Une fausse facture apparaît au milieu de commandes bien réelles dans une application de confiance. Elle invite l’utilisateur à appeler un service client pour contester un renouvellement qu’il n’a jamais demandé. Aucun e-mail douteux, aucune pièce jointe suspecte : la fraude commence dans une application familière, puis se poursuit par téléphone.
Ce scénario, documenté en juin 2026, illustre une évolution du phishing en entreprise : les attaquants ne se limitent plus à la messagerie. Ils exploitent les SMS, les QR codes, les appels, les outils collaboratifs et les applications du quotidien, parfois successivement. Pour les TPE et PME dont les protections restent principalement centrées sur l’e-mail, ces nouveaux parcours créent des angles morts difficiles à identifier et à traiter.
Qu'est-ce que le phishing multicanal ?
Le phishing multicanal désigne les attaques d'hameçonnage qui exploitent plusieurs canaux de communication au-delà de l'e-mail : SMS, messageries instantanées, QR codes, appels vocaux et applications légitimes. L'objectif reste identique, tromper l'utilisateur pour lui soutirer des identifiants, un paiement ou une action, mais le point d'entrée change. Les attaquants choisissent le canal où la vigilance est la plus faible et où la confiance est la plus forte.
Le phishing multicanal peut exploiter un canal différent de l'e-mail ou enchaîner plusieurs points de contact au cours d'un même scénario de fraude, comme dans l'exemple ci-dessus : une fausse facture dans une application, puis un appel vers un faux service client. Cette approche porte plusieurs noms selon le vecteur utilisé : smishing pour le SMS, vishing pour l'appel téléphonique, quishing pour le QR code.
Pourquoi les attaquants changent-ils de canal ?
Les filtres de messagerie se sont perfectionnés. Bloquer une campagne de phishing par e-mail est aujourd’hui plus difficile qu’il y a quelques années. Les fraudeurs déplacent donc leurs attaques vers des environnements moins surveillés et dans lesquels les utilisateurs agissent avec moins de méfiance.
Trois ressorts expliquent ce déplacement. La confiance d’abord : un SMS, un QR code affiché sur un document ou une notification dans une application connue déclenchent moins de suspicion qu’un e-mail inattendu. Les habitudes ensuite : nous scannons des QR codes, répondons à des SMS et prenons des appels sans y réfléchir. L’urgence enfin : un message qui évoque un colis bloqué, une facture impayée ou un compte compromis pousse à agir vite, avant de vérifier.
En France, cette diversification est documentée. Selon le rapport d’activité 2025 de Cybermalveillance.gouv.fr, publié en mars 2026, l’année a été marquée par de multiples vagues d’hameçonnage par SMS, courriels et appels audio, de plus en plus variées et personnalisées.
Quels sont les principaux canaux utilisés ?
Le phishing multicanal peut emprunter tous les points de contact numériques d’une entreprise. Les plus fréquents sont les suivants.
- E-mail : le canal historique, toujours largement utilisé, désormais complété par les autres.
- SMS (smishing) : faux avis de livraison, fausse alerte bancaire, faux message d’un service public.
- QR codes (quishing) : codes malveillants collés sur des affiches, insérés dans des documents ou des e-mails pour échapper aux filtres.
- Téléphone (vishing) : faux service client, faux conseiller bancaire, faux support technique.
- Applications légitimes : fausses factures ou fausses notifications insérées dans des outils de confiance.
- Outils collaboratifs : messages frauduleux transitant par les plateformes de messagerie interne ou de partage utilisées au travail.
Pourquoi les TPE et PME sont-elles particulièrement exposées ?
Les TPE et PME sont particulièrement exposées parce qu’elles disposent rarement des mêmes capacités de surveillance et de réaction que les grandes organisations. La menace, elle, ne fait pas cette distinction.
Plusieurs réalités se cumulent. Beaucoup d’entreprises n’ont pas d’expert cybersécurité dédié en interne. Les responsabilités se répartissent entre la direction, l’informatique et les prestataires, sans que personne ne pilote clairement le sujet. Les protections en place restent fréquemment concentrées sur la messagerie. Et lorsqu’une situation suspecte survient, le temps et les ressources manquent pour la qualifier sereinement.
Les TPE et PME sont particulièrement exposées parce qu’elles disposent rarement des mêmes capacités de surveillance et de réaction que les grandes organisations. La menace, elle, ne fait pas cette distinction.
Plusieurs réalités se cumulent. Beaucoup d’entreprises n’ont pas d’expert cybersécurité dédié en interne. Les responsabilités se répartissent entre la direction, l’informatique et les prestataires, sans que personne ne pilote clairement le sujet. Les protections en place restent fréquemment concentrées sur la messagerie. Et lorsqu’une situation suspecte survient, le temps et les ressources manquent pour la qualifier sereinement.
Pourquoi le filtrage de la messagerie ne suffit-il plus seul ?
Le filtrage de la messagerie reste indispensable. C’est la première ligne de défense et elle bloque une part importante des tentatives. Mais elle a été pensée pour un canal, l’e-mail, alors que la menace en emprunte désormais plusieurs.
Un filtre anti-spam, aussi performant soit-il, ne voit pas passer un SMS reçu sur un téléphone personnel, un QR code scanné depuis une affiche, ou un appel téléphonique. Il ne voit pas non plus une fausse facture insérée dans une application légitime. Protéger uniquement la messagerie revient à verrouiller une porte pendant que d’autres restent ouvertes.
La difficulté ne consiste plus seulement à bloquer un message frauduleux. Elle consiste aussi à savoir ce qui se passe lorsqu’un utilisateur a déjà été trompé.
Dans les environnements que nous accompagnons, la compromission n’est pas toujours visible au moment où l’utilisateur clique ou répond. Elle peut se révéler plus tard, lorsque l’utilisation d’un compte, d’un poste ou d’une ressource commence à s’écarter des usages habituels. C’est souvent à ce moment que se joue la différence entre un incident maîtrisé et un incident qui s’étend.
La capacité à comprendre une situation inhabituelle, à la qualifier et à réagir vite devient alors décisive. Cette capacité de qualification et de réaction constitue encore un point de fragilité fréquent dans les organisations qui ont principalement investi dans la prévention.
La difficulté ne consiste plus seulement à bloquer un message frauduleux. Elle consiste aussi à savoir ce qui se passe lorsqu’un utilisateur a déjà été trompé.
Dans les environnements que nous accompagnons, la compromission n’est pas toujours visible au moment où l’utilisateur clique ou répond. Elle peut se révéler plus tard, lorsque l’utilisation d’un compte, d’un poste ou d’une ressource commence à s’écarter des usages habituels. C’est souvent à ce moment que se joue la différence entre un incident maîtrisé et un incident qui s’étend.
La capacité à comprendre une situation inhabituelle, à la qualifier et à réagir vite devient alors décisive. Cette capacité de qualification et de réaction constitue encore un point de fragilité fréquent dans les organisations qui ont principalement investi dans la prévention.
Dimension | Finalité |
Prévention | Réduire les sollicitations frauduleuses |
Sensibilisation | Renforcer les réflexes des collaborateurs |
Protection des accès | Limiter les conséquences d’un compte compromis |
Visibilité | Repérer les situations inhabituelles |
Réaction | Qualifier et traiter rapidement un incident |
Aucune de ces dimensions ne suffit isolément. Une entreprise sensibilisée mais dépourvue de visibilité peut rester sans signal exploitable après un clic. Une entreprise bien outillée mais sans capacité de réaction clairement organisée risque de laisser un incident s’étendre. L’enjeu n’est pas d’empiler des solutions, mais de vérifier que ces cinq dimensions sont réellement couvertes.
Avant de conclure qu’une entreprise est protégée, quelques questions méritent d’être posées honnêtement.
- Vos protections sont-elles principalement concentrées sur l’e-mail ?
- Savez-vous ce qui se passe lorsqu’un compte est compromis ?
- Disposez-vous d’une visibilité suffisante sur votre environnement ?
- Qui analyse une situation suspecte lorsqu’elle survient ?
- Êtes-vous capable de réagir rapidement sans improviser ?
- Votre niveau de protection est-il réellement adapté à votre activité ?
Les réponses à ces questions dépendent de votre environnement, de vos usages, de votre organisation et des protections déjà en place. Un état des lieux permet d’identifier les points qui nécessitent une attention prioritaire et de déterminer le niveau de protection adapté à l’activité de l’entreprise.
Face à un message, un SMS, un QR code ou un appel douteux, quatre réflexes universels s’appliquent, quel que soit le canal.
- Ne pas utiliser le lien, le QR code ou le numéro transmis dans le message.
- Vérifier la demande depuis un canal officiel et indépendant, par exemple le site connu de l’organisation ou un numéro déjà enregistré.
- Signaler immédiatement le message à votre interlocuteur informatique ou cybersécurité.
- Considérer les comptes concernés comme potentiellement compromis dès lors que des informations ont été communiquées.
- Le phishing en entreprise n’est plus limité à l’e-mail : il exploite les SMS, les QR codes, les appels, les applications et les outils collaboratifs, parfois enchaînés.
- Le filtrage de la messagerie reste indispensable, mais ne couvre plus tous les canaux à lui seul.
- L’essentiel se joue souvent après le clic : la capacité à repérer, qualifier et traiter une situation inhabituelle fait la différence.
- Une protection cohérente couvre cinq dimensions complémentaires : prévention, sensibilisation, protection des accès, visibilité et réaction.
- Le niveau de protection adapté dépend de l’environnement et de l’activité de chaque entreprise.
Qu’est-ce que le phishing multicanal ?
Une attaque d’hameçonnage qui exploite un ou plusieurs canaux au-delà de l’e-mail : SMS, QR codes, appels, applications, outils collaboratifs. Le but reste de tromper l’utilisateur, mais le point d’entrée change.
Quelle différence entre phishing, smishing, vishing et quishing ?
Quatre variantes de la même technique, distinguées par le canal : phishing par e-mail, smishing par SMS, vishing par appel téléphonique, quishing par QR code.
Un filtre de messagerie suffit-il contre le phishing ?
Non. Il reste indispensable et bloque une part importante des tentatives par e-mail, mais il ne voit ni un SMS, ni un QR code, ni un appel, ni une fraude insérée dans une application légitime.
Que faire après avoir communiqué ses identifiants ?
Considérer immédiatement les comptes concernés comme potentiellement compromis, ne pas réutiliser les liens reçus, changer les mots de passe depuis un canal sûr et alerter votre interlocuteur cybersécurité pour vérifier le périmètre touché.
Elit-Cyber aide les TPE et PME à disposer du niveau de protection et d’accompagnement réellement adapté à leur activité, y compris face aux nouvelles formes de phishing.
Sources
Recherche à l’origine du cas d’ouverture : campagne de phishing multicanal documentée en juin 2026 (Gen Digital, chercheurs Luis Corrons et Jakub Vavra).
Cybermalveillance.gouv.fr, rapport d’activité 2025, publié en mars 2026.