Rapport ThreatLabz Zscaler - L'IA fait basculer la cybercriminalité : moins d'attaques, mais d'une précision redoutable

Alors que le nombre de campagnes de phishing recule pour la deuxième année consécutive, ThreatLabz a identifié 413 524 sites générés par IA, preuve que les attaquants peuvent désormais industrialiser des campagnes d'une redoutable crédibilité en quelques minutes

Points clés du rapport

• La qualité prime désormais sur la quantité : le volume de phishing recule de 20 % pour la deuxième année consécutive, tandis que les attaquants misent sur des leurres plus crédibles, accélérés par l'IA.
• Le secteur des services en ligne de mire : les attaques bondissent de 65,5 %, les cybercriminels exploitant des processus de confiance tels que la facturation et les renouvellements.
• Le chiffrement, nouvel angle mort : 95,2 % des tentatives de phishing transitent via des flux chiffrés, invisibles pour les architectures sans inspection TLS approfondie.
• L'arme "Text-to-Site" : 413 000 sites de phishing générés par IA identifiés par ThreatLabz, preuve que la barrière à l'entrée a disparu.
• La MFA contournée en temps réel : des kits comme « BlackForce » détournent les sessions actives pour neutraliser l'authentification multifacteur à la volée.
• Cartographie offensive à grande échelle : les données captées par un réseau mondial de leurres actifs font état de 89,9 millions d'interactions malveillantes issues de 1,37 million d'adresses IP uniques en six mois. Des opérations intensives de scan et de validation d'identifiants, préludes à des compromissions.

Zscaler, Inc. (NASDAQ : ZS), la plateforme de cybersécurité pour l'ère de l'IA, publie le rapport « Zscaler ThreatLabz 2026 Phishing and Initial Access Report ». S’appuyant sur les données de télémétrie du plus vaste cloud de sécurité inline du monde, cette étude révèle une bascule profonde : le volume global de phishing recule pour la deuxième année consécutive (−20 %), tandis que la sophistication des attaques atteint un niveau inédit.

Les acteurs malveillants s'appuient de plus en plus sur des outils « text-to-site » pilotés par l'IA et sur des kits de détournement de session en temps réel pour contourner l'authentification multifacteur (MFA). Ces campagnes sont massivement dissimulées dans le trafic chiffré : 95,2 % des tentatives de phishing y transitent désormais, invisibles pour les architectures de sécurité sans inspection TLS. Par ailleurs, de nouvelles données de télémétrie issues des technologies de déception, près de 90 millions d'interactions malveillantes recensées, confirment que les attaquants opèrent des reconnaissances intensives sur les identités d'entreprise et les plateformes collaboratives bien avant toute compromission.

« Nous assistons à une recalibration stratégique dans la façon dont les adversaires abordent l'accès initial », déclare Deepen Desai, Chief Security Officer de Zscaler. « La baisse du volume de phishing traduit une évolution et non un recul. Les cybercriminels troquent la quantité contre la qualité, s'appuyant sur l'IA générative pour effacer les marqueurs traditionnels : fautes de grammaire, leurres génériques. Avec 95 % des attaques dissimulées dans le trafic chiffré, les organisations ne peuvent plus se permettre de laisser leur trafic TLS sans inspection. Une architecture Zero Trust est le seul moyen de briser la chaîne d'attaque, de la phase de reconnaissance jusqu'à l'exfiltration des données. »

IA générative et compromission initiale : comment les attaquants opèrent

ThreatLabz a recensé 413 524 sites générés par l’IA, dont près de 10 % explicitement malveillants. Des outils comme Manus AI, Blackbox AI et Lovable AI sont détournés pour créer, en quelques minutes, des portails de phishing sophistiqués et fidèles à l'identité visuelle des marques ciblées. Des opérations qui nécessitaient auparavant plusieurs jours de développement manuel.

Ces leurres imitent avec une précision redoutable les échanges de confiance du quotidien numérique. Le secteur des services en a payé le plus lourd tribut : les attaques ont bondi de 65,5 % sur un an, les cybercriminels ciblant la facturation, l'intégration des clients et les renouvellements de support.

Autres conclusions du rapport 2026

• Tendances mondiales : les États-Unis restent en tête des cibles de phishing par e-mail, le Brésil enregistre une explosion de 2 522 % des activités d'hébergement de phishing et s’impose parmi les cinq premières sources mondiales.
• Secteurs les plus visés : l'industrie manufacturière et les administrations publiques cibles privilégiées des campagnes de phishing, avec une hausse de 50 % des attaques contre le secteur public. Les cybercriminels ciblent le renseignement stratégique.
• Vol d'identifiants : Microsoft et Google, marques les plus usurpées, confirmant l'intérêt persistant des attaquants pour les systèmes d'identité d'entreprise.
• Le chiffrement, norme des cybercriminels : 87 % des contenus malveillants transitent via HTTPS.
• Préparation d’offensives via le cloud public : plus de 121 000 adresses IP uniques hébergées dans des infrastructures cloud légitimes utilisées pour sonder les environnements ciblés.

Les leurres actifs révèlent les méthodes d'approche des attaquants.

La télémétrie de Zscaler issue de leurres déployés à l'échelle mondiale a enregistré près de 90 millions d'interactions hostiles en provenance de 1,37 million d'adresses IP uniques. Ces données confirment que les adversaires sondent activement les plateformes collaboratives et les systèmes d'identité pour en identifier les failles et tester ce que les défenses en place sont capables d'encaisser.

Réduire le risque de compromission

Pour contrer ces menaces en constante évolution, le Zscaler Zero Trust Exchange™ est la plateforme de sécurité IA fondée sur le Zero Trust qui :

• Réduit la surface d'exposition : masque les applications derrière un proxy cloud et mobilise les technologies de déception pour détecter en amont les tentatives de scan, de sondage et de validation d'identifiants.
• Bloque la compromission initiale : neutralise les attaques de phishing pilotées par IA et les attaques par détournement de session grâce à une inspection inline complète, incluant l'inspection TLS/SSL, pour révéler les menaces dissimulées dans le trafic chiffré.
• Empêche les mouvements latéraux : connecte les utilisateurs directement aux applications et applique les contrôles d'accès Zero Trust pour empêcher un attaquant de transformer son intrusion en libre-déplacement au sein de l'environnement.
• Prévient les pertes de données : réduit l'impact des incidents grâce à une protection des données assistée par IA, qui identifie les données sensibles en transit et bloque tout partage ou exfiltration non autorisés.

Pour une analyse plus approfondie des conclusions et des bonnes pratiques en matière de cybersécurité, téléchargez le rapport complet « Zscaler ThreatLabz 2026 Phishing and Initial Access Report » sur le site officiel de Zscaler.

Méthodologie

ThreatLabz a analysé plus de 500 000 milliards de signaux quotidiens issus de la plateforme Zscaler Zero Trust Exchange, qui bloque plus de 9 milliards de menaces par jour. Le rapport repose sur des données collectées entre janvier et décembre 2025, complétées par des données de télémétrie issues de nos leurres actifs et observées entre octobre 2025 et mars 2026.