Pourquoi la sécurité des e-mails pilotée par l’IA a besoin de plusieurs modèles

Les e-mails restent l’un des principaux vecteurs d’attaque utilisés par les cybercriminels. Notre dernier rapport sur la cybersécurité montre que le défi ne tient pas seulement aux limites des méthodes de filtrage traditionnelles. Repérer les menaces déjà connues n’est qu’une composante d’une stratégie de sécurité complète.

Les e-mails de phishing modernes présentent rarement un seul signe d’alerte évident. La sécurité des e-mails pilotée par l’IA doit donc s’appuyer sur une architecture à plusieurs niveaux, capable d’interpréter conjointement le contenu, le contexte, les comportements, les éléments visuels, les destinations et les renseignements sur les menaces, idéalement avant même que le message n’arrive dans la boîte de réception.

Dans cet article, nous expliquons comment la sécurité des e-mails pilotée par l’IA aide les entreprises à repérer les menaces émergentes et à s’en protéger.

Ce que recouvre réellement la sécurité des e-mails par l’IA

Une véritable solution de sécurité des e-mails fondée sur l’IA détecte les menaces et y répond tout au long du parcours du message. Elle vérifie les e-mails avant leur arrivée, analyse les expéditeurs et les domaines, inspecte les URL et les pièces jointes, lutte contre l’usurpation d’identité, repère les comportements inhabituels, corrige les problèmes après la livraison et aide les utilisateurs comme les analystes.

Pour renforcer la sécurité des e-mails, une solution doit intégrer les composants essentiels suivants :

• l’analyse du langage naturel ; 
• la cartographie des relations ; 
• l’analyse des logiciels malveillants ; 
• l’examen de l’intention ; 
• la vérification de la réputation de l’expéditeur ; 
• la vision par ordinateur pour analyser les logos et les QR codes ; 
• l’analyse des pages de destination ; 
• l’exécution en bac à sable (sandboxing). 

Elle doit également détecter les anomalies, automatiser la mise en quarantaine et intégrer une boucle de retour d’information continue. Il est en outre essentiel qu’elle comprenne le contexte global du corps du message, au lieu d’interpréter des phrases isolées.

Pourquoi les filtres traditionnels peinent face aux attaques modernes

Les filtres traditionnels sont très efficaces pour les tâches pour lesquelles ils ont été conçus : bloquer les spams connus, évaluer la réputation et détecter les logiciels malveillants identifiés. Mais un compte fournisseur compromis peut réussir les contrôles d’authentification. Un nouveau domaine de phishing peut ne pas encore avoir de réputation. Et un message de phishing rédigé par l’IA peut ne contenir aucune des fautes d’orthographe que l’on a appris à repérer.

La différence tient au contexte et à la capacité d’adaptation. Par exemple, un filtre classique se demande :

« Est-ce que cela correspond à quelque chose de connu ? »

À l’inverse, une IA à plusieurs niveaux se demande :

« Ce message est-il cohérent avec cet expéditeur, ce destinataire, leur relation, cette demande, cette destination et ce moment précis ? »

La question est beaucoup plus difficile, mais aussi bien plus utile.

Les six couches de détection des menaces par e-mail avec l’IA

1. Analyse du contenu et de l’intention

Soyez attentif aux signes d’alerte : modification de coordonnées bancaires sur une facture, demande de paiement urgente, alerte concernant une connexion non autorisée, demande de réinitialisation de mot de passe ou invitation à partager un fichier. Ces éléments peuvent signaler une tentative de fraude financière. Les modèles d’analyse de contenu contribuent à mieux comprendre les messages en examinant le langage, le ton et le degré d’urgence. Ils peuvent repérer les demandes suspectes d’identifiants, les tentatives d’usurpation d’identité et les formulations inhabituelles.

Cette analyse est particulièrement importante face au phishing généré par l’IA. Une grammaire irréprochable n’est plus un signe de légitimité. Le filtre Targeted Fraud Forensics Filter (TFFF) de Hornetsecurity, par exemple, vise à classifier le scénario de fraude associé à un message, fraude au fournisseur, fraude à la paie ou fraude au président, afin de fournir un verdict plus exploitable qu’une simple étiquette « suspect ».

2. Analyse du contexte relationnel et du graphe social

Une demande de modification de coordonnées bancaires peut sembler relever d’une procédure courante, mais elle doit inciter à la prudence. Si vous ne connaissez pas la personne, si sa demande paraît inhabituelle ou si sa manière de communiquer vous semble différente, ce sont autant de signaux d’alerte possibles.

Rester attentif à ces indices et se fier à son intuition peut aider à prévenir la fraude et à renforcer sa sécurité. Nous recommandons de contacter la personne ou l’organisation à l’origine de la demande par un autre canal que l’e-mail, par exemple par téléphone, afin d’en vérifier l’authenticité.

La compromission de messagerie professionnelle (BEC, pour Business Email Compromise) et la fraude aux fournisseurs sont souvent liées à la complexité des relations humaines plutôt qu’à des problèmes de communication.

Social Graph de Hornetsecurity apporte cette mémoire relationnelle. Il cartographie les échanges habituels et signale les premiers contacts, les métadonnées inhabituelles et les écarts par rapport aux habitudes établies.

3. Corrélation des signaux dans l’ensemble du message

Un verdict pertinent doit rendre la chaîne d’indices compréhensible, par exemple :

L’explicabilité est essentielle : elle accélère le triage et améliore la prise de décision concernant les politiques de sécurité.

4. Vision par IA des logos, captures d’écran, QR codes et usurpations visuelles

Les cybercriminels utilisent de plus en plus les images pour dissimuler des informations importantes ou inciter les utilisateurs à consulter de faux sites qui imitent des marques connues. Une analyse limitée au texte risque de passer à côté d’éléments clés, comme un QR code, une fausse page de connexion intégrée à une image ou une page web qui imite étroitement Microsoft 365.

Hornetsecurity évalue les sites de destination en examinant leurs éléments visuels : logos, formulaires de connexion, composants graphiques et mises en page trompeuses.

5. Renseignements mondiaux sur les menaces et protection avant livraison

Une campagne en cours contre une organisation peut déjà avoir été repérée ailleurs. Les données de télémétrie entre différents environnements permettent de détecter rapidement les domaines, URL et modèles de messages récurrents. Les contrôles avant livraison peuvent alors bloquer les menaces avant toute intervention de l’utilisateur.

Cette approche est particulièrement utile aux MSP et MSSP : elle assure une protection cohérente entre les différents environnements clients, sans nécessiter de modifications manuelles. Une télémétrie étendue ne remplace pas le contexte propre à chaque client, mais elle renforce les défenses locales et améliore la fiabilité des services fournis par les MSP et les MSSP.

6. Apprentissage continu et boucles de retour d’information

Les entreprises qui s’appuient sur l’apprentissage adaptatif sont mieux armées pour faire face aux menaces inattendues. Comme les attaques par e-mail évoluent rapidement, les mécanismes de détection doivent être constamment actualisés et ne peuvent reposer sur un entraînement ponctuel. Les décisions des analystes, les signalements des utilisateurs, les résultats du bac à sable, les données sur les campagnes ainsi que les faux positifs ou faux négatifs confirmés doivent contribuer à améliorer la réputation et les méthodes de détection.

Les attaques que l’IA à plusieurs niveaux détecte le mieux

L’IA à plusieurs niveaux est particulièrement utile pour détecter différents types d’attaques : tentatives de phishing utilisant de fausses pages de connexion ou des QR codes, fraudes par e-mail visant les entreprises et usurpation de l’identité de dirigeants. Elle aide aussi à repérer les attaques ciblant les fournisseurs et les prestataires, les prises de contrôle de comptes, le phishing interne depuis des boîtes aux lettres compromises, ainsi que les logiciels malveillants diffusés par de nouvelles méthodes ou au moyen d’URL changeantes.

Cette approche améliore également la protection contre les spams et les menaces courantes. Mais le véritable défi n’est pas le spam ordinaire : c’est un message d’apparence légitime, envoyé depuis un compte réel au sein d’une conversation familière, qui demande une action inhabituelle. C’est là que le contenu, le contexte et la corrélation doivent fonctionner de concert.

---

Comment l’approche de Hornetsecurity réunit ces différentes couches

Notre approche de l’IA relie des technologies spécialisées tout au long du processus de protection :

• TFFF analyse l’intention frauduleuse ; 
• Social Graph vérifie la relation professionnelle ; 
• l’AI Correlation Engine combine des centaines de signaux techniques et contextuels ; 
• IsItPhishing AI inspecte visuellement les pages de destination ; 
• l’AI Email Security Analyst aide les utilisateurs et les administrateurs à comprendre pourquoi un message a été jugé sûr, suspect ou malveillant. 

Il faut voir cet ensemble comme une architecture plutôt que comme une simple liste de produits : les contrôles avant livraison permettent une détection plus précoce, l’analyse des relations améliore la détection des attaques BEC, la corrélation évite d’isoler les signaux et des résultats explicables accélèrent les investigations.

Pour Microsoft 365, 365 Total Protection regroupe la sécurité des e-mails, la sauvegarde, la conformité, la gestion des autorisations et la sensibilisation à la sécurité. 

Advanced Threat Protection ajoute des fonctionnalités telles que le filtrage avancé, le sandboxing, la détection des attaques ciblées et le traitement des menaces inconnues. Cette approche simplifie la protection contre les risques, sans devoir s’appuyer sur des outils d’IA distincts. 

Découvrez la sécurité des e-mails par IA à plusieurs niveaux

Prêt à aller au-delà d’une fonctionnalité d’IA isolée ? Planifiez une démonstration pour découvrir comment Hornetsecurity peut mettre en place une protection intégrée et multicouche de votre environnement Microsoft 365. 

L’IA est une architecture de protection, pas une fonctionnalité

Les modèles d’IA élémentaires peinent à traiter les attaques qui combinent texte, identité, relations, astuces visuelles, détournement d’infrastructures et techniques d’évasion des logiciels malveillants. La meilleure sécurité des e-mails fondée sur l’IA agit comme un système nerveux réactif : elle détecte les premiers signes d’alerte et gagne en précision à mesure qu’elle recueille des informations.

L’approche de Hornetsecurity fournit aux équipes chargées de la sécurité Microsoft 365 une protection multicouche, explicable et en apprentissage continu contre les menaces avancées. Les attaques modernes par e-mail ne sont plus unidimensionnelles ; vos défenses ne devraient pas l’être non plus.