatives de phishing par usurpation de marque recensées sur la période, soulignant la concentration du phénomène sur un nombre restreint de noms à forte notoriété.

La prédominance de Microsoft s'explique par des raisons stratégiques du point de vue des attaquants : compromettre un compte Microsoft, c'est potentiellement accéder à l'ensemble de l'environnement numérique d'une organisation. Les identifiants Microsoft 365 ouvrent la porte aux emails Outlook, aux documents SharePoint, aux fichiers OneDrive, aux réunions Teams, aux applications Entra ID et à l'intégralité des services cloud d'entreprise interconnectés. À l'inverse, usurper une marque comme Apple ou Amazon mène généralement à un compte personnel, dont la valeur intrinsèque pour les attaquants ciblant des entreprises est moindre.

Les vecteurs d'attaque documentés dans le rapport reflètent la sophistication croissante des opérations de phishing. Les campagnes liées à Microsoft utilisent massivement de faux portails de connexion Microsoft 365, des notifications de sécurité Entra ID contrefaites et des alertes de facturation Copilot frauduleuses. Les pages de phishing associées sont hébergées sur des domaines enregistrés quelques jours avant leur utilisation, tirent profit de services de CDN légitimes pour éviter les blocages par réputation et emploient des techniques d'obfuscation JavaScript pour contourner les analyses automatisées.

La nouveauté la plus significative du rapport Q3 2026 est l'apparition pour la première fois de plateformes d'IA générative dans les leurres de marque. Check Point documente deux cas précis : une campagne usurpant Claude, l'assistant IA d'Anthropic, sous la forme d'un email de refus de paiement invitant l'utilisateur à mettre à jour ses informations de facturation via un faux portail. Une seconde campagne usurpe Google Antigravity avec un message diffusé via des forums de développeurs, guidant la victime vers l'installation d'un paquet npm malveillant présenté comme un plugin officiel.

Dans les deux cas, les attaquants exploitent la confiance que les développeurs accordent aux outils de leur workflow quotidien. L'approche est fondamentalement différente du phishing classique : plutôt que de simplement capturer des identifiants sur une fausse page de connexion, ces campagnes cherchent à faire exécuter du code par la victime elle-même — dans son terminal, avec ses propres droits système. Le rapport nomme cette technique « living-off-the-trust » : l'attaquant n'a pas besoin d'exploit technique si la victime exécute volontairement la charge utile.

Cette tendance est cohérente avec l'évolution plus large du paysage des menaces. Les équipes de Check Point Research observent depuis plusieurs trimestres une substitution progressive : les attaquants délaissent les exploits de vulnérabilités complexes à maintenir au profit de techniques d'ingénierie sociale ciblant des utilisateurs à hauts privilèges — développeurs, administrateurs systèmes, équipes SecOps. Ces profils ont accès à des environnements cloud, à des secrets d'API et à des pipelines CI/CD, et sont statistiquement plus susceptibles d'interagir avec des contenus techniques sans déclencher de méfiance.

Le rapport pointe également une sophistication géographique croissante des campagnes : les emails de phishing sont désormais localisés en temps quasi réel, adaptant langue, fuseau horaire des en-têtes et noms d'expéditeurs aux registres locaux des destinataires. Les attaquants utilisent des LLMs pour générer des contenus d'email grammaticalement corrects dans des dizaines de langues, y compris le français, réduisant considérablement l'un des signaux d'alerte traditionnels du phishing — les fautes de langue.

Pourquoi c'est important

La hausse de 10 points de Microsoft en un seul trimestre mérite d'être replacée dans son contexte sectoriel. Elle coïncide avec le déploiement massif de Microsoft Copilot dans les environnements d'entreprise tout au long de 2026 : les utilisateurs ont été conditionnés à recevoir et cliquer sur des notifications Copilot, créant un pavlovisme favorable aux leurres reprenant cette identité visuelle. L'adoption accélérée d'Entra ID comme fournisseur d'identité universel a créé une cible concentrée : qui contrôle un compte Entra ID contrôle l'ensemble du plan d'accès d'une organisation.

L'entrée des outils d'IA dans le paysage du phishing représente un signal faible à surveiller attentivement. Ces plateformes gagnent des parts d'usage exponentielles chez les profils techniques, exactement ceux que les attaquants cherchent à compromettre pour accéder aux ressources critiques — clés API, secrets d'infrastructure, accès aux LLMs eux-mêmes. Plusieurs incidents documentés en 2026 impliquent des développeurs dont les environnements ont été compromis via des packages npm ou PyPI malveillants, permettant aux attaquants d'exfiltrer des clés API OpenAI, Anthropic ou AWS directement depuis les fichiers de configuration locaux.

Sur le plan des défenses, le rapport de Check Point illustre les limites des approches basées sur la détection de liens malveillants. Lorsque l'attaque consiste à faire exécuter une commande légitime dans un terminal légitime, les outils de filtrage d'URLs ou d'analyse de pièces jointes sont inopérants. La réponse adaptée combine sensibilisation ciblée aux nouvelles formes de leurres, monitoring des accès console et terminal, et politique de moindre privilège sur les postes des développeurs — notamment l'interdiction d'exécuter des commandes avec élévation de privilèges depuis des terminaux non contrôlés.

Pour les RSSI, ce rapport confirme que la surface d'attaque liée à l'identité reste le vecteur d'entrée prioritaire. Investir dans des solutions de détection des anomalies de connexion, activer le Conditional Access Microsoft Entra avec MFA résistant au phishing (passkeys ou certificats matériels), et mettre en place des alertes sur les tokens de session volés reste la priorité absolue face à ce type de menace.

Ce qu'il faut retenir

• Microsoft concentre 33 % du phishing par usurpation de marque au T3 2026 (+10 pts par rapport au T2) — les leurres Copilot et Entra ID sont particulièrement actifs.
• Les plateformes d'IA générative (Claude, Antigravity) font leur entrée dans les campagnes de phishing ciblant les développeurs via de faux emails de facturation et des packages malveillants.
• Les attaquants ciblent désormais l'exécution de commandes par la victime elle-même, contournant les filtres antiphishing classiques — la sensibilisation des équipes techniques est indispensable.