Prédictions de sécurité pour 2026 : les techniques d’hameçonnage que les équipes en première ligne doivent anticiper

Anticiper les menaces liées à l’IA et l’évolution des tactiques au cours de l’année à venir

Ce qu’il faut retenir

• Les kits d'hameçonnage évoluent rapidement. Ils sont désormais capables de lancer des millions d'attaques et sont de plus en plus sophistiqués et évasifs.
• Pour 2026, on prévoit que les kits d’hameçonnage de nouvelle génération tireront parti d’outils avancés pour créer des profils sociaux détaillés des cibles, contourner l’authentification multifacteur et exploiter l’IA pour lancer des attaques plus ciblées et personnalisées.
• Le modèle commercial PhaaS devrait évoluer vers des niveaux d'abonnement structurés, allant des kits de base aux campagnes hautement sophistiquées pilotées par l'IA.
• D’ici la fin de 2026, plus de 90 % des attaques de compromission d’identifiants devraient être rendues possibles par des kits d’hameçonnage, ce qui représente plus de 60 % de tous les incidents d’hameçonnage.

En 2025, le paysage de l'hameçonnage était alimenté par les forces combinées de l'IA, de l'évolution des kits d'hameçonnage en tant que service (PhaaS) et de techniques de diffusion et d'évasion de plus en plus sophistiquées. Dans cet article, les analystes des menaces de Barracuda envisagent ce que l'année prochaine pourrait apporter à cette menace persistante et en constante évolution.

Évolution des techniques d’hameçonnage en 2025

Il y a un an, l'équipe a prédit que les kits PhaaS représenteraient la moitié de toutes les attaques par vol d'identifiants d'ici à la fin de 2025, contre environ 30% en 2024. La proportion réelle s'est révélée être légèrement supérieure à la moitié.

Plus important encore, le nombre de kits d’hameçonnage a doublé en 2025. Chaque kit est suffisamment puissant pour lancer des millions d’attaques. Ces kits évoluent constamment, devenant de plus en plus complexes et évasifs au fil du temps. L’équipe a régulièrement publié des rapports sur certains des kits d’hameçonnage les plus répandus tout au long de l’année.

Sur la base de ces développements et d’autres éléments, l’équipe d’analyse des menaces a établi une série de prévisions sur l’évolution possible du paysage au cours des douze prochains mois, afin d’aider les équipes de sécurité à comprendre ce qui les attend et à s’y préparer.  

Ce qui nous attend en 2026

Kits d’hameçonnage 2.0

Les kits d'hameçonnage existants et émergents utiliseront des outils pour créer des profils sociaux détaillés des cibles. Ils déploieront des tactiques automatisées pour contourner les mesures de sécurité telles que l'authentification multifactorielle (MFA) en volant des jetons d'accès ou en relayant l'authentification via le site web légitime pour déjouer les protections. Ils utiliseront davantage l'IA pour développer leurs kits et rendre les attaques plus personnalisées et plus efficaces.

• Le modèle commercial pour les kits PhaaS de nouvelle génération présentera des niveaux d’abonnement structurés, allant des kits d’hameçonnage de base aux campagnes complexes et hautement ciblées personnalisées par IA.
• D'ici la fin de 2026, nous prévoyons que plus de 90 % des attaques de compromission d'identifiants seront attribuées à l'utilisation de kits de hameçonnage, représentant plus de 60 % de toutes les attaques par hameçonnage.

Techniques d'évasion dynamiques et charges utiles personnalisées

Les pirates passeront de tactiques statiques à des approches dynamiques et contextuelles, avec des charges utiles adaptées en fonction de l’appareil, de l’activité de l’utilisateur ou du moment afin d’échapper à la détection automatique.

Les techniques avancées d’évasion et de lutte contre la détection dont le volume devrait augmenter sont les suivantes :

• La dissimulation de codes malveillants dans des fichiers image et audio inoffensifs (stéganographie).
• Les techniques de social engineering « ClickFix », qui incitent un utilisateur à exécuter manuellement une commande malveillante qui a été copiée secrètement dans son presse-papiers.
• Davantage de codes QR fractionnés et imbriqués lors des attaques et introduction de codes QR dynamiques en plusieurs étapes.
• L’utilisation abusive généralisée d’OAuth (Open Authorization), un système largement utilisé pour se connecter à des applications ou à des services sans partager de mot de passe.
• Des techniques très avancées d’évasion d’URL, notamment l’utilisation d’URI Blob éphémères. Les URI Blob sont un type d’adresse web utilisé pour stocker localement des données en mémoire. Ils sont prisés des pirates, car ils ne se chargent pas depuis des serveurs externes et peuvent héberger des pages d’hameçonnage dans le navigateur de la victime, ce qui les rend difficiles à détecter avec des mesures traditionnelles.
• Injection de code dynamique et scripts malicieux entièrement dissimulés.

Campagnes auto-adaptatives basées sur l’IA

• Les pirates utiliseront l’IA générative pour créer des messages individualisés à grande échelle et pour adapter rapidement les campagnes.
• Ces attaques alimentées par l’IA se dérouleront à grande vitesse et présenteront un chiffrement amélioré, des couches d’obscurcissement plus profondes et des charges utiles adaptatives.
• Les pirates devraient également intensifier leurs efforts pour exploiter l’IA elle-même en utilisant des techniques d’injection de commandes et en ciblant les agents d’IA, dans le but de manipuler ou de compromettre les outils de sécurité activés par l’IA.

Vol de codes MFA et tromperie

• Le vol de codes MFA par hameçonnage va s’intensifier. Les cybercriminels exploiteront notamment la fatigue d’approbation push et les attaques par relais.
• Le social engineering ciblera les flux de récupération MFA, tels que les codes de réinitialisation du mot de passe ou d’autres options de récupération de compte.
• Les pirates utiliseront également le social engineering pour des attaques de rétrogradation de la MFA, tentant de contourner une authentification forte résistante à l’hameçonnage en forçant ou en trompant l’utilisateur pour qu’il choisisse une méthode d’authentification alternative plus facile à contourner.

Hausse des attaques exploitant les tests CAPTCHA

• Les campagnes d’hameçonnage avancées utilisent de plus en plus les tests CAPTCHA pour donner aux victimes l’impression qu’elles sont en sécurité et dissimuler les véritables intentions des pirates. L’équipe prévoit qu’à la fin de 2026, plus de 85 % des attaques par hameçonnage utiliseront les tests CAPTCHA pour contourner les outils de sécurité automatisés et garantir que les interactions soient effectuées par un humain.
• Les pirates se détournent également des tests CAPTCHA légitimes et fiables au profit d’alternatives frauduleuses, et nous prévoyons que ce phénomène s’intensifiera en 2026.

Plus de tactiques polymorphes

• Une attaque polymorphe est une attaque qui modifie continuellement son contenu, ses charges utiles, ses modèles de diffusion ou ses empreintes techniques, de sorte que chaque instance semble différente, rendant inefficaces la détection automatisée et les défenses basées sur les signatures.
• Les techniques populaires qui devraient se généraliser — notamment dans les kits d’hameçonnage — consistent à utiliser des chaînes alphanumériques aléatoires dans le corps ou l’objet de l’email, à masquer l’adresse de l’expéditeur ou à employer de longs en-têtes incluant des horodatages ou les noms des destinataires dans l’objet, à utiliser des liens légèrement différents dans chaque email et à varier les noms des pièces jointes.

Exploitation accrue des plateformes légitimes

• En 2025, environ 10 % des attaques par hameçonnage ont exploité des plateformes légitimes, un chiffre comparable à celui de 2024. L’équipe s’attend à ce que cette proportion reste stable en 2026.  
• Les pirates exploiteront de plus en plus les plateformes sans code alimentées par l'IA pour construire et héberger rapidement des sites d'hameçonnage. Ces outils éliminent les barrières techniques, permettant aux acteurs de la menace de lancer des campagnes sophistiquées à grande échelle avec un minimum d'effort.

Ciblage des services de protection et de masquage des URL

• L’exploitation des services de protection des URL et des tactiques de masquage des URL, telles que l’abus des redirections ouvertes, des liens de marketing/suivi et des URL légitimes, est en augmentation, et en 2025, ces tactiques ont été observées dans environ 25 % des attaques par hameçonnage. Nous prévoyons que cette tendance à la hausse se poursuivra.

Menaces plus avancées basées sur des malwares

• Les attaques par malware devraient devenir plus sophistiquées, avec une augmentation des malwares sans fichier, qui se dissimulent dans la mémoire de l’appareil, et des charges utiles polymorphes capables de contourner les défenses traditionnelles basées sur les signatures.
• Le modèle Malware-as-a-Service va évoluer et prospérer.

Outre les nouvelles techniques en évolution détaillées ci-dessus, l’équipe s’attend à ce que les approches traditionnelles et durables, telles que les escroqueries liées aux RH et aux fiches de paie, les scams relatifs aux livraisons et à la logistique, les fausses notifications MFA, les scams se faisant passer pour l’administration fiscale ou des organismes publics, ainsi que les scams liés au partage de fichiers, se poursuivent.

Protection contre l’évolution des techniques

Les menaces d’hameçonnage ont considérablement progressé en 2025, devenant plus prolifiques, complexes et évasives. Ces tendances se poursuivront jusqu’en 2026 et au-delà. La sécurité des e-mails doit être un élément clé d’une stratégie de sécurité robuste et cyber-résiliente.

Peu d’organisations échappent à l’impact d’une attaque d’hameçonnage ou de social engineering. Notre dernière étude de marché montre que 78 % des organisations ont subi une violation de sécurité des e-mails au cours des 12 derniers mois. Plus la victime a mis de temps à détecter et à contenir la menace, plus les dégâts sont importants.

Les approches traditionnelles ne suffisent plus à tenir en échec les techniques d’hameçonnage avancées. Les organisations ont besoin d’une plateforme de sécurité intégrée alimentée par l’IA telle que BarracudaONE, avec une surveillance 24/7 et une solide culture en matière de sécurité.