Un message privé sur Instagram vous propose un remboursement. Un faux profil LinkedIn vous invite à scanner un QR code. Une alerte de sécurité sur X vous demande vos identifiants. Les attaques par phishing sur les réseaux sociaux se multiplient et se sophistiquent, bien au-delà du traditionnel e-mail frauduleux. L’Anti-Phishing Working Group (APWG) a recensé plus de 4,8 millions d’attaques de phishing en 2024, un record historique en hausse de 20 % par rapport à 2023.
Phishing sur les réseaux sociaux : pourquoi la défense reste bloquée sur l’e-mail
La plupart des entreprises et des particuliers associent encore le phishing à un e-mail douteux avec un lien suspect. Les filtres anti-spam, les passerelles de messagerie sécurisées, les formations internes : tout est calibré pour ce canal. Les réseaux sociaux, eux, restent un angle mort.
A voir aussi : Les ransomwares ciblent de plus en plus les petites entreprises françaises
Sur LinkedIn, Instagram, TikTok ou X, les attaquants créent de faux profils de marques connues. Ils publient des posts promettant des offres spéciales, des remboursements ou des concours. Le lien malveillant arrive dans un contexte où l’utilisateur ne s’attend pas à une tentative de phishing.
Les outils de sécurité classiques ne couvrent pas ces canaux. Un filtre anti-phishing sur la messagerie professionnelle ne détecte pas un QR code posté dans un commentaire LinkedIn. Une formation qui montre uniquement des exemples d’emails frauduleux ne prépare pas à reconnaître une fausse alerte de connexion sur X.
A lire également : Les formations en cybersécurité gagnent du terrain chez les cadres informatiques
Vous avez déjà reçu une notification de sécurité d’un réseau social vous demandant de « vérifier votre compte » ? C’est exactement ce type de scénario que les attaquants exploitent, en adaptant leur message au fonctionnement de chaque plateforme.
Quishing et attaques multicanales : les nouvelles techniques de phishing en 2024
Le quishing (contraction de QR code et phishing) illustre bien cette diversification. Un QR code malveillant est diffusé via un post, une story ou un message privé sur un réseau social. L’utilisateur le scanne avec son téléphone, ouvre un navigateur intégré à l’application, et atterrit sur une page de vol d’identifiants.
Le quishing a augmenté de 400 % entre 2023 et 2025 selon les données compilées par plusieurs organismes de veille. Ce chiffre traduit un changement de méthode : les attaquants contournent les filtres textuels en intégrant le lien frauduleux dans une image (le QR code), invisible pour les systèmes de détection classiques.
Des attaques qui combinent plusieurs canaux
Les campagnes de phishing ne se limitent plus à un seul point de contact. Une séquence d’attaque typique peut commencer par un message sur un réseau social, se poursuivre par un échange sur une messagerie instantanée (WhatsApp, Telegram), puis rediriger vers un formulaire imitant un service connu.
Cette approche multicanale rend la détection plus difficile parce que chaque étape, prise isolément, peut sembler anodine. Un message LinkedIn d’un recruteur, suivi d’un lien vers un « formulaire de candidature » hébergé sur un domaine légitime en apparence : la victime n’a jamais l’impression de quitter un environnement de confiance.
Usurpation de marque sur LinkedIn et fausses alertes sur X : des scénarios adaptés par plateforme
Les attaquants ne recyclent pas le même message partout. Ils conçoivent des scénarios spécifiques à chaque réseau social, en exploitant ses codes et ses usages.
Sur LinkedIn, l’usurpation de marque cible les professionnels. De faux comptes d’entreprises connues publient des offres d’emploi ou des invitations à des événements. Le lien mène à une page de connexion imitant LinkedIn, qui capture les identifiants. Les plateformes professionnelles sont devenues un point d’entrée privilégié pour ce type d’attaque.
Sur X (ex-Twitter), des campagnes de phishing utilisent de fausses alertes de sécurité. L’utilisateur reçoit un message lui indiquant une « connexion suspecte » sur son compte. Le lien l’amène sur une page factice où il saisit son mot de passe, parfois même son code d’authentification à deux facteurs.
Voici les signaux concrets à vérifier avant de cliquer sur un lien reçu via un réseau social :
- Le profil qui vous contacte a été créé récemment, avec peu de connexions ou d’abonnés, et un historique de publications quasi vide
- Le message crée un sentiment d’urgence (« votre compte sera suspendu », « offre valable 24 h ») pour court-circuiter votre réflexion
- L’URL du lien ne correspond pas exactement au domaine officiel du service (une lettre modifiée, un sous-domaine inhabituel)
- On vous demande de scanner un QR code pour accéder à un contenu ou confirmer une action, ce qui est rarement une pratique légitime sur les réseaux sociaux
Phishing assisté par IA : des messages sans fautes et des deepfakes convaincants
L’intelligence artificielle générative a supprimé l’un des derniers indices fiables du phishing : les fautes d’orthographe et de grammaire. Le phishing assisté par IA produit des messages parfaitement rédigés, adaptés au ton de chaque plateforme et personnalisés grâce aux informations publiques du profil ciblé.
Un message de phishing sur LinkedIn peut désormais mentionner votre poste actuel, votre entreprise et un événement récent de votre secteur. Cette personnalisation augmente considérablement le taux de clic, parce que le message ressemble à une vraie prise de contact professionnelle.
Se protéger au-delà de la vigilance individuelle
La défense ne peut plus reposer uniquement sur la capacité des utilisateurs à repérer un message suspect. Les recommandations récentes incluent des mesures techniques :
- Le blocage, via les solutions de gestion d’appareils mobiles (MDM), des navigateurs intégrés aux applications sociales sur les smartphones professionnels
- La vérification systématique du profil, de l’historique de publication et des liens avant tout scan de QR code ou clic
- La combinaison de plusieurs bases de threat intelligence pour détecter les nouvelles formes de phishing qui échappent aux listes noires traditionnelles
Les entreprises qui limitent leur stratégie anti-phishing à la messagerie électronique laissent ouverte la porte par laquelle passent désormais les attaques les plus efficaces. Les réseaux sociaux ne sont plus un canal secondaire pour les attaquants. En 2024, ils sont devenus un vecteur de phishing à part entière, avec des techniques spécifiques que les défenses par e-mail ne détectent pas. Adapter les formations, les outils et les politiques de sécurité à cette réalité multicanale n’est plus optionnel.
