Le phishing dans le secteur des services financiers : tendances des attaques, coûts et mesures de défense en 2026

Le secteur des services financiers est l'un des secteurs les plus réglementés, les plus contrôlés et les plus avancés en matière de sécurité au monde. Il continue pourtant, trimestre après trimestre, d'enregistrer l'une des parts les plus importantes du volume mondial d'hameçonnage parmi tous les secteurs.

Alors que les banques, les assureurs et les fintechs consacrent davantage de moyens aux mesures de sécurité que presque tous les autres acteurs en dehors du secteur public et de la défense, le phishing dans le secteur des services financiers continue d’entraîner des pertes retentissantes, des avertissements des autorités de régulation et la compromission de comptes clients. Les statistiques sur la cybersécurité dans les services financiers pour 2025 et 2026 montrent clairement que ce secteur n’est pas pris pour cible parce que ses défenses sont faibles. Il est pris pour cible parce qu’il est au plus près de l’argent, et que les attaquants se sont adaptés plus rapidement que la plupart des mesures de contrôle mises en place par les institutions.

Cet article explique pourquoi le secteur financier suscite autant d'intérêt, présente les types d'attaques spécifiques qui s'avèrent efficaces contre lui, évalue le coût de ces attaques en dollars vérifiés et à l'aide de cas concrets, et décrit à quoi ressemble une infrastructure de défense moderne à l'horizon 2026.

Pourquoi le secteur des services financiers est la cible n° 1 du hameçonnage

Dans le rapport 2025 de Verizon sur les enquêtes relatives aux fuites de données, qui a analysé 3 336 incidents de sécurité et 927 fuites confirmées dans le secteur de la finance et de l’assurance, le gain financier était le mobile principal dans 90 % des cas. Les attaques à des fins d’espionnage sont également en hausse dans ce secteur, passant de 5 % à 12 % d’une année sur l’autre, ce qui indique que des acteurs liés à des États s’intéressent désormais à ce secteur, aux côtés des criminels motivés par l’appât du gain. Les attaquants externes étaient responsables de 78 % des violations, et les intrusions dans les systèmes, l’ingénierie sociale et les attaques de base contre les applications web représentaient ensemble 74 % de l’ensemble des violations dans ce secteur.

Le rapport du premier trimestre 2025 de l'Anti-Phishing Working Group a recensé 1 003 924 attaques de hameçonnage au cours de cette période, soit le volume le plus élevé depuis fin 2023, et a révélé que les secteurs des paiements en ligne et des services financiers (bancaires) représentaient à eux deux 30,9 % de l'ensemble des attaques.

Le ciblage ne se limite pas non plus aux e-mails. Dans ce même ensemble de données du DBIR, le secteur financier était le plus ciblé par les attaques par déni de service de couches 3 et 4, en absorbant 35 % d’entre elles, devant l’industrie manufacturière et les services professionnels. Les attaquants exploitent tous les canaux menant à de l’argent ou à des données, et le phishing s’avère être le plus économique et le plus fiable d’entre eux.

Comment fonctionnent concrètement les attaques par hameçonnage contre les établissements financiers ?

Les conseils généraux en matière de hameçonnage ne reflètent pas fidèlement la manière dont le secteur financier est réellement touché. Les types d'attaques présentés ci-dessous sont ceux qui ressortent des données actuelles et des incidents réels.

Hameçonnage visant à obtenir des identifiants pour accéder aux services bancaires en ligne

Les fausses pages de connexion restent une technique d'attaque très répandue, visant aussi bien les clients que les employés. Il suffit qu'une petite partie des destinataires d'un clone convaincant d'un portail bancaire en ligne, diffusé via un domaine usurpé ou similaire, saisisse ses identifiants pour que l'attaquant obtienne l'accès au compte. Comme ces pages sont peu coûteuses à mettre en place et faciles à reproduire, elles constituent une menace constante en arrière-plan, même si des types d'attaques plus sophistiqués font la une de l'actualité.

Usurpation d'identité par e-mail professionnel et fraude par virement bancaire

Selon l’enquête « AFP Payments Fraud and Control Survey 2025 », parrainée par Truist, l’usurpation d’identité par e-mail professionnel (BEC) était le principal vecteur de fraude cité par 63 % des organisations en 2024, et les virements bancaires ont repris la première place en tant que moyen de paiement le plus fréquemment ciblé par les escrocs pratiquant le BEC. Les tactiques évoluent également : les escroqueries classiques par usurpation d’identité du PDG, dans lesquelles un fraudeur se fait passer pour un dirigeant et ordonne un virement urgent, ont reculé de 57 % à 49 % des incidents de BEC signalés, tandis que l’usurpation d’identité de fournisseur, où les attaquants se font passer pour un fournisseur légitime et redirigent un paiement, a augmenté pour atteindre 60 %. Les attaquants s’éloignent de l’autorité pour se tourner vers la confiance dans les relations commerciales existantes.

Le rapport 2024 du FBI sur la cybercriminalité fait état de 2,77 milliards de dollars de pertes liées à la fraude BEC, sur la base de 21 442 plaintes, soit une légère baisse par rapport aux 2,9 milliards de dollars enregistrés en 2023, ce qui porte le montant cumulé des pertes liées à la fraude BEC pour la période 2022-2024 à près de 8,5 milliards de dollars.

Pour en savoir plus sur le fonctionnement de ce type d'attaque, consultez notre guide expliquant ce qu'est le « Business Email Compromise » et en quoi il diffère du hameçonnage classique.

Hameçonnage vocal et hameçonnage par rappel téléphonique : usurpation d'identité de marques financières

Le « callback phishing », technique consistant à envoyer un e-mail ou un SMS frauduleux pour convaincre la victime d'appeler un numéro géré par le pirate, est devenu l'un des moyens privilégiés pour accéder aux comptes bancaires.

L'étude de Hoxhunt sur les tendances en matière de hameçonnage a révélé que 27,1 % des campagnes de hameçonnage par rappel téléphonique recensées entre fin 2025 et début 2026 usurpaient spécifiquement l'identité de marques du secteur des services financiers, soit plus que toute autre catégorie, PayPal, Venmo et les grandes banques de détail figurant parmi les noms les plus fréquemment usurpés. Ces campagnes font généralement miroiter une fausse facturation ou un problème de compte et poussent la victime à appeler immédiatement ; un opérateur humain la guide alors pour qu’elle lui communique ses identifiants ou ses codes d’accès à usage unique.

Hameçonnage généré par l'IA et « deepfake »

Il s’agit là du facteur de différenciation le plus marquant dans le paysage actuel des menaces. L’analyse réalisée par CybelAngel pour 2026 a révélé que 82,6 % des e-mails de hameçonnage détectés entre septembre 2024 et février 2025 avaient été générés par l’IA, soit une hausse de 53,5 % par rapport à l’année précédente. Par ailleurs, les données télémétriques recueillies par Darktrace auprès de sa clientèle du secteur financier ont enregistré 2,4 millions d’e-mails de hameçonnage au cours du premier semestre 2025, dont près de 30 % visaient spécifiquement des utilisateurs VIP, tels que des cadres dirigeants et des collaborateurs des services financiers disposant d’un pouvoir de décision en matière de paiement, plutôt que l’ensemble du personnel.

Cette tendance est significative : les pirates privilégient de plus en plus la qualité de leurs cibles plutôt que le simple volume. Le clonage vocal ajoute une dimension supplémentaire, comme en témoignent 2 025 incidents recensés au cours de l’année 2025, au cours desquels des employés de banque ont reçu des appels imitant de manière convaincante la voix d’un dirigeant autorisant un virement bancaire.

Prise de contrôle de compte via des identifiants piratés

La prise de contrôle de compte se distingue du schéma BEC décrit ci-dessus. Au lieu d’une seule perte importante et spectaculaire, elle se manifeste par de nombreuses tentatives automatisées de moindre ampleur. L'étude de Proof sur l'ATO, publiée dans le cadre de son analyse de la fraude de mai 2026, a montré que le montant moyen des demandes de décaissement frauduleuses était passé de 182 000 dollars en 2022 à 118 000 dollars en 2024, avec une prévision de 88 500 dollars d'ici 2026. Les fraudeurs semblent cibler délibérément des montants juste en dessous des seuils déclenchant un examen manuel dans de nombreuses institutions, privilégiant la fréquence et l’automatisation au détriment du montant.

Quel est le coût réel du hameçonnage dans le secteur financier ?

Selon CybelAngel, le coût moyen d'une fuite de données dans le secteur financier s'élève à 5,9 millions de dollars par incident, un chiffre qui n'inclut ni les sanctions réglementaires ni l'atteinte à la réputation. Si l'on ajoute à cela les 2,77 milliards de dollars de pertes annuelles liées à la fraude BEC mentionnées plus haut, on obtient un tableau caractérisé à la fois par des pertes importantes et concentrées, et par un flux constant de pertes plus modestes.

Crelan Bank, janvier 2016

Le cas le mieux documenté d’une institution financière ayant subi une perte financière due à une attaque de type BEC est également l’un des plus importants. Des fraudeurs se sont fait passer pour un cadre supérieur d’une banque belge ou ont piraté son compte de messagerie, et ont convaincu le service financier de transférer des fonds. Un audit interne a révélé par la suite qu’environ 70 millions d’euros, soit environ 75,8 millions de dollars, avaient disparu. Plusieurs médias de l’époque, dont Help Net Security, ont confirmé ce montant et le mode opératoire.

Cette affaire remonte à dix ans, mais le schéma qu’elle illustre – un e-mail urgent, rédigé en termes neutres et adressé à une personne disposant d’un pouvoir de décision en matière de paiement – reste aujourd’hui encore le principe de base de la fraude BEC.

Réseau de fraude à l'identité opérant dans le Massachusetts, le Connecticut et le Rhode Island

Une affaire plus récente, d’une ampleur bien moindre, met en évidence un schéma différent qui persiste au sein des institutions régionales. Les procureurs fédéraux ont inculpé, puis obtenu des aveux de culpabilité de la part de plusieurs prévenus qui avaient utilisé des noms de clients, des numéros de Sécurité sociale et des coordonnées bancaires volés pour créer de faux documents d’identité, avant de demander à des complices de se faire passer pour de véritables clients dans des agences bancaires afin de retirer des fonds.

Deux des prévenus ont plaidé coupables en mai 2026 dans le cadre d’un stratagème consistant à utiliser des identités volées pour retirer plus d’un million de dollars de comptes bancaires répartis dans ces trois États. Il ne s’agit pas d’une affaire de hameçonnage au sens classique du terme, mais cela illustre parfaitement ce qui se passe lorsque les données des clients se retrouvent dans la nature : elles sont détournées à des fins de fraude bancaire, souvent par un canal totalement différent de celui qui les a initialement exposées.

Marquis Software Solutions, 2025

En août 2025, une attaque par ransomware contre Marquis Software Solutions, un fournisseur proposant des outils d’analyse de données, de gestion de la relation client (CRM) et de conformité à des centaines de banques et de coopératives de crédit, a entraîné la divulgation de données personnelles et financières liées à au moins 74 établissements. Les notifications de violation déposées auprès des procureurs généraux des États à partir de décembre 2025 estiment le nombre de personnes concernées à plus de 400 000, certaines déclarations faisant même état d'un chiffre avoisinant les 780 000. Selon les informations de BleepingComputer, les attaquants auraient obtenu un premier accès en exploitant une faille dans le pare-feu du fournisseur plutôt que par hameçonnage.

Si cet incident est mentionné dans cet article, ce n’est pas parce qu’il s’agissait d’une attaque de hameçonnage en soi, mais parce que les numéros de Sécurité sociale et les données de compte volés lors de violations de ce type refont régulièrement surface quelques mois plus tard, servant de matière première à des tentatives ciblées d’hameçonnage et de prise de contrôle de compte visant ces mêmes clients.

Pourquoi cela continue-t-il de se produire dans l'un des secteurs les plus avancés en matière de sécurité ?

Le secteur des services financiers affiche l'un des taux d'adoption du protocole DMARC les plus élevés parmi tous les secteurs étudiés. Pourtant, la mise en œuvre du paramètre « p=reject » — qui bloque effectivement les e-mails usurpés au lieu de se contenter de les surveiller — reste encore insuffisante dans une grande partie des établissements, y compris chez certains des plus grands noms du secteur. Nous abordons en détail cet écart entre adoption et mise en œuvre dans notre article de blog consacré aux établissements financiers et au protocole DMARC.

Plusieurs raisons d'ordre structurel expliquent cet écart :

• Complexité opérationnelle : les grandes banques peuvent compter des centaines d'expéditeurs tiers légitimes, allant des fournisseurs de relevés bancaires et des plateformes marketing aux gestionnaires de prêts. Vérifier correctement l'identité de chacun d'entre eux avant de passer à la mise en application des mesures constitue une tâche considérable.
• Aversion au risque : les équipes de sécurité craignent souvent davantage de bloquer par erreur des e-mails légitimes, tels que des avis de paie ou des documents de prêt, que de combler la faille liée à l'usurpation d'identité, même lorsque des pirates l'exploitent activement.
• Hameçonnage basé sur l'IA : les attaques d'hameçonnage générées par l'IA évoluent plus rapidement que ne peuvent s'adapter de nombreux filtres de messagerie traditionnels. Les institutions qui s'appuyaient auparavant sur la détection des fautes de frappe et l'évaluation de la réputation doivent désormais recourir à des contrôles plus rigoureux, fondés sur l'authentification et le comportement.

Adoption et mise en œuvre du protocole DMARC dans le secteur des services financiers : une comparaison entre pays

Les régulateurs financiers du monde entier ont incité les banques à mettre en place le protocole DMARC. Mais ils sont bien moins nombreux à les avoir poussées à l’activer réellement. Cet écart entre l’adoption (disposer d’un enregistrement DMARC) et la mise en œuvre (configurer cet enregistrement sur « p=reject », ce qui bloque purement et simplement les e-mails usurpés au lieu de se contenter de les enregistrer) est la preuve la plus évidente que l’exposition du secteur au phishing relève autant d’un choix politique que technique.
Les rapports de PowerDMARC sur l’adoption de la sécurité des e-mails au niveau national présentent une ventilation par secteur. Voici comment se positionne le secteur financier sur sept marchés, d’après leur dernière analyse publiée :

Comment les établissements financiers peuvent-ils se protéger contre le phishing en 2026 ?

1. Appliquer DMARC

Configurez DMARC avec p=reject sur chaque domaine émetteur, y compris les domaines « parqués » et « défensifs », en complément d’SPF et de DKIM. Il s’agit désormais d’une exigence minimale de conformité autant que d’une mesure de sécurité. L'exigence 5.4.1 de la norme PCI DSS v4.0.1, obligatoire à compter du 31 mars 2025, impose la mise en place de processus et de mécanismes automatisés pour détecter et protéger le personnel contre le phishing. Les recommandations du PCI Security Standards Council citent d'ailleurs DMARC, l'SPF et DKIM comme exemples de contrôles. Notre guide sur la conformité des e-mails à la norme PCI DSS traite cette exigence plus en détail, et notre guide sur la règle de protection de la FTC (FTC Safeguards Rule ) aborde les attentes équivalentes pour les entreprises financières non bancaires.

2. Exiger une vérification des paiements hors bande

Exigez une vérification hors bande, impliquant plusieurs personnes, pour tout virement bancaire ou toute modification des détails de paiement, quelle que soit la crédibilité apparente de la demande. Ce simple dispositif de contrôle aurait permis d’éviter à la fois la perte subie par la Crelan Bank et le schéma d’usurpation d’identité de fournisseur qui, selon les données de l’enquête de l’AFP, supplante désormais la fraude classique au « CEO ».

3. Mettre en place un système d'authentification résistant au phishing

Plus précisément, FIDO2 ou les clés de sécurité matérielles, sur tout compte disposant d'une autorisation de paiement. Le vol d'identifiants et les attaques AiTM peuvent contourner les codes SMS et même certaines méthodes d'authentification multifactorielle (MFA) basées sur des applications. En revanche, ils ne peuvent pas contourner une authentification liée cryptographiquement au domaine légitime. Notre analyse de la « fatigue de la MFA » et du « push bombing » explique pourquoi les méthodes de MFA les plus faibles sont de plus en plus souvent contournées plutôt que piratées.

4. Mettre en place un système de détection du hameçonnage basé sur l'IA

Mettez en place des capacités de détection spécifiques pour le phishing généré par l'IA plutôt que de vous fier aux filtres traditionnels basés sur les signatures. Selon les données de l'enquête 2026 de l'AFP, seules 17 % des entreprises victimes de fraudes aux paiements en 2025 avaient déployé des défenses tenant compte de l'IA. Il existe donc un écart considérable entre la menace et la réponse apportée.

5. Mettre l'accent sur la formation du personnel

Il faut former le personnel aux schémas spécifiques à l'origine des pertes réelles, et non pas se contenter d'une sensibilisation générique au hameçonnage. La fraude au PDG, l'usurpation d'identité de fournisseurs et les scripts de hameçonnage par rappel téléphonique sont les schémas qui ressortent réellement des données ci-dessus. Une formation axée sur ces scénarios spécifiques s'avère bien plus efficace qu'un module annuel consistant à « repérer les e-mails de hameçonnage ».

6. Suivre l'exposition aux risques liés aux tiers et aux fournisseurs

L'affaire Marquis Software montre comment la compromission d'un seul fournisseur peut fournir aux pirates les données brutes nécessaires pour mener, pendant des mois, des tentatives de hameçonnage et de prise de contrôle de comptes à l'encontre de clients qui n'ont jamais eu de contact direct avec ce fournisseur.

Comment PowerDMARC aide les établissements financiers à combler cette lacune

Tout ce qui précède conduit à la même conclusion : le secteur des services financiers ne souffre pas d’un problème de visibilité. La plupart des institutions sont déjà en mesure d’identifier les auteurs d’usurpation de leur domaine. Ce qui leur fait défaut, c’est un moyen rapide et peu risqué de passer de cette visibilité à une action concrète, ainsi que la protection au niveau de la couche de transport qui va de pair.

PowerDMARC a été spécialement conçu pour combler cette lacune pour les banques, les coopératives de crédit, les assureurs et les fintechs :

• Migration guidée vers p=reject : le passage de la surveillance à l'application des règles est l'étape qui freine la plupart des institutions, par crainte de bloquer des e-mails légitimes. PowerDMARC automatise l'application des règles dans un environnement sécurisé et guidé, offrant une visibilité continue sur l'ensemble de vos canaux de messagerie.
• SPF Optimisation des enregistrements : les grandes institutions financières dépassent régulièrement la limite de 10 requêtes DNS dès lors que l'on prend en compte tous les fournisseurs tiers, ce qui constitue précisément le type de défaillance silencieuse qui empêche la livraison des e-mails légitimes. PowerSPF compresse automatiquement ces enregistrements afin que l'authentification ne soit pas compromise à mesure que la liste des fournisseurs s'allonge.
• MTA-STS et TLS-RPT hébergés : comme le montrent les données par pays ci-dessus, pratiquement aucune institution financière, où qu’elle se trouve, n’a comblé cette lacune en matière de chiffrement au niveau de la couche de transport. Le service MTA-STS hébergé de PowerDMARC achemine automatiquement les e-mails entrants vers des canaux chiffrés, sans nécessiter la gestion manuelle des fichiers de règles qui empêche la plupart des équipes de s’y attaquer.
• Harmonisation réglementaire : l’exigence 5.4.1 de la norme PCI DSS v4.0.1, les attentes de la « Safeguards Rule » de la FTC et les cadres réglementaires équivalents sur d’autres marchés convergent tous vers le même ensemble de mesures de contrôle en matière d’authentification des e-mails et de lutte contre le phishing. La suite complète d’authentification des e-mails de PowerDMARC est conçue pour faciliter directement la mise en conformité.
• Informations sur les menaces permettant d'identifier les risques dans le secteur financier : les failles chez les fournisseurs, comme l'incident survenu chez Marquis Software, montrent comment des données compromises peuvent être réutilisées plusieurs mois plus tard dans le cadre d'attaques de hameçonnage ciblées. Nos informations sur les menaces DMARC détectent les tentatives d'usurpation liées à votre marque avant qu'elles n'atteignent la boîte de réception de vos clients.

Découvrez où en est votre établissement à l'heure actuelle. Testez votre domaine à l'aide de l'outil gratuit « Domain Analyzer » pour obtenir un aperçu instantané de votre niveau de conformité actuel en matière d'SPF, de DMARC et de MTA-STS !

Le bilan

Le secteur des services financiers n’est pas la cible du phishing parce qu’il manque de vigilance. Il est visé parce que c’est là que se trouve l’argent, et en raison des types d’attaques qui le menacent actuellement, telles que les leurres générés par l’IA, le phishing par rappel téléphonique et l’usurpation d’identité de fournisseurs. Ces menaces évoluent plus rapidement que les défenses de la plupart des institutions. Le taux d’adoption élevé du protocole DMARC dans ce secteur, mais son faible taux d’application, illustre bien l’écart qui existe entre la mise en place d’un dispositif de contrôle et son utilisation effective pour bloquer les menaces.

Foire aux questions

Pourquoi le secteur financier est-il le plus visé par le hameçonnage ?

Selon le rapport DBIR 2025 de Verizon, le gain financier est le mobile de près de 90 % des violations de données dans ce secteur, car les identifiants volés et les tentatives réussies de fraude par virement bancaire se traduisent directement par des gains financiers. Les établissements financiers se trouvent également au cœur des flux de paiement légitimes, ce qui offre aux attaquants une couverture plausible pour pratiquement n’importe quelle demande.

Quelle est la différence entre le « phishing » et la « compromission des e-mails professionnels » ?

Le « phishing » est un terme générique désignant toute tentative visant à inciter une personne, par la ruse, à divulguer ses identifiants ou à cliquer sur un lien malveillant. L'usurpation d'identité par e-mail professionnel (Business Email Compromise) est une forme spécifique et généralement plus ciblée de phishing qui consiste à se faire passer pour une personne de confiance, souvent un dirigeant ou un fournisseur, afin de détourner un paiement légitime ou un transfert de données sensibles.

Quel est le coût du phishing et des escroqueries de type BEC pour les établissements financiers ?

Le rapport 2024 du FBI sur la cybercriminalité fait état de 2,77 milliards de dollars de pertes liées aux escroqueries de type BEC, sur la base de 21 442 plaintes déposées rien qu'aux États-Unis. CybelAngel estime quant à lui que le coût moyen d'une fuite de données dans le secteur financier s'élève à 5,9 millions de dollars par incident, sans compter les sanctions réglementaires.

Qu'est-ce que le « vishing » ou « callback phishing », et pourquoi cible-t-il spécifiquement les banques ?

Le « callback phishing » consiste à utiliser un e-mail ou un message frauduleux pour inciter la victime à appeler un numéro de téléphone, où un opérateur humain la persuade ensuite de communiquer ses identifiants ou des codes à usage unique. Les établissements financiers sont les plus souvent pris pour cible dans les données actuelles relatives au « callback phishing », car une fausse alerte à la fraude émanant d’une banque crée un sentiment d’urgence facile à exploiter.

Le protocole DMARC peut-il empêcher les attaques de hameçonnage visant une institution financière ?

DMARC empêche les pirates d'usurper votre propre domaine dans les e-mails envoyés à vos clients et partenaires, ce qui élimine un vecteur majeur d'hameçonnage. Il ne bloque toutefois pas toutes les attaques d'hameçonnage, notamment celles qui utilisent des domaines similaires ou qui ciblent directement les boîtes de réception de vos clients ; il est donc plus efficace lorsqu'il s'inscrit comme un maillon d'une stratégie de défense plus globale.

Quelle est la mesure de protection la plus efficace contre les attaques de type BEC dans le secteur des services financiers ?

La vérification hors bande, impliquant plusieurs personnes, pour toute demande de paiement ou de modification des détails d'un paiement, constitue le contrôle le plus directement lié à la prévention des pertes réelles liées au BEC, car elle élimine le point de défaillance unique sur lequel repose l'ingénierie sociale par e-mail.

• À propos de
• Derniers messages

Ahona Rudra

Expert en sécurité des domaines et des e-mails chez PowerDMARC

Ahona est la responsable du marketing chez PowerDMARC, avec plus de 5 ans d'expérience dans l'écriture sur des sujets de cybersécurité, spécialisée dans la sécurité des domaines et des courriels. Ahona est titulaire d'un diplôme de troisième cycle en journalisme et communication, solidifiant sa carrière dans le secteur de la sécurité depuis 2019.

Derniers messages de Ahona Rudra (voir tous)

• Le hameçonnage dans le secteur des services financiers : tendances des attaques, coûts et mesures de défense en 2026 - 7 août 2026
• Les meilleurs services de réputation des e-mails en 2026 - 6 août 2026
• Sécurité des fax : guide complet pour protéger les documents sensibles en 2026 - 30 juillet 2026