En 2025, les arnaques en cybersécurité n’ont pas seulement “évolué” : elles se sont professionnalisées. Là où, il y a quelques années, on repérait facilement un email truffé de fautes et une URL bizarre, les escroqueries actuelles se fondent dans nos usages quotidiens : QR codes dans la rue, messages courts qui ressemblent à une notification officielle, appels vocaux crédibles grâce à l’IA, ou encore fausses plateformes d’investissement parfaitement copiées sur des services légitimes. Les cybercriminels exploitent une réalité simple : nous vivons dans un monde où l’attention est rare, la confiance est distribuée rapidement, et où les outils d’intelligence artificielle rendent la tromperie scalable.

Cet article présente les arnaques les plus connues et les plus marquantes en 2025, en expliquant leur mécanique, pourquoi elles fonctionnent, et surtout comment vous protéger efficacement — à titre individuel comme en entreprise. Les tendances décrites ici s’observent à grande échelle dans les rapports et analyses publiés en 2025, notamment sur l’explosion du phishing dopé à l’IA, des QR scams et de l’extorsion numérique sous toutes ses formes. ReliaQuest+3Tom’s Guide+3Securelist+3

1) Le phishing 2025 : plus intelligent, plus personnel, plus multi-canal

Le phishing reste l’arnaque numéro un, mais sa forme a changé. En 2025, il n’est plus principalement “email”. Il devient une attaque multi-canal, où l’escroc vous touche par plusieurs voies en même temps : email, SMS, WhatsApp/Telegram, faux support sur réseaux sociaux, et parfois même un appel qui arrive au bon moment pour “finaliser” la manipulation. Des analystes décrivent aussi l’usage croissant d’outils techniques pour masquer la destination réelle des liens (Blob URLs, redirections, pages traduites automatiquement, etc.), ce qui complique les contrôles classiques. Securelist

Ce qui fait la force du phishing en 2025, c’est la qualité du texte et du contexte. Grâce à l’IA générative, les messages sont mieux écrits, adaptés au ton d’une marque, et parfois personnalisés : votre prénom, votre entreprise, votre poste, un projet en cours, ou un service que vous utilisez réellement. La frontière entre un vrai message et un faux se réduit, et c’est exactement ce que recherchent les attaquants.

Pourquoi ça marche ?
Parce que la plupart des gens ne se font pas piéger par naïveté, mais par surcharge mentale. On clique parce qu’on est pressé, parce que le message imite un workflow (facture, livraison, RH, support), ou parce qu’on a peur (compte suspendu, paiement en attente, sécurité compromise). Le phishing exploite l’urgence et la conformité.

Conseils de protection (anti-phishing nouvelle génération)

La protection efficace en 2025 consiste moins à “repérer les fautes” qu’à adopter des mécanismes robustes :

• Ne jamais valider une demande sensible via le canal d’origine. Si un email vous demande d’ouvrir un document ou de payer une facture, passez par votre portail habituel ou appelez via un numéro officiel (pas celui du message).
• Considérez tout lien comme hostile tant que vous ne l’avez pas vérifié. La bonne pratique est de se reconnecter au service via un favori enregistré ou une URL tapée manuellement.
• Activer des protections d’identité modernes : passkeys ou clés FIDO2 lorsque possible, et MFA bien configuré (voir section MFA).
• Former régulièrement : une formation unique par an ne suffit plus. Les arnaques changent trop vite ; l’éducation doit être continue et contextualisée.

2) Les QR codes piégés (“quishing”) : l’arnaque ultra-simple qui explose

Le “quishing” (QR code phishing) est devenu l’un des scams les plus visibles en 2025, car il se greffe sur une habitude devenue banale : scanner un QR code pour payer, stationner, accéder à un menu, ou obtenir une info. Les attaquants collent un sticker par-dessus un QR légitime, ou placent un faux QR dans un lieu public. Le scan renvoie vers une page qui imite un service bancaire, un portail de paiement, ou une page de connexion. Les autorités et les médias ont rapporté une forte hausse et des avertissements officiels, tant la méthode est peu coûteuse et très rentable. Tom’s Guide

Pourquoi ça marche ?
Parce qu’un QR code est opaque : vous ne “voyez” pas l’URL avant de scanner, et beaucoup de personnes font confiance au contexte (parking, affiche, restaurant). Le lieu crédibilise le piège.

Conseils de protection (anti-QR fraud)

• Avant de scanner, inspectez physiquement : un sticker collé, une couche superposée, un QR abîmé ou suspect, ce sont des signaux d’alerte.
• Après le scan, lisez l’URL affichée : beaucoup de smartphones affichent un aperçu. Prenez 3 secondes pour vérifier le domaine.
• Évitez les QR pour des actions critiques (paiement, login, mise à jour). Préférez le site officiel ou l’app officielle.
• En entreprise, sensibilisez sur le fait qu’un QR code n’est pas “plus sûr” qu’un lien : c’est un lien compressé.

3) Les SMS frauduleux (“smishing”) : péages, livraisons, amendes, comptes bloqués

Le smishing est l’arnaque la plus “industrielle”. En 2025, des campagnes massives ont ciblé les utilisateurs avec de faux messages liés à des péages (“toll”), des livraisons, des amendes, ou des comptes suspendus. Ces messages contiennent presque toujours un lien vers un site de phishing conçu pour voler des données ou déclencher un paiement. Certains bilans 2025 soulignent une explosion marquée de ce type de scam sur des thématiques de la vie quotidienne. Tom’s Guide

Pourquoi ça marche ?
Parce que le SMS est perçu comme plus “direct” et parfois plus crédible qu’un email. Et parce qu’il vise des situations banales : qui n’attend pas un colis, qui n’a pas déjà eu une notification de paiement ?

Conseils de protection (anti-smishing)

• Ne cliquez jamais sur un lien reçu par SMS pour une action financière.
• Allez directement sur l’app officielle (poste/livreur/banque) au lieu de passer par le lien.
• Vérifiez l’expéditeur : les numéros courts, les formats étranges, ou les expéditeurs inconnus sont un red flag.
• Bloquez et signalez : la réaction collective réduit la rentabilité des campagnes.

4) L’usurpation par IA : voix clonée, faux CEO, deepfakes et messages “parfaits”

L’IA a dopé l’arnaque d’usurpation d’identité. En 2025, l’escroc peut générer un message écrit impeccable, simuler un échange sur WhatsApp, produire un deepfake vidéo, ou cloner une voix à partir de quelques secondes d’audio public. Plusieurs analyses et synthèses 2025 mettent en avant la montée de ces attaques d’impersonation dopées à l’IA, notamment dans la fraude financière et le social engineering. Tom’s Guide+1

Ce type d’attaque vise souvent :

• les particuliers (arnaques “un proche a besoin d’argent”),
• les entreprises (fraude au président, faux dirigeant, faux avocat),
• ou les services support (faux employé qui demande une réinitialisation).

Pourquoi ça marche ?
Parce que la preuve “j’ai entendu la voix” ou “j’ai vu la vidéo” n’est plus une preuve en 2025. Et parce que l’urgence émotionnelle est l’arme principale : peur, honte, compassion, obligation hiérarchique.

Conseils de protection (anti-deepfake / anti-impersonation)

• Installez une règle de vérification hors-bande : toute demande financière doit être confirmée via un canal différent (appel sur numéro connu, confirmation interne).
• Utilisez un mot de passe familial / code phrase, utile contre les arnaques “voix d’un proche”.
• En entreprise, mettez une politique stricte : aucune opération sensible sur simple message vocal, même si “ça ressemble au CEO”.
• Réduisez l’exposition de voix/vidéos publiques quand c’est possible (ou au moins sensibilisez qu’elles peuvent servir à cloner).

5) Les arnaques à l’investissement “Pig Butchering” : romance + crypto + plateforme truquée

Le “pig butchering” (ou “Sha Zhu Pan”) est l’une des fraudes les plus destructrices, parce qu’elle est lente, psychologique et extrêmement rentable. Elle combine romance (ou amitié), manipulation émotionnelle, puis investissement sur une fausse plateforme de crypto ou de trading. Des organismes officiels, dont des services publics, alertent explicitement sur ces schémas : faux sites, faux témoignages, faux conseillers, et scénarios d’enrichissement rapide. secretservice.gov+1

Le principe est simple : l’escroc “groom” la victime pendant des semaines, parfois des mois. Puis il introduit un investissement “secret”, une opportunité “insider”, ou une plateforme “exclusive” où les chiffres montent… jusqu’au moment où la victime veut retirer l’argent. Là, les frais, les taxes, les “verifications” s’accumulent — et l’argent ne reviendra jamais.

Pourquoi ça marche ?
Parce que l’arnaque n’est pas seulement financière : elle est affective. Et parce que les plateformes peuvent être très bien conçues, avec des dashboards crédibles. En 2025, elles intègrent parfois du deepfake, des chats IA, et une mise en scène quasi professionnelle. TORALYA

Conseils de protection (anti-scam investissement/romance)

• Refusez l’idée d’un investissement initié par une relation en ligne, même sympathique et longue. C’est un pattern majeur.
• Vérifiez l’existence légale de la plateforme : société, régulation, avis d’autorités, historique du domaine.
• Testez la sortie : si vous mettez de l’argent (idéalement vous ne le faites pas), essayez de retirer immédiatement une petite somme. Les fraudes bloquent souvent la sortie.
• Parlez-en : le pig butchering prospère sur la honte et le secret.

6) Le contournement du MFA : “MFA fatigue”, “push bombing” et vol de jetons de session

Beaucoup pensent que le MFA (double authentification) est un bouclier absolu. En 2025, ce n’est plus vrai. Les attaquants ne cherchent plus seulement le mot de passe : ils cherchent à contourner le MFA via la fatigue (push notifications répétées), la tromperie (“je suis le support IT”), ou le vol de jetons de session via des proxys de phishing (Evilginx/EvilProxy et variantes). Des analyses d’incidents et de SOC décrivent précisément ces scénarios : phishing initial, puis récupération ou contournement de la validation MFA, jusqu’à l’accès complet. FRSecure+2CyberProof+2

Pourquoi ça marche ?
Parce que le push MFA est conçu pour être facile. Et parce qu’un humain finit par cliquer “Accepter” après 15 notifications, surtout si quelqu’un l’appelle en se faisant passer pour le support.

Conseils de protection (anti-MFA bypass)

• Abandonner le “push approve” seul dès que possible : privilégier FIDO2, passkeys, ou une authentification résistante au phishing.
• Activer le “number matching” (validation avec code) si disponible.
• Former une règle mentale : si je reçois une notification MFA que je n’ai pas initiée, c’est une attaque.
• En entreprise, surveiller les signaux : échecs répétés, prompts de MFA en rafale, connexions anormales, demandes helpdesk suspectes.

7) La fraude au mail professionnel (BEC) : factures, changements d’IBAN, faux fournisseurs

Le BEC (Business Email Compromise) est un classique, mais il est toujours là, et il reste extrêmement lucratif. Il ne nécessite pas forcément de malware : un accès mail, une usurpation, ou un domaine très proche suffit. Les opérations policières et bilans de cybercriminalité en 2025 citent encore le BEC parmi les crimes majeurs, preuve de sa persistance et de son efficacité. Tom’s Hardware

Le scénario typique : une facture “mise à jour”, un changement d’IBAN, un “paiement urgent”, ou un email d’un dirigeant demandant discrétion et rapidité. L’attaquant exploite les process comptables et le manque de vérification systématique.

Conseils de protection (anti-BEC)

• Mettre une procédure stricte de validation pour tout changement de coordonnées bancaires : rappel du fournisseur via numéro officiel, double validation interne.
• Séparer les rôles : celui qui valide ne doit pas être celui qui exécute.
• Utiliser des règles anti-spoofing (SPF/DKIM/DMARC) et surveiller les domaines proches.
• Former les équipes finance : ce sont les cibles numéro un, pas “les techniciens”.

8) Le ransomware et l’extorsion : la menace qui se diversifie (vol de données, pression, fuite)

En 2025, le ransomware n’est plus seulement “on chiffre vos fichiers”. Il devient un modèle économique d’extorsion qui inclut le vol de données, la menace de publication, la pression juridique et réputationnelle, et parfois la perturbation opérationnelle pure. Des rapports de threat intelligence montrent une fragmentation des groupes, une multiplication des sites de fuite et une intensité soutenue des attaques. Unit 42+1

On voit aussi la montée d’attaques liées à des vulnérabilités enterprise et supply chain, comme l’illustrent des cas très médiatisés en 2025. TechRadar

Pourquoi ça marche ?
Parce que la donnée vaut plus que l’accès. Même si vous restaurez des backups, l’attaquant peut vous faire du chantage avec les informations volées. Et parce que beaucoup d’organisations ne savent pas détecter l’exfiltration à temps.

Conseils de protection (anti-ransomware / anti-extorsion)

• Avoir des sauvegardes isolées (offline/immutables) et testées régulièrement.
• Réduire les privilèges : la plupart des dégâts viennent d’un compte trop puissant.
• Surveiller l’exfiltration : DLP, logs, EDR, comportements anormaux réseau.
• Plan de crise : décider à l’avance qui fait quoi (IT, juridique, communication, direction) réduit la panique, donc réduit l’efficacité du chantage.

9) Les scams via messageries (Telegram, WhatsApp, réseaux sociaux) : l’ingénierie sociale partout

Les messageries sont devenues un terrain de chasse majeur. Elles sont rapides, informelles, et les gens y sont moins “en mode sécurité” que sur un email. Les analyses 2025 mentionnent explicitement l’usage croissant de plateformes de messagerie comme vecteurs de phishing et d’escroqueries. Securelist

Le mécanisme : faux support, faux collègue, faux recruteur, faux service client. On vous pousse à cliquer, à installer, à payer, ou à donner un code.

Conseils de protection (anti-messaging scams)

• Ne jamais transmettre de code (OTP, MFA, codes de confirmation) à quelqu’un. Jamais.
• Vérifier l’identité par un canal différent : appel, email officiel, LinkedIn confirmé.
• Refuser les installations “d’urgence” : AnyDesk, TeamViewer, APK, etc. sont souvent utilisés dans les fraudes.
• En entreprise, définir une règle : la messagerie n’est pas un canal pour les décisions financières.

Conclusion : vers 2026, que faut-il anticiper ?

Si 2025 a un message central, c’est celui-ci : la cyber-arnaque ne dépend plus uniquement de la technologie, mais de la psychologie amplifiée par la technologie. En 2026, il est probable que les attaques continuent dans trois directions majeures.

D’abord, l’authenticité des contenus (voix, vidéo, texte) sera de moins en moins fiable. L’usurpation IA va se banaliser, et la notion de “preuve” devra passer par des mécanismes plus solides que “ça ressemble à sa voix”. Les organisations auront intérêt à institutionnaliser des procédures de vérification hors-bande et des règles de validation non négociables.

Ensuite, l’identité restera le champ de bataille principal. Les mots de passe continueront d’être contournés. Le MFA classique restera attaqué par fatigue, proxys et vol de session. La tendance de fond va vers des solutions résistantes au phishing (passkeys, FIDO2, politiques d’accès conditionnel), mais le facteur humain restera déterminant. FRSecure+2CyberProof+2

Enfin, l’extorsion deviendra plus “stratégique”. Le ransomware et la fuite de données ne viseront plus seulement le chiffrement mais la pression réputationnelle, réglementaire, et commerciale. Le nombre élevé de groupes et la fragmentation des leak sites observés en 2025 laissent penser que la menace restera diffuse et constante. ReliaQuest+1

La meilleure approche pour 2026 n’est pas d’essayer de connaître toutes les arnaques une par une, mais de renforcer trois réflexes universels : ralentir quand une demande est urgente, vérifier l’identité hors du canal d’origine, et réduire l’impact d’un incident via des mécanismes de sécurité solides (authentification forte, sauvegardes testées, segmentation, surveillance). La cyber-résilience n’est pas une posture technique : c’est une discipline, à la fois individuelle et organisationnelle.