Huit emails de phishing sur dix contiennent désormais du contenu généré par IA, selon le rapport 2026 Kaseya INKY sur la sécurité des emails, qui chiffre cette proportion à 83% et décrit le phishing comme étant passé d'une simple nuisance massive à un instrument de fraude de précision. Le rapport, publié par Kaseya le 17 mars 2026, repose sur l'analyse de plus de 4,5 milliards d'emails traités via la plateforme INKY au cours de 2025 et constitue l'une des analyses les plus détaillées à ce jour sur la façon dont l'IA générative a redéfini le paysage des menaces pour les entreprises de toutes tailles.
Pour les responsables du marketing par email et les propriétaires d'entreprises qui dépendent de la délivrabilité et de la réputation d'expéditeur, ce n'est pas un problème de sécurité lointain. Lorsque les attaquants usurpent l'identité des marques et des plateformes que vous utilisez pour atteindre vos clients, et le font suffisamment convaincamment pour tromper les destinataires, les dégâts collatéraux affectent directement votre délivrabilité, la confiance accordée à votre domaine et la volonté de votre audience d'interagir.
Les chiffres derrière ce changement
Kaseya pointe des recherches sectorielles montrant que 83% des emails de phishing utilisent une forme quelconque de contenu généré par IA, 40% des attaques BEC (usurpation d'identité d'entreprise) impliquant l'IA générative. Peut-être plus révélateur encore: les emails de phishing générés par IA affichent un taux de clics de 54%, comparé à seulement 12% pour les messages malveillants standards.
Le rapport souligne également que tandis que les pertes liées aux rançongiciels ont chuté de 79%, le coût financier du phishing a augmenté de 275%, passant de 18,7 milliards à 70 milliards de dollars annuels, le phishing représentant désormais 26% de tous les plaintes de cybercriminalité déposées auprès du FBI.
Sur les 4,5 milliards d'emails traités par INKY en 2025, 281 marques uniques ont été usurpées, les mises en page générées par IA permettant aux attaquants de reproduire plus fidèlement le langage visuel des principales institutions financières et marques de vente au détail.
Cette envergure importe pour quiconque gère un programme email. Si votre marque fait partie de celles usurpées, vos abonnés reçoivent peut-être des contrefaçons convaincantes qui sapent la confiance que vous avez construite pendant des années.
Pourquoi les signaux d'alerte traditionnels ne fonctionnent plus
Dave Baggett, SVP de Security Suite chez Kaseya, l'a exprimé clairement: « Au cours de l'année écoulée, le phishing généré par IA est devenu la norme. Les attaquants peuvent désormais produire des messages hautement convaincants à grande échelle, ce qui signifie que les signaux traditionnels sur lesquels les outils de sécurité se sont appuyés pendant des années (fautes de grammaire, domaines suspects, liens évidents) disparaissent. Les défenseurs doivent maintenant évaluer l'intention et le contexte, pas seulement les indicateurs. »
Les grands modèles de langage ont réduit le temps nécessaire pour concevoir une campagne de phishing convaincante de 16 heures à environ cinq minutes. La recherche IBM X-Force rend ce gain d'efficacité encore plus frappant, démontrant que l'IA peut générer des emails de phishing hautement convaincants en cinq minutes comparé aux seize heures habituellement requises par des opérateurs humains expérimentés, soit une amélioration de 192 fois.
Le résultat pratique: le vieux conseil « cherchez simplement les fautes de frappe » est obsolète. Les attaquants s'appuient de plus en plus sur les plateformes et l'infrastructure de confiance, rendant les signaux de détection traditionnels moins fiables.
L'infrastructure de confiance est désormais la surface d'attaque
Le constat le plus marquant du rapport Kaseya concerne l'origine des attaques. Les cinq principales plateformes légitimes utilisées pour envoyer des emails de phishing incluent DocuSign, PayPal, Microsoft, Google Drive et Salesforce. Les attaquants n'enregistrent plus de domaines manifestement suspects. Ils acheminent les messages malveillants via la même infrastructure SaaS que les entreprises utilisent quotidiennement.
Le rapport a également révélé que le phishing sans charge utile devient de plus en plus courant, les emails d'usurpation de marque abandonnant entièrement les liens malveillants et les pièces jointes. À la place, les attaquants utilisent des numéros de téléphone, incitent les destinataires à répondre ou incluent des codes QR. « Ces techniques réduisent les indicateurs détectables tout en augmentant la dépendance à la prise de décision par l'utilisateur », note le rapport.
Le phishing par code QR, connu sous le nom de quishing, a augmenté de 400% entre 2023 et 2025 selon Abnormal Security.
Pour les responsables marketing, cela crée un problème opérationnel direct. Si vos emails transactionnels, factures ou flux d'intégration proviennent de DocuSign ou de Google Drive, les destinataires sont conduits à se méfier des mêmes outils sur lesquels vous comptez.
La course aux armements de l'IA dans la défense des emails
Le rapport Kaseya note que l'IA n'aide pas seulement les attaquants. La plateforme INKY de Kaseya a étendu ses modèles de détection pilotés par GenAI, l'étiquetage basé sur l'intention, la classification multi-labels et la compréhension contextuelle basée sur la vision par ordinateur tout au long de 2025 pour contrer ces menaces.
Le rapport prédit que « la phase suivante de la sécurité des emails ne sera pas définie par le filtrage seul, mais par des systèmes d'IA capables d'analyser les messages de façon holistique et de s'adapter continuellement à mesure que les tactiques évoluent. »
Cette prédiction a des implications directes pour les responsables de programmes email. Les protocoles d'authentification comme DMARC, DKIM et SPF restent essentiels, mais ils traitent l'usurpation au niveau du domaine plutôt que la sophistication au niveau du contenu maintenant en jeu. Les filtres statiques comme les listes de blocage et les correspondances de motifs simples sont moins efficaces; les défenseurs ont besoin de détection basée sur le comportement axée sur les anomalies de connexion et les demandes inhabituelles.
Ce que cela signifie pour votre programme email
Le chevauchement entre le marketing par email et la sécurité des emails n'est plus théorique. Lorsque les attaques de phishing usurpent votre marque, la réputation de votre domaine en souffre. Lorsque les destinataires sont trompés par des plateformes que vous utilisez aussi, leurs clients email deviennent plus agressifs avec le filtrage. Lorsque les attaques BEC ciblent votre équipe, la communication interne s'effondre.
Ces menaces ciblent de manière disproportionnée les petites et moyennes entreprises, 82% des attaques par rançongiciel visant les organisations de ce segment. Les équipes de croissance et les départements marketing des PME assument souvent des responsabilités email sans support de sécurité dédié, ce qui fait de la sensibilisation la première ligne de défense.
Le point de départ pratique est le même pour la sécurité et la délivrabilité: sécurisez vos domaines d'envoi avec l'application stricte de DMARC, auditez les plateformes SaaS qui envoient des emails en votre nom, et traitez toute demande de réponse inhabituelle ou code QR dans un email comme hautement risqué, quel que soit le polissage du message.
