Votre patron ne vous a pas écrit. Une IA entraînée sur ses trois derniers messages l'a fait.

Le signe distinctif d'un faux email du patron était autrefois la mauvaise grammaire et une formule de politesse étrange. Ce signe a disparu. Les outils génératifs digèrent maintenant un fil d'emails gratté et imitent la cadence exacte, la ponctuation et la signature d'un collègue, ce qui explique pourquoi la compromission d'email professionnel vide toujours les entreprises — le Centre de plaintes relatives aux crimes sur Internet du FBI a enregistré 2,9 milliards de dollars de pertes signalées en usurpation d'identité professionnelle en 2023 seul. La seule défense fiable qui reste est de déplacer la conversation sur un canal différent avant d'agir.

Pourquoi ne puis-je pas faire confiance à un email qui sonne exactement comme mon patron ?

Parce que « ça sonne comme lui » est maintenant la partie la plus facile à contrefaire. L'usurpation d'identité professionnelle s'appuyait autrefois sur une adresse piratée ou qui y ressemblait, associée à un texte maladroit ; la formulation bizarre était le signe révélateur. Alimentez un grand modèle de langage avec trois véritables réponses de quelqu'un et il correspondra à son rythme — la façon dont ils commencent par « Salut », omettent la ponctuation quand c'est urgent, terminent par juste une initiale. Les attaquants obtiennent ces réponses à partir d'une boîte aux lettres compromise, d'un fil transféré ou d'une chaîne de réponse à tous qui a fui en dehors de l'entreprise.

Le Rapport d'enquête sur les violations de données 2024 de Verizon a trouvé l'élément humain impliqué dans environ 68 % des violations, l'ingénierie sociale et l'usurpation d'identité étant un schéma dominant. Le style n'est plus une preuve. La personne qui écrit comme votre directeur financier pourrait être un modèle entraîné sur quinze minutes de la boîte d'envoi de votre directeur financier.

À quoi ressemble vraiment l'une de ces contrefaçons améliorées ?

Cela ressemble à une demande courte, plausible, légèrement urgente qui s'inscrit dans une véritable conversation en cours. Le coup classique : une réponse glissée dans un fil existant portant sur un paiement à un fournisseur, avec de nouvelles instructions de virement et une ligne comme « la banque a signalé l'ancien compte, utilisez celui-ci ». Pas de fautes de frappe, noms de projets corrects, vrais tics de langage de votre patron.

Le piège technique est que le nom d'affichage peut sembler parfait tandis que le domaine d'envoi s'en écarte d'un caractère — @company-invoices.com au lieu de @company.com — ou que la case Répondre à pointe silencieusement ailleurs. L'authentification aide ici : un message qui échoue à l'alignement SPF, DKIM ou DMARC est suspect peu importe sa crédibilité. Les outils de messagerie IA, y compris la détection des arnaques et des fraudes aux factures intégrée dans l'email IA avec détection d'arnaques, vérifient ces en-têtes automatiquement, car une personne qui parcourt rapidement sur un téléphone ne le fera jamais.

Comment puis-je vraiment vérifier une demande à laquelle je ne peux pas faire confiance simplement en la lisant ?

Changez de canal et confirmez par un autre que vous connaissez déjà, pas celui que l'email vous a donné. Si l'email demande de l'argent ou des identifiants, appelez la personne à un numéro de vos contacts ou de l'annuaire de l'entreprise — jamais le numéro dans la signature. Allez à son bureau. Écrivez-lui un message sur l'outil de chat interne. Toute l'arnaque dépend de vous rester dans l'email, où l'attaquant contrôle les deux côtés.

Faites-en une règle, pas un jugement d'appel. Tout changement de paiement, tout virement, tout nouveau détail bancaire nécessite une confirmation sur un deuxième canal, point final — l'IC3 recommande systématiquement exactement cette vérification verbale pour l'usurpation d'identité professionnelle. Les règles survivent à un mardi après-midi chargé ; les instincts ne le font pas. Et cessez de traiter un style d'écriture convaincant comme la preuve de quoi que ce soit. La seule chose qu'un modèle entraîné sur des réponses grattées ne peut pas contrefaire, c'est votre patron qui décroche le téléphone en disant qu'il n'a jamais envoyé ce message.