Types de phishing : smishing, vishing, quishing, spear phishing

Début 2024, un employé du bureau de Hong Kong d’Arup rejoint une visioconférence avec son directeur financier et plusieurs collègues. Il les voit, les entend, et valide 15 virements pour environ 25,6 millions de dollars. Tous les autres participants étaient des deepfakes (The Guardian, mai 2024).

Le phishing ne se résume plus à un email truffé de fautes. Il passe par des SMS qui imitent Chronopost ou l’Assurance Maladie, des appels avec une voix clonée, des QR codes glissés dans des PDF, des messages envoyés depuis le compte piraté d’un collègue et des pages de connexion qui relaient le MFA. En France, l’hameçonnage reste en 2025 la première menace traitée par Cybermalveillance.gouv.fr, tous publics confondus, en hausse de 70 % (rapport d’activité 2025). Côté entreprises et associations, le piratage de compte (21 % des demandes d’assistance) et l’hameçonnage (16 %) arrivent en tête, devant la fraude au virement (13,5 %, en hausse de 93 %) (bilan professionnels 2025).

Cette page passe en revue les types de phishing qui visent les entreprises : pour chacun, une définition, les signes qui le trahissent et le premier réflexe à avoir. Les signaux communs à tous les emails frauduleux sont détaillés dans notre guide pour reconnaître un email de phishing.

Les types de phishing en un tableau

Type	Canal	Leurre typique	Premier réflexe
Phishing de masse	Email	Colis bloqué, facture, compte Microsoft suspendu	Vérifier l’adresse de l’expéditeur et le domaine du lien
Spear phishing	Email	Message personnalisé citant un projet, un collègue ou un fournisseur réel	Confirmer la demande par un autre canal
Fraude au président	Email, téléphone	Virement urgent et confidentiel demandé par un dirigeant	Rappeler au numéro connu, double validation
Phishing latéral	Email interne, Teams	Document partagé par un collègue dont le compte est piraté	Vérifier auprès du collègue, de vive voix
Smishing	SMS	Frais de livraison, carte Vitale, amende, alerte bancaire	Ne pas cliquer, passer par l’application officielle
Vishing	Téléphone	Faux conseiller bancaire, faux support, voix du dirigeant	Raccrocher et rappeler
Quishing	QR code dans un email, un PDF ou une affiche	Réactiver le MFA, régler une facture ou un stationnement	Ne pas scanner, ouvrir le site soi-même
MFA fatigue et AiTM	Notifications, page relais	Rafale de demandes MFA, fausse page Microsoft qui relaie la vraie	Refuser, signaler, changer le mot de passe
Browser-in-the-Browser	Fausse fenêtre web	Pop-up « Se connecter avec Microsoft »	Essayer de déplacer la fenêtre hors du navigateur

Le socle commun : l’ingénierie sociale

L’ingénierie sociale désigne l’ensemble des techniques de manipulation qui poussent une personne à donner une information, cliquer sur un lien ou exécuter une action contre son intérêt. Le phishing en est la forme la plus courante, mais elle passe par tous les canaux : email, téléphone, SMS, réseaux sociaux, et même l’accès physique (suivre un salarié derrière une porte badgée, abandonner une clé USB « Salaires 2026 » sur le parking).

Les ressorts sont toujours les mêmes : l’autorité (une demande du PDG ou d’une administration), l’urgence, la réciprocité (« je vous ai aidé, rendez-moi service »), la preuve sociale (« vos collègues l’ont déjà fait »), la rareté et la sympathie. Ils agissent sur tout le monde, parce qu’ils exploitent les raccourcis que le cerveau utilise pour décider vite. Notre article sur la psychologie du phishing détaille ces biais.

Le pretexting

Le pretexting est la variante la plus construite : l’attaquant invente un scénario crédible, le prétexte, et l’identité qui va avec, pour justifier une demande qui paraîtrait suspecte sans contexte. Il se déroule en quatre temps. Recherche d’abord (LinkedIn, site de l’entreprise, registres publics), puis fabrication du personnage (technicien du vrai prestataire, fournisseur habituel, auditeur), mise en confiance sur plusieurs échanges, enfin la demande, qui arrive naturellement : un identifiant « pour résoudre l’incident », un virement « pour finaliser le dossier ».

Trois prétextes reviennent sans cesse en PME : le faux support informatique qui demande d’installer un outil de prise en main à distance, le faux fournisseur qui annonce un changement de RIB, le faux auditeur qui réclame la liste des comptes administrateurs. Le signal d’alerte est constant : une demande inhabituelle, un interlocuteur impossible à vérifier sur le moment, et une pression pour contourner la procédure.

Le phishing par email, du plus large au plus ciblé

Le phishing de masse

Le même message part vers des milliers d’adresses : colis en attente, facture impayée, mot de passe Microsoft expiré, remboursement des impôts. Le taux de réussite par message est faible, le volume compense. Les filtres en arrêtent une grande partie ; ceux qui passent jouent sur l’urgence et sur des marques connues, comme le montrent nos exemples de faux emails des impôts.

Le spear phishing

Le spear phishing vise une personne ou un petit groupe avec un message construit à partir d’informations réelles : le nom du responsable, un projet en cours, un fournisseur avec lequel l’entreprise travaille. Exemples typiques : le « PDG » en déplacement (repéré sur LinkedIn) qui demande un virement urgent au DAF en précisant de ne pas l’appeler, le « fournisseur » qui cite la bonne facture et donne un nouveau RIB, le « candidat » qui envoie au service RH un CV piégé.

Il passe les filtres parce qu’il ne ressemble à aucun spam connu : un seul envoi, un lien tout neuf, parfois un vrai compte compromis dont SPF, DKIM et DMARC sont valides. Le whaling en est la version qui cible les dirigeants eux-mêmes, avec des prétextes à leur mesure : assignation, demande d’un régulateur, message d’un pair.

L’IA a rendu ce travail de recherche et de rédaction presque gratuit : notre article sur le phishing IA et les deepfakes montre ce qui a changé depuis 2024.

La fraude au président

C’est le spear phishing qui coûte le plus cher : un dirigeant usurpé, un contexte crédible (acquisition, contrôle fiscal, litige), une urgence et une consigne de confidentialité qui coupe la victime de ses circuits de vérification. En 2018, le groupe Pathé a ainsi perdu 19,2 millions d’euros, viré par sa filiale néerlandaise pour une prétendue acquisition confidentielle (Le Monde, novembre 2018). Nos articles sur la fraude au président et l’arnaque au changement de RIB détaillent ces scénarios, et la procédure anti-fraude au virement les parades.

Le phishing latéral : l’attaque qui vient de l’intérieur

Le phishing latéral part d’un compte email interne piraté. L’attaquant prend d’abord le contrôle d’une boîte (identifiants volés par un phishing externe, mot de passe réutilisé après une fuite, compte sans MFA), l’explore en silence, puis écrit aux collègues depuis cette vraie adresse : un « budget révisé » à consulter, un document partagé, ou une réponse insérée dans une conversation en cours, la variante la plus difficile à repérer.

Il échappe aux défenses habituelles. SPF, DKIM et DMARC sont valides, puisque le message vient du vrai serveur de l’entreprise. Les passerelles de sécurité surveillent surtout le trafic entrant, et un email entre deux boîtes du même tenant Microsoft 365 ne les traverse souvent pas. Le destinataire, enfin, fait confiance à un collègue qu’il connaît.

Les signes côté administrateur : une connexion depuis un lieu inhabituel suivie d’un envoi massif, une règle de transfert créée vers une adresse externe, des liens inhabituels dans les messages d’un compte. Côté salariés, la consigne change : un lien inattendu venant d’un collègue se vérifie auprès de lui, par téléphone ou de vive voix. La même mécanique passe par Teams et SharePoint, comme nous l’expliquons dans notre article sur le phishing via Teams et SharePoint.

Le smishing : le phishing par SMS

Le smishing (SMS et phishing) imite par SMS une source de confiance (Ameli, impôts, ANTAI, La Poste, Chronopost, votre banque) avec un lien vers un faux site conçu pour mobile. Le SMS bénéficie d’une confiance que l’email a perdue : il est court, arrive sur l’écran de verrouillage, et l’adresse complète du lien est rarement visible sur un petit écran.

Les leurres les plus courants en France :

frais de relivraison de colis de quelques euros, pour capter un numéro de carte ;
nouvelle carte Vitale ou message de l’Assurance Maladie ;
remboursement des impôts ou amende ANTAI « à régler avant majoration » ;
fausse alerte de fraude bancaire, suivie d’un appel du « service fraude » ;
droits CPF « qui expirent », alors qu’ils n’expirent pas.

En entreprise, le smishing vise aussi les codes MFA : un SMS « du support informatique » annonce une maintenance et demande de transmettre le code qui va arriver. Ce code, déclenché par l’attaquant qui se connecte avec un mot de passe volé, lui ouvre le compte. Les variantes recensées par Cybermalveillance.gouv.fr vont du lien vers un faux site à l’installation d’une application malveillante, en passant par le numéro surtaxé à rappeler.

Le réflexe : aucun organisme officiel français ne demande un paiement ou des données bancaires par SMS. On ne clique pas, on passe par l’application officielle ou par l’adresse tapée soi-même, et on transfère le SMS au 33700, gratuitement.

Le vishing : le phishing par téléphone

Le vishing (voix et phishing) se joue au téléphone : l’attaquant se présente comme la banque, le support informatique, un fournisseur ou un dirigeant pour obtenir des informations, un code ou un virement. Le téléphone lui donne un avantage que l’email n’a pas : la pression en temps réel, sans possibilité de relire.

Les scénarios classiques :

le faux conseiller bancaire qui demande de « confirmer votre identité » avec un code reçu par SMS, en réalité le code de validation d’un virement qu’il vient d’initier ;
le faux support Microsoft qui fait installer un logiciel de prise en main à distance ;
le faux fournisseur qui confirme de vive voix un changement de RIB ;
le faux dirigeant, qui appelle juste après un email pour le rendre crédible.

Deux techniques rendent ces appels plus convaincants. L’usurpation du numéro affiché d’abord : depuis octobre 2024, les opérateurs français doivent bloquer une partie des appels dont le numéro est usurpé (mécanisme d’authentification des numéros encadré par l’Arcep), mais la protection reste partielle. Le clonage de voix ensuite : dans un test publié par McAfee en 2023, trois secondes d’audio ont suffi à produire un clone ressemblant à 85 % à la voix d’origine. Une interview ou une vidéo LinkedIn du dirigeant suffit donc à l’attaquant.

Les personnes les plus exposées sont la comptabilité et le DAF (virements), les assistants de direction (accès aux agendas et aux contacts), le support informatique (réinitialisation de mots de passe), les RH et l’accueil, qui donnent sans le savoir l’organigramme et les noms des responsables. Le réflexe ne dépend pas de la qualité de l’imitation : on raccroche et on rappelle la personne au numéro connu. Pour les équipes sensibles, un mot de code convenu en face à face complète le dispositif.

Le quishing : le phishing par QR code

Le quishing remplace le lien par un QR code, glissé dans le corps d’un email, dans une pièce jointe PDF ou collé sur une affiche ou un horodateur. Il contourne deux protections à la fois : le filtre de messagerie voit une image plutôt qu’une adresse web, et le scan se fait sur le téléphone, souvent personnel et sans les protections du poste de travail. Les leurres visent surtout les identifiants : « réactivez votre authentification à deux facteurs », « consultez votre facture », « réglez votre stationnement ».

La règle tient en une ligne : on ne scanne pas un QR code reçu par email, on ouvre le site concerné soi-même. Notre article sur le quishing détaille les campagnes observées et les mesures techniques.

Les attaques qui contournent le MFA

L’authentification multifacteur bloque la plupart des connexions avec un mot de passe volé. Deux familles d’attaques la contournent.

La MFA fatigue consiste à bombarder l’utilisateur de demandes d’approbation jusqu’à ce qu’il en accepte une, par lassitude ou par erreur. En septembre 2022, un attaquant lié au groupe Lapsus$ a ainsi obtenu l’accès au réseau d’Uber : après une rafale de notifications, il a contacté le sous-traitant visé sur WhatsApp en se faisant passer pour le support informatique, et celui-ci a fini par approuver.

L’attaque AiTM (adversary-in-the-middle) place un proxy entre la victime et la vraie page de connexion Microsoft ou Google. La victime saisit son mot de passe et valide son MFA normalement ; le proxy capture au passage le cookie de session, qui ouvre ensuite le compte sans nouvelle authentification. Notre autopsie du kit BigBear montre une campagne réelle, et notre guide pour protéger Microsoft 365 contre les attaques AiTM donne les réglages.

Le premier réflexe des salariés : une demande MFA qu’on n’a pas déclenchée se refuse et se signale, car elle prouve que quelqu’un connaît le mot de passe. Côté administration : correspondance de nombres, limite de tentatives, et méthodes résistantes au phishing (clés FIDO2, passkeys) pour les comptes sensibles, comme le décrit notre guide pour déployer le MFA en entreprise.

Le Browser-in-the-Browser : la fausse fenêtre de connexion

Décrite par le chercheur mr.d0x en 2022, la technique Browser-in-the-Browser (BitB) dessine, en HTML et en CSS, une fausse fenêtre de navigateur à l’intérieur de la page : pop-up « Se connecter avec Microsoft » ou « avec Google », barre d’adresse affichant la bonne URL, cadenas compris. Tout est une image ou un élément de la page. La victime croit s’identifier sur le site officiel et livre ses identifiants. La technique figure désormais dans des kits de phishing vendus clés en main.

Trois vérifications démasquent la fausse fenêtre : elle ne peut pas sortir du navigateur quand on la déplace, le gestionnaire de mots de passe ne propose pas de remplir les champs (le vrai domaine ne correspond pas), et la barre d’adresse ne réagit pas au clic. Les passkeys et les clés FIDO2, liées au vrai domaine, rendent l’attaque inopérante.

Protéger l’entreprise contre toutes ces formes

Les défenses techniques restent utiles, mais chacune laisse passer une forme : le filtre ne lit pas le QR code, la passerelle ne voit pas le phishing latéral, le téléphone échappe à tout le périmètre numérique. Ce qui couvre toutes les formes, ce sont des réflexes et des procédures.

Des procédures qui résistent à l’imitation. Tout changement de RIB se vérifie par un appel au numéro habituel du fournisseur, tout virement au-dessus d’un seuil est validé par deux personnes, toute demande d’accès reçue par téléphone passe par un second canal.
Une authentification résistante au phishing pour les comptes sensibles, qui neutralise l’AiTM, la MFA fatigue et le BitB.
Un canal de signalement simple, pour tous les canaux. Le premier salarié qui signale protège ceux qui ont reçu le même message. Avec nophi.sh, un email douteux transféré reçoit un verdict motivé, en général en une à deux minutes, et vos contacts sécurité sont alertés.
Un entraînement régulier. Les simulations de phishing de nophi.sh passent par l’email (80 scénarios en français et en anglais, ou vos propres modèles) et assignent une formation courte après un clic ; elles ne simulent ni les SMS, ni les appels, ni les QR codes. Pour ces canaux, des exemples commentés en réunion et un exercice sur table font l’affaire. Selon KnowBe4 (Phishing by Industry Benchmarking Report 2025), le taux de clic moyen passe de 33,1 % à 4,1 % après 12 mois de simulations et de formation.

Si quelqu’un a déjà cliqué, saisi un mot de passe ou validé une demande, suivez notre procédure que faire en cas de phishing : les quinze premières minutes comptent.

Questions fréquentes

Quels sont les différents types de phishing ?

Les principaux types de phishing qui visent les entreprises sont le phishing de masse par email, le spear phishing (ciblé et personnalisé), la fraude au président, le phishing latéral (envoyé depuis un compte interne piraté), le smishing (par SMS), le vishing (par téléphone, parfois avec une voix clonée), le quishing (par QR code), les attaques qui contournent le MFA (MFA fatigue, AiTM) et le Browser-in-the-Browser (fausse fenêtre de connexion). Tous reposent sur l’ingénierie sociale.

Quelle est la différence entre phishing et spear phishing ?

Le phishing de masse envoie le même message générique à des milliers de personnes. Le spear phishing vise une personne ou un petit groupe avec un message construit à partir d’informations réelles : nom, poste, projet en cours, nom du responsable ou d’un fournisseur. Il passe plus facilement les filtres et la méfiance, parce qu’il ne ressemble à aucun spam connu.

Qu’est-ce que le quishing et pourquoi est-ce dangereux ?

Le quishing est un phishing par QR code. Le code, glissé dans un email, un PDF ou collé sur une affiche, mène vers une fausse page de connexion ou de paiement. Il est dangereux parce qu’un filtre de messagerie voit une image plutôt qu’un lien, et parce que le scan se fait sur le téléphone, souvent moins protégé que le poste de travail.

Comment fonctionne le vishing par deepfake vocal ?

L’attaquant clone la voix d’un dirigeant ou d’un collègue à partir de quelques secondes d’enregistrement public, puis l’utilise au téléphone ou en visioconférence pour appuyer une demande urgente, souvent un virement. Dans un test publié par McAfee en 2023, trois secondes d’audio ont suffi à produire un clone ressemblant à 85 % à la voix d’origine. La parade est procédurale : raccrocher et rappeler la personne au numéro connu.

Comment se protéger du smishing en France ?

Ne cliquez pas sur un lien reçu par SMS inattendu, même s’il semble venir d’Ameli, des impôts, de l’ANTAI ou d’un transporteur : ouvrez l’application officielle ou tapez l’adresse du site vous-même. Signalez le message en le transférant gratuitement au 33700, puis supprimez-le. En entreprise, prévenez aussi l’équipe informatique : le même SMS vise souvent plusieurs collègues.

Qu’est-ce qu’une attaque Browser-in-the-Browser ?

C’est une fausse fenêtre de connexion dessinée à l’intérieur d’une page web, qui imite un pop-up « Se connecter avec Microsoft » ou « avec Google », barre d’adresse comprise. Pour la démasquer, essayez de la déplacer hors du navigateur (elle reste coincée dans la page), vérifiez que votre gestionnaire de mots de passe propose de remplir les champs, et cliquez dans la barre d’adresse : sur une fausse fenêtre, elle ne réagit pas.

Le MFA suffit-il à protéger contre le phishing ?

Il réduit fortement le risque sans l’éliminer. La MFA fatigue (rafale de notifications jusqu’à ce que l’utilisateur en accepte une) et les attaques AiTM (vol du cookie de session par un proxy) contournent les méthodes classiques par SMS, notification push ou code. Les clés FIDO2 et les passkeys résistent au phishing ; à défaut, activez la correspondance de nombres et limitez les tentatives.