Cyberpediapar Brain
FRDEEN

Spear-phishing : le harponnage ciblé

Le spear-phishing est un courriel personnalisé avec des informations publiques sur vous et votre entreprise. Comment le repérer.

En 30 secondes

Où ça arrive
Dans la messagerie professionnelle, mais aussi par les réseaux sociaux12.
Ce que veut l'attaquant
Le plus souvent faire exécuter du code malveillant sur votre poste1, ou obtenir un mot de passe, des données ou un paiement2.
Le réflexe
Pour toute demande inhabituelle (paiement, mot de passe, fichier), la confirmer par un autre canal que le courriel, par exemple un appel ou une conversation en personne2.
Si c'est déjà fait
Prévenir tout de suite les personnes compétentes de l'organisation, même après un clic. Un salarié qui craint des reproches signale moins vite2.

De quoi parle-t-on

Le spear-phishing, ou harponnage, est un courriel piégé adressé à une personne, une entreprise ou un secteur précis, et non envoyé à des millions de boîtes au hasard12. L'attaquant utilise ce qu'il sait de vous ou de votre société pour rendre son message plus persuasif et plus réaliste2.

Un tel message peut citer votre poste, un fournisseur réel ou un collègue. Il ne ressemble donc pas aux courriels de masse que l'on apprend à repérer.

Questions directes

Qu'est-ce qui distingue le spear-phishing d'un hameçonnage classique ?

Le ciblage. MITRE décrit le spear-phishing comme une variante où un individu, une entreprise ou un secteur précis est visé, par opposition aux campagnes de spam malveillant non ciblées1. Le NCSC britannique précise que l'attaquant se sert d'informations sur les employés ou l'entreprise2.

Comment l'attaquant me connaît-il ?

Il lit ce qui est public. Selon le NCSC, il exploite les informations librement disponibles sur le site de l'entreprise et sur les réseaux sociaux (l'« empreinte numérique ») pour rendre ses messages plus convaincants2. Le NCSC ajoute que les partenaires, sous-traitants et fournisseurs peuvent aussi révéler des informations sur une organisation en ligne2.

Pourquoi est-ce plus difficile à repérer ?

Les signes habituels d'un hameçonnage sont une formule d'appel générique comme « Dear Valued Customer », une signature sans coordonnées, des fautes d'orthographe ou une mise en page incohérente3. Un message écrit pour vous peut éviter tout cela. Le NCSC écrit que repérer tous les courriels d'hameçonnage est difficile et que les attaques de spear-phishing sont encore plus difficiles à détecter2.

Les dirigeants sont-ils visés en priorité ?

Ils sont une cible à part. Le NCSC appelle « whaling » une forme de spear-phishing qui vise un « big phish », par exemple un membre du conseil d'administration qui a accès à des actifs de valeur2. Il range aussi parmi les profils d'intérêt les personnes autorisées à accéder à des informations sensibles, à gérer des fonds ou à administrer les systèmes informatiques2.

Que faire si j'ai cliqué ou répondu ?

CISA conseille de signaler la situation aux personnes compétentes de l'organisation, y compris les administrateurs réseau, qui pourront surveiller toute activité inhabituelle. Il faut aussi changer sans attendre les mots de passe divulgués, et ceux des autres comptes si le même mot de passe y servait3.

1Dans la peau de l'attaquant1 min

MITRE classe cette phase dans la reconnaissance : l'hameçonnage pour obtenir des informations cherche à faire divulguer des identifiants ou d'autres données exploitables, et non à exécuter un code malveillant4. Il peut aussi échanger directement par courriel ou messagerie instantanée, en se faisant passer pour une source qui a une raison de demander, ou en envoyant plusieurs messages d'apparence urgente4.

MITRE cite des exemples de groupes. Kimsuky a envoyé des courriels sur mesure pour recueillir des informations sur ses victimes, dont des listes de contacts servant à repérer d'autres cibles4. ZIRCONIUM a visé des collaborateurs d'une campagne présidentielle avec des courriels de collecte d'identifiants4. Scattered Spider a combiné hameçonnage d'identifiants et ingénierie sociale pour capter des codes à usage unique (OTP)4.

Le NCSC décrit ce que l'attaquant peut exploiter dans le fonctionnement interne : si les méthodes de travail sont connues (comment les paiements sont faits, par exemple), il peut les imiter pour obtenir un mot de passe ou un paiement non autorisé2.

2Ce que vous voyez à l'écran2 min

Les sources citées ici décrivent plusieurs formes.

Avec une pièce jointe, l'attaquant joint un fichier au courriel et compte généralement sur l'exécution par l'utilisateur, en se faisant passer pour une source de confiance5. Le groupe APT28 a envoyé des courriels contenant des pièces jointes Microsoft Office et RAR malveillantes8.

Avec un lien, il évite les défenses qui inspectent les pièces jointes6. Les liens peuvent paraître anodins mais imiter un site légitime grâce à des caractères spéciaux (attaque dite « IDN homograph »), ou masquer leur adresse en profitant de particularités de la syntaxe des URL6. Un lien peut aussi demander une autorisation OAuth 2.0 : si l'utilisateur accepte, une application malveillante obtient des droits d'accès au compte et peut agir au nom de l'utilisateur6.

Par un service tiers, le message arrive hors de la messagerie d'entreprise : réseaux sociaux, messagerie personnelle web. MITRE note que ces services ont plus souvent une politique de sécurité moins stricte que celle d'une entreprise7. L'attaquant crée de faux comptes et propose par exemple une offre d'emploi7. Cela lui donne une raison plausible de poser des questions sur les logiciels utilisés7. Il peut aussi gagner la confiance de la cible, puis envoyer un fichier vers la messagerie personnelle qu'elle consulte sur son poste de travail7. Ce fichier contourne alors des restrictions du compte professionnel7.

Autres variantes : l'attaquant s'insère dans un fil de discussion existant (« thread hijacking »)1, ou le message invite à appeler un numéro où la victime est guidée vers une URL malveillante, un logiciel malveillant ou un outil d'administration à distance1. CISA signale aussi des adresses d'expéditeur qui ressemblent à celles d'une entreprise connue en modifiant ou en omettant quelques caractères, et des liens dont le texte affiché ne correspond pas à la destination au survol3.

Illustration neutralisée, sans lien réel :

Extrait
De : [prénom d'un collègue ou d'un fournisseur connu] <nom@societe-exemple[.]invalid>
Objet : [mentionne un projet réel de votre service]
Corps : [demande de relire un document ; paraphrase]
Lien : hxxps://connexion-societe[.]invalid/[page de connexion imitée]
3Sous le capotÉquipes IT1 min

Usurpation de l'expéditeur : l'attaquant peut falsifier l'identité de l'expéditeur pour tromper à la fois le destinataire et les outils de sécurité automatiques1. Les contre-mesures citées sont SPF (validité du domaine de l'expéditeur), DKIM (intégrité du message) et DMARC, qui permet à l'organisation d'appliquer ces contrôles1. Le NCSC ajoute que DMARC empêche les hameçonneurs d'usurper le domaine d'une organisation et que les courriels légitimes de celle-ci ont plus de chances d'atteindre les boîtes de réception2.

Domaine sosie : les sources parlent d'adresses proches de l'original (caractères modifiés ou omis)3 et de caractères spéciaux imitant un site légitime6. Une adresse qui paraît juste à l'œil peut donc ne pas l'être.

Collecte : la page piégée sert à récupérer des identifiants, la pièce jointe ou le lien à installer du code14. Lors d'un test, une équipe d'évaluation de CISA et de la NSA est entrée par hameçonnage sur un compte d'utilisateur final doté de droits d'administration et a compromis un domaine en moins d'une journée ouvrable9.

Contournement de la double authentification : dans un autre test, l'équipe connaissait les identifiants d'un utilisateur, mais l'authentification multifacteur bloquait ses connexions. Elle s'est fait passer pour le support informatique et a obtenu le code par téléphone9. Certaines formes d'authentification multifacteur sont vulnérables à l'hameçonnage et au « push bombing »9.

4AutopsiesCas réels1 min

2016 : le Comité national démocrate américain

APT28 aurait compromis en 2016 la campagne d'Hillary Clinton, le Comité national démocrate (DNC) et le Comité de campagne démocrate pour le Congrès (DCCC), pour tenter d'influencer l'élection présidentielle américaine8. Selon MITRE, le groupe a utilisé des identifiants volés par un courriel de spear-phishing pour se connecter au réseau du DCCC, puis s'est servi de cet accès pour compromettre celui du DNC8.

Février 2024 : les accès au nuage du groupe APT29

Un avis publié le 26 février 2024 par le NCSC britannique et ses partenaires décrit les méthodes du groupe APT29, évalué comme faisant presque certainement partie du SVR russe10. L'avis ne traite pas du harponnage lui-même, mais de l'étape suivante, quand un mot de passe est déjà connu : il décrit un contournement de l'authentification multifacteur par « MFA bombing » ou « MFA fatigue », où l'acteur envoie à répétition des demandes jusqu'à ce que la victime accepte10. Il recommande de limiter la durée des sessions et de n'autoriser l'enrôlement que d'appareils autorisés10.

Fiche

Identifiant
CP-002
Aile
1. Attaques et techniques
Compétence Brain
Détecter le phishing (detect_phishing)
Réflexe Brain
cr-002
Schéma
G1 · Chaîne d'attaque (Kill Chain)
Langues
de, en, fr
Sources
10 sources vérifiées le 3 novembre 2026
Sources10 sources
  1. MITRE ATT&CK, « Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/ (consulté le 3 novembre 2026)
  2. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026)
  3. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Phishing: Spearphishing Attachment, Sub-technique T1566.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/001/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/002/ (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « Phishing: Spearphishing via Service, Sub-technique T1566.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/003/ (consulté le 3 novembre 2026)
  8. MITRE ATT&CK, « APT28, IRON TWILIGHT, SNAKEMACKEREL, Swallowtail, Group 74, Sednit, Sofacy, Pawn Storm, Fancy Bear, STRONTIUM, Tsar Team, Threat Group-4127, TG-4127, Forest Blizzard, FROZENLAKE, GruesomeLarch, Group G0007 | MITRE ATT&CK® ». https://attack.mitre.org/groups/G0007/ (consulté le 3 novembre 2026)
  9. CISA, « NSA and CISA Red and Blue Teams Share Top Ten Cybersecurity Misconfigurations | CISA », 5 octobre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a (consulté le 3 novembre 2026)
  10. CISA, « SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA », 26 février 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (consulté le 3 novembre 2026)

Citer cet article

Brain, « Spear-phishing : le harponnage ciblé », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/spear-phishing-harponnage-cible-osint/

BibTeX 
@misc{brain_cp002_fr_2026,
  author = {Brain},
  title = {Spear-phishing : le harponnage ciblé},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/spear-phishing-harponnage-cible-osint/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0