Pourquoi le phishing migre vers WhatsApp — et pourquoi la simulation limitée à l'e-mail passe à côté

Ceci est une analyse d'une évolution documentée dans les rapports publics sur la menace — l'Évaluation des cybermenaces en Afrique d'INTERPOL (2024), les recherches de la GSMA sur l'industrie mobile et les avis de protection des consommateurs émis par des régulateurs et banques africains — et non le récit d'un incident particulier.

Le schéma

Les programmes de sécurité ont été bâtis autour de l'e-mail parce que c'est là que vivait la communication professionnelle. Dans une grande partie de l'Afrique, ce n'est plus exclusivement le cas. Les messageries — WhatsApp en tête — portent une large part des vraies conversations d'affaires : coordination avec les fournisseurs, groupes d'équipe internes, service client, jusqu'aux confirmations de paiement. Les attaquants suivent l'attention, et les rapports le reflètent : l'évaluation 2024 d'INTERPOL souligne la place des escroqueries en ligne propagées par les messageries et les réseaux sociaux, et les banques et régulateurs du continent publient un flux constant d'alertes sur les usurpations de dirigeants, de services RH et de supports clients via WhatsApp.

Les raisons structurelles favorisent l'attaquant. Un message WhatsApp arrive avec une photo de profil et un prénom, sur un appareil personnel, hors de portée de toutes les passerelles de sécurité e-mail que l'organisation a achetées. Pas de dossier spam, pas de bannière « expéditeur externe », pas de copie à l'équipe sécurité. Et la culture du canal est la vitesse : on attend une réponse en quelques minutes — précisément la pression dont l'ingénierie sociale a besoin.

Comment cela se déroule

Les leurres documentés transposent fidèlement le phishing par e-mail dans la conversation instantanée :

Usurpation de dirigeant. Un message d'un numéro inconnu avec la photo du PDG : « Je suis en réunion, j'ai besoin que vous traitiez quelque chose discrètement. » La demande escalade d'une simple réponse vers des cartes cadeaux, des approbations de paiement ou la divulgation d'identifiants.

Faux RH et faux support informatique. Mises à jour de paie, formulaires d'avantages, « vérifications de sécurité » qui conduisent un employé à approuver une demande MFA ou à partager un code — y compris le code de vérification WhatsApp lui-même, qui permet à l'attaquant de détourner le compte et de pivoter vers tous les groupes de la victime.

Escroqueries à l'emploi et aux marchés. Offres frauduleuses et invitations à des appels d'offres qui collectent des données personnelles ou des frais anticipés, en usurpant fréquemment des employeurs africains connus.

Chaînes de détournement de comptes. Chaque compte compromis amorce le suivant : les messages proviennent désormais d'un contact réellement connu, ce qui met totalement en échec le réflexe « est-ce que je connais cet expéditeur ? ».

Qui est ciblé

Toute personne disposant d'un téléphone — ce qui, contrairement à l'e-mail, signifie véritablement toute l'organisation, y compris le personnel de terrain, les chauffeurs, les agents et les employés de première ligne qui n'ont parfois même pas de boîte professionnelle. Le personnel financier et les assistants de direction restent les cibles les plus précieuses, mais le point d'entrée est souvent le collègue le moins protégé.

Briser le schéma

  • Étendez la sensibilisation au-delà de la boîte de réception. Le personnel doit reconnaître l'usurpation de dirigeant et les escroqueries au code de vérification aussi sûrement qu'un e-mail de phishing.
  • Fixez une politique de canal : les instructions de paiement et les demandes d'identifiants ne sont jamais valables via WhatsApp, point final — et faites-la connaître pour que le refus soit sûr.
  • Enseignez l'hygiène des codes : le code de vérification WhatsApp ne se partage avec personne, y compris le « support ».
  • Offrez un canal de signalement pour les messages suspects reçus sur appareils personnels, et traitez chaque signalement comme une victoire.
  • Testez le canal que vous utilisez réellement. Si vos simulations sont limitées à l'e-mail, vos indicateurs mesurent une part décroissante de votre exposition réelle.

Sources

  • INTERPOL, Évaluation des cybermenaces en Afrique (2024)
  • GSMA, recherches sur l'industrie mobile et le mobile money (2024)
  • Avis publics de banques, opérateurs télécoms et régulateurs africains de protection des consommateurs

Parce que cet angle mort est réel, AfriPhish propose la simulation via WhatsApp aux côtés de l'e-mail, afin que votre programme mesure le canal que vos équipes utilisent vraiment — et notre évaluation gratuite de maturité du risque humain vous montrera par où commencer.