Gains :
- Possibilité d'analyser un e-mail suspect à trois niveaux (contenu/ingénierie sociale, structure URL/pièce jointe, en-têtes et SPF/DKIM/DMARC) avec prise en charge de l'intelligence artificielle
- Capacité à appliquer la discipline consistant à analyser les liens suspects dans le système en direct sans cliquer dessus et à valider la décision « phishing/safe » de l'IA avec le titre, la réputation du domaine et le contexte.
- Capacité à reconnaître que l'intelligence artificielle ne connaît pas le contexte institutionnel et peut confondre un courrier électronique légitime avec du phishing (faux positif) et prendre la décision de le bloquer en tant qu'analyste
La plupart des attaques commencent par tromper une personne et non par une vulnérabilité technique. Le phishing est une attaque d'ingénierie sociale qui tente d'inciter la victime à obtenir des mots de passe, des informations de carte ou des clics en la trompant avec un faux e-mail, message ou site Web. Un employé tombant dans le piège d'un message « votre expédition n'a pas pu être livré, cliquez ici » ou « le directeur général demande un transfert urgent » contournera même le pare-feu le plus avancé. C'est pourquoi l'analyse rapide et précise des e-mails suspects constitue le pain quotidien d'une équipe de sécurité.
L’intelligence artificielle est très puissante dans l’analyse du phishing, car le phishing est, à la base, un problème de langage et de modèle. L'IA peut analyser le ton d'un e-mail, la pression d'urgence, les bizarreries grammaticales, les fausses usurpations d'identité de marque et la structure de liens suspects en quelques secondes ; peut expliquer pourquoi une URL est trompeuse ; Il peut signaler des incohérences dans les en-têtes des e-mails. Mais l’IA ne peut pas (et ne devrait pas) vérifier en cliquant qu’un lien est réellement malveillant, et elle ne peut pas non plus déterminer définitivement qu’un e-mail est réellement faux dans un contexte d’entreprise. L'IA analyse le phishing et justifie les soupçons ; L'analyste prend la décision « il s'agit d'un phishing, bloquer/supprimer » et la notification à l'utilisateur.
Que rechercher dans un e-mail de phishing
Lors de l’examen d’un e-mail suspect, trois niveaux sont examinés, et l’IA aide à chaque niveau :
- Contenu et ingénierie sociale. Pression d'urgence (« immédiatement », « votre compte sera fermé »), dissimulation d'autorité (« directeur général », « service informatique »), peur/récompense, erreurs grammaticales, manque de personnalisation. L’IA déchiffre bien les techniques de ton et de persuasion.
- Indicateurs techniques – lien et pièce jointe. Différence entre le texte affiché et l'URL réelle, faux nom de domaine avec des lettres similaires (typosquatting ; par exemple paypa1.com), raccourcissement d'URL, pièces jointes suspectes (.html, .iso, fichiers Office contenant des macros). L'IA analyse la structure de l'URL.
- En-têtes d'e-mails. Nom de domaine réel de l'expéditeur, résultats de vérification SPF/DKIM/DMARC (trois mécanismes d'authentification qui prouvent que l'e-mail provient réellement du domaine qu'il prétend être), incohérences du chemin du serveur. L'IA résume les titres et signale les incohérences.
Une règle de sécurité importante : ne cliquez jamais sur des liens suspects sur un système actif. L'analyse des URL se fait via du texte, dans un environnement isolé (sandbox) si nécessaire. Demander à l'IA d'analyser une URL, ce n'est pas la « visiter » ; mais ne présumez pas que l'IA peut également accéder à ce site : l'analyse est basée sur la structure et les renseignements connus sur les menaces.
Tableau de bord de phishing
couche
signe de doute
Apport de l'IA
frontière
Contenu
Urgence, autorité, pression de peur
Analyse du ton et des techniques de persuasion
Je ne connais pas le contexte
Publié par
Usurpation d'identité de domaine, nom incohérent
Détection de similarité/typosquat
Ne reconnaît pas l'institution
URL
Surface apparente ≠ réelle, simulée
Analyse de la structure, explication
Je ne peux pas cliquer et confirmer
Annexe
Extension dangereuse, macro
Évaluation des risques liés à l'extension/au type
Impossible d'exécuter le fichier
Titre
Échec SPF/DKIM/DMARC
Résumé du titre, incohérence
Vérifier le résultat
Contexte
demande inattendue
génère des questions
La décision est entre les mains de l'analyste
trois mini-cases
Cas 1 — Diagnostic en 30 secondes. Un utilisateur trouve l'e-mail « de votre banque : votre compte a été gelé, vérifiez » suspect et le transmet à l'équipe de sécurité. L'analyste donne l'email (masquant les données personnelles) à l'IA. L'IA résume en 30 secondes : le nom de domaine de l'expéditeur est guvenli-banka-tr.info (pas le domaine réel de la banque), l'URL est apparemment la banque mais la véritable cible est un domaine différent, la vérification DKIM a échoué, le langage met la pression sur l'urgence. L'analyste confirme lui-même ces indicateurs dans l'en-tête et l'URL, déclare le phishing par courrier électronique et bloque l'ensemble de l'organisation. L’IA a accéléré l’analyse ; L'analyste a pris la décision.
Cas 2 — Confondre un e-mail légitime avec du phishing (faux positif). L’IA signale un e-mail comme « suspect, peut-être du phishing : provient d’un domaine externe et contient un lien ». L'analyste vérifie le contexte : l'e-mail provient du véritable fournisseur de logiciels RH de l'organisation, SPF/DKIM/DMARC sont tous valides, et ce fournisseur existe depuis des années. L'IA a signalé un e-mail légitime car elle ne connaissait pas le contexte. L'analyste corrige le faux positif. Leçon : le signe « phishing » d’IA est une hypothèse ; Sans vérification du titre et sans contexte institutionnel, cela ne se transforme pas en décision.
Cas 3 – Décision « sûre » artificielle. Un analyste donne une URL à l’IA et demande « est-ce sûr ? demande-t-il. L'IA dit "oui, c'est un domaine connu et sécurisé". Mais l’IA n’a pas réellement examiné ce site ; Le nom de domaine est un typosquat nouvellement enregistré sans réputation, et le modèle a produit une réponse positive car il a jugé « utile » de donner confiance. L'analyste vérifie lui-même la date d'enregistrement et la réputation des services du nom de domaine et voit le danger. Leçon : Ce n'est pas parce que l'IA dit « sûr » qu'il s'agit d'une preuve ; Le nom de domaine est confirmé par les données d'âge, de réputation et de titre.
Invite faible/Invite forte
Invite faible :
S'agit-il d'un hameçonnage par e-mail ? Dites-moi oui/non : [e-mail]
Cette invite demande à l'IA une décision directe (oui/non), elle ne demande ni justification ni preuve, elle ne remet pas en question la possibilité d'un faux positif. La réponse en un seul mot de l’IA peut être trompeuse et les données personnelles peuvent avoir été dévoilées.
Invite puissante :
Votre rôle : Assistant de l'analyste SOC préparant l'analyse de phishing DRAFT. Prise de décision; Ne dites pas "c'est du phishing, supprimez-le". Analysez l'e-mail anonymisé suivant en trois couches : (1) signaux de contenu/d'ingénierie sociale (urgence, autorité, peur, langage), (2) structure de l'URL – différence entre la cible apparente et réelle, le typosquat, l'usurpation d'identité ; mais ne présumez pas que vous avez visité des liens, (3) les en-têtes incluent SPF/DKIM/DMARC et la divergence de l'expéditeur — marquez le résultat comme "[confirmer dans l'en-tête]". Indiquez la solidité des preuves pour chaque signe ; Écrivez également au moins 2 explications innocentes (faux positifs). Génération de réputation/décision fabriquée. E-mail : [coller anonyme]
L’affirmation forte sépare les trois couches, remet en question la force de la preuve, renforce le faux positif, interdit la présomption de clic et de fabrication.
Modèles d'invite copiables
MODÈLE D'ANALYSE DE CONTENU D'EMAIL Analysez le texte de l'e-mail anonyme suivant à des fins d'ingénierie sociale : pression d'urgence, autorité/usurpation d'identité de marque, peur/récompense, manque de personnalisation, bizarreries de langage/de ton. Montrez chaque signe avec une citation. Ne décidez pas ; il suffit d'énumérer les marques et la puissance nominale. E-mail : [coller]
MODÈLE D'ANALYSE D'URL (sans cliquer) Analysez l'URL suivante en tant que STRUCTURE (ne pas visiter, ne pas présumer) : différence entre le texte apparent et le domaine cible réel, usurpation de typosquat/lettre, usurpation de sous-domaine, abréviation, paramètre suspect. NE FAUX PAS la réputation du nom de domaine ; Cochez "la réputation/la date d'enregistrement doit être vérifiée séparément".URL : [coller]
MODÈLE D'INSPECTION D'EN-TÊTE Résumez les en-têtes d'e-mail suivants : domaine de l'expéditeur réel, chemin de retour, résultats SPF/DKIM/DMARC, incohérences du chemin du serveur (reçu), nom d'affichage et différence d'adresse réelle. Marquez chaque résultat avec « [confirmer dans l'en-tête brut] » ; convenable. Titres : [coller]
PROJET DE MODÈLE D'AVERTISSEMENT À L'UTILISATEURRédigez un PROJET de texte d'avertissement court, calme et non accusateur à envoyer aux employés en cas de phishing confirmé : que faire (ne pas cliquer, transférer, supprimer), pourquoi, à qui signaler. N'utilisez pas de langage de panique. Ce projet passe par l’approbation des analystes. Résumé de l'événement : [coller]
Erreurs courantes
- Cliquez en direct sur le lien suspect. L'analyse se fait à travers des textes et des médias isolés ; un clic en direct peut également faire de vous une victime.
- Faire confiance à la décision oui/non de l’IA. Le seul mot « phishing/sécurisé » ne constitue pas une preuve ; Confirmez par titre, structure d'URL et domaine.
- Contourner le contexte institutionnel (faux positif). Les fournisseurs légitimes envoient également des e-mails à partir de domaines externes ; Voir SPF/DKIM/DMARC et contexte d'utilisation historique.
- Donner des données personnelles/sensibles sans masque. Masquez le nom, l’adresse, les informations de carte/mot de passe dans l’e-mail avant analyse.
- Prendre la fausse réputation du terrain pour vraie. L’IA peut simuler qu’une zone est « sûre/connue » ; Confirmez avec la date d’inscription et les services de réputation.
Astuce : L'indicateur le plus puissant dans l'analyse du phishing est souvent l'en-tête : si tous les SPF/DKIM/DMARC échouent et que le domaine de l'expéditeur est usurpé, la suspicion devient très forte. Mais confirmez-le à partir du titre brut, pas à partir du résumé de l'IA.
Attention : Déclarer un e-mail « phishing » et le bloquer dans l'ensemble de l'organisation peut également perturber un e-mail professionnel légitime. L’analyse de l’IA est une justification ; La décision de bloquer et de notifier l'utilisateur appartient à l'analyste après vérification du titre et du contexte.
En résumé
Le phishing cible les personnes, et non les techniques, et constitue essentiellement un problème de langage et de modèle ; C'est pourquoi il est si puissant dans l'analyse de l'IA. Un e-mail suspect est examiné à trois niveaux : contenu/ingénierie sociale, structure des URL/pièces jointes et en-têtes d'e-mail (SPF/DKIM/DMARC). L’IA génère une justification rapide à chaque niveau, mais ne peut pas vérifier un lien suspect en cliquant dessus, ne connaît pas le contexte institutionnel et peut prendre une décision « sécurisé/hameçonnage ». L'analyse de l'IA est donc une hypothèse : la vérification du titre est confirmée par la réputation du domaine et le contexte de l'institution, puis la décision de blocage et la notification de l'utilisateur sont prises par l'analyste. Deux règles restent constantes : ne pas cliquer en direct sur des liens suspects, ne pas partager de données sensibles sans masque.
Tâche de candidature
Obtenez un échantillon d'e-mails suspects (soit anonymisés, soit un échantillon de votre propre quarantaine). Demandez à l'IA de résoudre les trois couches séparément avec les modèles « Contenu », « URL » et « Titre ». Vérifiez vous-même dans les données brutes (en particulier SPF/DKIM/DMARC dans l'en-tête) l'indicateur le plus fort que l'IA marque à chaque couche et considérez au moins une explication faussement positive. Enfin, décidez : s'agit-il d'un phishing ou non, et pourquoi ? Notez sur quelles preuves vous fondez votre décision.
liste de contrôle
- [ ] J'ai anonymisé l'email avant analyse ; les données personnelles/sensibles ont été masquées.
- [ ] J'ai examiné les trois couches (contenu, URL/pièce jointe, titre) séparément.
- [ ] Je n'ai cliqué sur aucun lien suspect en direct ; J'ai analysé l'URL en tant que structure.
- [ ] J'ai vérifié le résultat SPF/DKIM/DMARC dans l'en-tête brut.
- [ ] J'ai confirmé la décision "phishing/safe" de l'IA avec des preuves, je ne lui faisais pas aveuglément confiance.
- [ ] J'ai considéré au moins une déclaration faussement positive (innocente).
- [ ] En tant qu'analyste, j'ai pris la décision de bloquer et d'avertir les utilisateurs.