Grâce à l’intelligence artificielle, un message d’hameçonnage personnalisé coûte désormais quelques centimes. Une fausse lettre, elle, coûte au moins le prix d’un timbre. En délaissant le courrier pour le courriel et le SMS, entreprises et administrations ont installé leurs clients sur le terrain où la fraude est la moins chère.
Cinq minutes. C’est le temps qu’il a fallu à l’équipe X-Force d’IBM pour obtenir d’un outil d’IA générative un courriel d’hameçonnage convaincant, à l’aide de cinq instructions. « Le temps qu’il me faut pour me faire un café », résume Stephanie Carruthers, responsable de l’ingénierie sociale chez IBM X-Force Red. Ses équipes mettent d’ordinaire environ seize heures à concevoir un message de ce type.
Les chercheurs ont depuis chiffré l’économie. En 2024, une équipe associée à l’université Harvard, conduite par Fred Heiding, a montré que des courriels ciblés entièrement rédigés par l’IA obtenaient 54 % de clics, autant que ceux écrits par des experts humains, pour environ quatre centimes de dollar par envoi. Cet automne, des chercheurs de l’université technique de Berlin, de l’Inria et de l’université de la Ruhr à Bochum ont confirmé la tendance sur plus de 7 700 participants : un message personnalisé par l’IA obtient 2,4 fois plus de clics qu’un message générique, pour environ trois centimes. De quoi rendre l’attaque « économiquement viable même pour des criminels disposant de petits budgets », résume l’institut berlinois BIFOLD.
Une fraude en forte hausse
En France, les effets sont mesurables. Selon le rapport 2025 de Cybermalveillance.gouv.fr, le dispositif public d’assistance aux victimes, l’hameçonnage reste la première menace pour les particuliers, avec près de 33 % des demandes d’assistance, en hausse de 70 % en un an. Le dispositif relève qu’« un nombre croissant de SMS et courriels d’hameçonnage sont personnalisés avec les informations du destinataire » : nom, numéro de client, IBAN, souvent issus de fuites de données.
D’après l’Observatoire de la sécurité des moyens de paiement, rattaché à la Banque de France, la fraude aux moyens de paiement a atteint 1,2 milliard d’euros en 2025. La fraude par manipulation, dont la forme la plus fréquente est le faux conseiller bancaire, en représente 516 millions, en hausse de 34 % sur un an. Selon Cybermalveillance.gouv.fr, les données recueillies par les campagnes d’hameçonnage de masse servent, pour la grande majorité, à ces escroqueries. La facture est partagée : en 2024, les banques ont remboursé 62 % des montants des opérations non autorisées, les 38 % restants, soit 436 millions d’euros, ont été laissés à la charge des victimes.
Les marques qui ont quitté le papier
La liste des organismes usurpés en 2025 dessine une carte familière. Mondial Relay arrive en tête. On y trouve aussi l’ANTAI pour les fausses contraventions, les sociétés d’autoroutes pour de faux péages impayés, l’Assurance maladie pour de prétendus renouvellements de carte Vitale, EDF, la CAF, les opérateurs télécoms et les banques. Tous ont fait du courriel, du SMS et de l’espace en ligne leur canal de contact ordinaire avec le public.
Le mouvement est massif. Le groupe La Poste a vu ses volumes de lettres passer de 18 milliards en 2008 à 5 milliards en 2025, une baisse qu’il attribue à la numérisation des échanges. Chaque facture ou relevé basculé vers le numérique habitue un peu plus le destinataire à recevoir par écran des demandes de paiement ou de mise à jour de ses coordonnées. C’est ce réflexe qu’exploite l’hameçonnage : un faux SMS de l’Assurance maladie n’est crédible que parce que le vrai existe.
La boîte aux lettres, un marché marginal
Les arnaques par courrier existent. Fin octobre, la police nationale a alerté sur de faux courriers de la direction générale des finances publiques sommant leurs destinataires de déclarer leurs cryptomonnaies. L’UFC-Que Choisir a signalé des lettres accompagnées de fausses cartes bancaires. Mais elles restent rarissimes au regard de la fraude numérique. Aux États-Unis, où la Federal Trade Commission ventile les plaintes par canal de contact, le courrier ne représentait en 2024 que 90 millions de dollars de pertes déclarées, sur plus de 12,5 milliards, soit moins de 1 %. En 2008, il était encore à l’origine de 14 % des plaintes pour fraude renseignant ce canal.
Cybermalveillance.gouv.fr fait le même constat pour les faux avis de passage ou d’amende déposés dans les boîtes aux lettres : une distribution physique « ne peut cibler qu’un nombre limité de victimes potentielles » et présente « un faible retour sur investissement pour les cybercriminels, et un risque important pour eux de se faire identifier ».
La raison tient d’abord au coût. Au tarif public de 2026, une lettre verte coûte 1,52 euro, hors impression. Un million de fausses lettres représenterait plus de 1,5 million d’euros d’affranchissement, contre quelques dizaines de milliers de dollars pour un million de courriels personnalisés par l’IA. Elle tient aussi au mode opératoire : ces fraudes ne fonctionnent qu’en faisant basculer la victime vers le numérique, au moyen d’un QR code renvoyant vers un faux site. La lettre sert d’appât, le vol a lieu en ligne.
Pour un escroc, chaque courriel supplémentaire ne coûte presque rien, et les fautes d’orthographe, longtemps présentées comme le meilleur indice d’une arnaque, ont disparu, observent les spécialistes. Face aux faux courriers comme aux faux SMS, la consigne officielle reste identique : ne rien scanner, ne cliquer sur aucun lien et vérifier par un autre canal. Encore faut-il qu’il en existe un.
