Depuis la mise à disposition publique de ChatGPT en novembre 2022, l’utilisation d’IA générative dans la rédaction de courriels malveillants a fortement progressé. Les contenus produits sont devenus plus sophistiqués : ils emploient un langage plus soutenu, contiennent moins d’erreurs grammaticales et adoptent un ton plus formel que les messages écrits par des humains. Ces éléments contribuent à augmenter leur crédibilité et leur capacité à contourner les systèmes de sécurité.
Les attaquants utilisent les IA comme outils d’expérimentation. Ils testent différentes variantes de messages, un peu à la manière de tests A/B utilisés en marketing, afin d’identifier les formulations les plus efficaces pour inciter les destinataires à cliquer sur des liens frauduleux. Cette tactique permet non seulement d’améliorer la pertinence linguistique des messages, mais aussi d’échapper plus facilement aux filtres anti-spam.
Automatisation par IA
Les messages de type spam représentent aujourd’hui la principale catégorie de courriels rédigés à l’aide de modèles de langage. La majorité des courriers indésirables sont désormais issus d’outils automatisés, illustrant une transformation majeure dans les méthodes employées par les cybercriminels. Ce changement de paradigme rend les messages malveillants plus difficiles à détecter.Cette enquête met en lumière l’utilisation croissante de l’IA générative dans les attaques par courriel, en particulier les spams. En avril 2025, 51 % des spams détectés étaient générés par des IA, contre 14 % pour les attaques de type BEC (Business Email Compromise), ciblant généralement de hauts responsables d’entreprise.
Contrairement aux spams, les attaques de type BEC reposent davantage sur le contexte et la personnalisation du message. Elles nécessitent une adaptation fine au profil de la cible — comme un directeur financier ou un cadre — ce qui limite pour l’instant l’automatisation par IA. Toutefois, l’usage de l’IA dans ce domaine progresse lentement mais sûrement, avec une hausse observée jusqu’à 14 % des attaques BEC en avril 2025.
Asaf Cidon, professeur à l’université de Columbia, souligne la difficulté d’attribuer avec certitude une attaque à une IA. Toutefois, les résultats montrent que la majorité des spams actuels sont probablement générés par des modèles d’IA, tandis que les attaques plus ciblées, comme les BEC, demeurent encore majoritairement écrites par des humains. Cela pourrait néanmoins évoluer avec l’amélioration continue des outils d’IA.
