Le terme « VibeScamming » désigne un nouveau type d'opération frauduleuse dans laquelle les cybercriminels utilisent des outils d'IA basés sur le langage naturel pour créer, perfectionner et déployer une infrastructure frauduleuse avec un minimum de compétences techniques. Au lieu de créer manuellement des kits de hameçonnage, ils peuvent décrire ce qu’ils souhaitent en langage courant et laisser des outils assistés par l’IA générer des pages de connexion convaincantes, des flux de travail, du contenu à diffuser, voire des ressources prêtes à être hébergées.
Pour les défenseurs, cela change la donne. Le problème ne se limite plus aux codes malveillants ou aux sites web manifestement frauduleux.
Il s'agit de l'utilisation abusive d'automatisations de confiance, de workflows de développement légitimes et de techniques de tromperie basées sur l'identité, mises en œuvre à une vitesse telle qu'elles peuvent dépasser la capacité de réaction manuelle.
Table des matières
Pourquoi le « VibeScamming » est-il un sujet d'actualité ?
Lovable : un exemple récent illustrant l'évolution du « VibeScamming »
- En quoi le « VibeScamming » diffère-t-il du hameçonnage traditionnel ?
- À quoi peut ressembler une chaîne d'attaques de type « VibeScamming » ?
- Pourquoi les responsables de la sécurité devraient raisonner en termes d'exposition, et pas seulement en termes de pages
- Le point de vue de Tanium sur le risque lié au « VibeScamming »
- Ce que les équipes de sécurité devraient faire face au « VibeScamming »
- Questions pratiques concernant la chasse à la suite d'un incident présumé de « VibeScamming »
- Idées reçues courantes concernant le « VibeScamming »
- Les implications à long terme en matière de sécurité
- Foire aux questions sur VibeScamming
Qu'est-ce que le « VibeScamming » ?
D'une manière générale, VibeScamming est l'équivalent malveillant du « vibe coding » présenté sur . Dans le « vibe coding », un utilisateur décrit une application et un système d'IA l'aide à la créer. Dans le cadre du « VibeScamming », ce même schéma est détourné à des fins d'hameçonnage, de vol d'identifiants, d'usurpation d'identité et d'escroquerie.
Le changement majeur réside dans l'accessibilité. La mise en place d'une infrastructure de phishing classique nécessitait souvent au moins quelques connaissances pratiques en HTML, JavaScript, hébergement, redirections, capture d'identifiants et techniques de contournement. VibeScamming permet de réduire cet obstacle. Un cybercriminel peut tester différentes invites, demander des modifications de conception, affiner le parcours utilisateur et créer des pages destinées à l'escroquerie qui semblent suffisamment soignées pour tromper de vrais utilisateurs.
Dans la pratique, le « VibeScamming » peut notamment inclure :
- De faux portails de connexion imitant des applications professionnelles courantes
- Pages de collecte d'identifiants dotées d'une logique de redirection
- Contenu destiné aux SMS, aux e-mails ou aux réseaux sociaux, rédigé pour des cibles spécifiques
- Pages d'atterrissage frauduleuses hébergées sur des plateformes d'apparence légitime
- Interfaces de type administrateur permettant de consulter les données transmises concernant les victimes
- Des chaînes de prompts itératives qui améliorent le réalisme et réduisent les erreurs manifestes
Dans cet article, le terme « VibeScamming » désigne les opérations de hameçonnage et d'escroquerie assistées par l'IA, dans lesquelles les attaquants créent et adaptent rapidement du contenu, des pages et des flux de travail à l'aide de consignes.
Pourquoi le « VibeScamming » est-il un sujet d'actualité ?
L'IA est utilisée dans le cadre de la cybercriminalité depuis des années, et le rapport « 2025 Cost of a Data Breach » d'IBM a révélé qu'en moyenne, 16 % des violations de données (soit environ 1 sur 6) auraient impliqué des attaquants utilisant l'IA.
Plus récemment, certains outils ont facilité le passage de l'idée à la mise en œuvre. Lorsqu'une plateforme dotée d'une intelligence artificielle est capable de transformer une requête en une expérience Web fonctionnelle, le cycle de vie de l'attaque s'en trouve raccourci.
Cela est important pour trois raisons :
- Seuil de compétence réduit
Les pirates n'ont plus besoin d'être des développeurs très compétents pour créer des pages frauduleuses convaincantes. Ils ont besoin d'une volonté, d'une compréhension élémentaire de ce qu'il faut imiter et d'assez de persévérance pour tester les limites.
- Itération plus rapide
Les campagnes de phishing ont toujours évolué, mais VibeScamming réduit considérablement les cycles d'itération. Les pirates peuvent tester le contenu, modifier l'identité visuelle, changer les flux et reconstruire les pages rapidement après un retrait ou une détection. - « Abus de confiance »
Bon nombre de ces escroqueries peuvent être mises en place ou hébergées via des services qui semblent légitimes. Cela peut affaiblir les signaux de confiance traditionnels. Un nom de domaine soigné, une expérience utilisateur professionnelle et l'utilisation d'outils courants ne sont pas nécessairement le signe d'une intention bienveillante.
Lovable : un exemple récent illustrant l'évolution du « VibeScamming »
Ces dynamiques ne relèvent pas de la théorie. On les a déjà observés dans la nature.
Dans une étude très citée intitulée « » (), des chercheurs ont démontré comment Lovable, une plateforme de création d’applications basée sur l’IA et conçue pour générer et déployer des applications web « full-stack » à partir de consignes textuelles, pouvait être amenée, par le biais d’un affinement répété des consignes et de techniques de type « jailbreak », à produire une infrastructure de hameçonnage opérationnelle.
À l'aide de workflows légitimes et intégrés, la plateforme a généré des pages d'usurpation d'identité d'une précision au pixel près, les a automatiquement hébergées sur des sous-domaines gérés par Lovable et a intégré une logique back-end permettant de capturer et d'analyser les identifiants volés.
La leçon la plus importante à tirer de l'exemple de Lovable n'était pas la mise en évidence d'une plateforme en particulier. Cet incident a mis en lumière la manière dont les campagnes modernes de hameçonnage évoluent lorsque la conception, la création et le déploiement sont étroitement liés.
Dans ce cas, le schéma se présentait comme suit :
- Un utilisateur a demandé une fonctionnalité de type application utilisant des invites en langage naturel.
- Des améliorations itératives ont permis d'optimiser la précision de l'imitation et le réalisme visuel.
- La plateforme a mis en ligne des pages hébergées via des processus de développement standard.
- Ces pages récupéraient les identifiants tout en se fondant dans des interfaces Web d'apparence normale.
- Ce processus pourrait être répété rapidement, sans les contraintes liées au développement manuel ou à la mise en place d'une infrastructure sur mesure.
C'est pourquoi le « VibeScamming » ne doit pas être considéré simplement comme « une page de hameçonnage rédigée par une IA ». Cela reflète une évolution plus générale, passant de l'exploitation technique à l'utilisation abusive d'automatisations dignes de confiance, où la rapidité, la finition et la légitimité priment sur les kits artisanaux ou les logiciels malveillants sur mesure.
En quoi le « VibeScamming » diffère-t-il du hameçonnage traditionnel ?
Le fonctionnement du phishing est bien connu. C'est le modèle de fonctionnement qui évolue.
| Hameçonnage traditionnel | VibeScamming |
|---|---|
| Souvent créés à partir de kits réutilisés ou de pages reproduites manuellement | Souvent générés et affinés à l'aide de consignes |
| Nécessite une configuration technique plus spécifique | Réduit les obstacles liés à l'infrastructure et au codage |
| Les modifications peuvent nécessiter une mise à jour manuelle | Les campagnes peuvent être développées de manière interactive |
| La qualité varie en fonction des compétences de l'attaquant | Il devient plus facile d'obtenir des résultats d'aspect professionnel |
| La détection repose souvent sur des modèles connus | Les indices peuvent être moins évidents, car les outils et les processus semblent légitimes |
Pour les défenseurs, cela signifie que les anciens mécanismes de contrôle restent importants, mais qu'ils ne suffisent plus à eux seuls. L'analyse des URL, le filtrage des e-mails et les demandes de retrait restent utiles. Pourtant, lorsque les attaquants sont capables de se réorganiser rapidement et d'exploiter à leur profit des pratiques légitimes de développement et d'hébergement, la réponse doit se concentrer plus rapidement sur l'exposition, l'impact sur l'identité et les preuves au niveau des terminaux.
À quoi peut ressembler une chaîne d'attaques de type « VibeScamming » ?
Un processus typique de « VibeScamming » peut comporter plusieurs étapes, même si l'attaquant est relativement inexpérimenté.
Sélection de la cible et du prétexte
L'attaquant choisit une marque, une application ou un processus auquel la cible fait déjà confiance. Parmi les thèmes courants figurent les fournisseurs d'identité, les systèmes de paie, les outils de collaboration, le suivi des colis ou les invites d'authentification multifactorielle (MFA) de l' , disponibles à l'adresse.
Création de pages assistée par l'IA
L'attaquant demande à un générateur basé sur l'IA de créer une page de connexion ou d'assistance qui reproduit fidèlement la page légitime. Ils peuvent affiner le texte, les couleurs, la mise en page et les redirections au fil de plusieurs itérations.
Création de contenu pour la diffusion
L'IA est ensuite utilisée pour générer des SMS, des e-mails ou des messages sur les réseaux sociaux adaptés à l'appât. Comme cette même chaîne d'outils permet d'affiner le ton et la mise en forme, la campagne donne souvent une impression plus soignée que les anciennes tentatives de phishing standard.
Collecte des identifiants et traitement des données
En cas de réussite, la victime fournit ses identifiants ou d’autres données sensibles d’ . L'opérateur peut acheminer ces informations vers des mécanismes de stockage simples ou des tableaux de bord en vue d'une utilisation ultérieure.
Adaptation rapide
Si une page de hameçonnage est signalée ou supprimée, les pirates parviennent souvent à la remplacer rapidement. Une analyse à grande échelle publiée lors de la conférence ACM Web en 2025 a révélé que de nombreux sites de hameçonnage sont supprimés en quelques heures, leur durée de vie médiane s'élevant à 5,46 heures sur un échantillon de plus de 286 000 URL.
Les pages individuelles ayant une durée de vie limitée, le succès des campagnes repose moins sur le maintien en ligne d’une seule et même page que sur la création rapide de nouvelles versions, ce qui fait de la rapidité et de l’itération un avantage opérationnel déterminant de VibeScamming.
Pourquoi les responsables de la sécurité devraient raisonner en termes d'exposition, et pas seulement en termes de pages
L'un des écueils lorsqu'on aborde le sujet du « VibeScamming » est de se concentrer de manière trop restrictive sur la page frauduleuse elle-même. La véritable question qui se pose aux responsables de la sécurité est plus large : quelles identités ont été compromises, quels terminaux ont été concernés, et où ces identifiants ont-ils pu être réutilisés ?
C'est d'autant plus important que le phishing se limite rarement au premier mot de passe volé. Une fois les identifiants obtenus, les pirates peuvent tenter de les réutiliser pour accéder à d'autres comptes d'entreprise et SaaS.
Les pirates pourraient tenter de :
- Accéder aux applications SaaS
- Réutiliser les mots de passe sur l'ensemble des comptes de l'entreprise
- Enregistrer de nouvelles méthodes d'authentification multifactorielle (MFA)
- Télécharger les données
- Mettre en place la persistance sur les terminaux
- Effectuez un déplacement latéral à l'aide d'identifiants valides
Un modèle de réponse axé uniquement sur le blocage de domaines ou la suppression de messages passe à côté de l'essentiel. Dès qu'une escroquerie est détectée, l'organisation doit en évaluer rapidement les conséquences et agir avec assurance.
Le point de vue de Tanium sur le risque lié au « VibeScamming »
Le « VibeScamming » représente une nouvelle catégorie d'abus fondés sur l'identité et la confiance, dans laquelle des outils légitimes sont intégrés à la chaîne d'attaque, ce qui réduit la fiabilité des signaux traditionnels basés sur les pages et les domaines et accroît l'incertitude pour les défenseurs.
Il convient de considérer cette tendance comme un schéma de « VibeScamming » plutôt que comme un incident propre à une plateforme.
Cette distinction revêt une importance sur le plan opérationnel. Lorsque les responsables de la sécurité considèrent le problème avant tout comme une « page malveillante » ou un « domaine malveillant », les mesures de réponse ont tendance à se concentrer sur les contrôles périmétriques. En revanche, lorsque le « VibeScamming » est considéré comme une forme d’abus fondée sur l’identité et la confiance, la réponse s’élargit naturellement pour inclure l’impact sur les utilisateurs, le risque lié à l’authentification, le contexte des terminaux et la rapidité de l’évaluation de l’étendue du problème.
Ce qui confère à cette menace une importance opérationnelle, ce n’est pas seulement la qualité des pages frauduleuses ainsi créées, mais aussi la rapidité et l’ampleur avec lesquelles les campagnes peuvent être développées, déployées et adaptées lorsque des outils conçus pour améliorer la productivité sont détournés à des fins malveillantes.
Le défi ne consiste plus à bloquer des pages frauduleuses isolées, mais à cerner l'ampleur réelle de l'exposition, notamment les identités concernées, les terminaux impliqués et la réutilisation potentielle des identifiants. Cette même évolution oblige les organisations à repenser la gouvernance et la supervision de l’IA, notamment la manière dont elles recensent, surveillent et réglementent les outils d’IA dans l’ensemble de leurs environnements — un enjeu de plus en plus central dans le cadre de la conformité en matière d’ e de l’IA.
Les attaquants ayant recours à une automatisation basée sur l'IA pour devancer les méthodes de détection manuelles, l'efficacité de la réponse dépend moins de la suppression des pages que de la rapidité avec laquelle il est possible de lever les incertitudes. Ces incidents ne sont pas de simples phénomènes isolés sur le Web, mais des événements d'exposition qui évoluent rapidement et qu'il convient d'appréhender en termes d'impact sur l'identité, de portée et de réutilisation (et non pas uniquement en termes de présence de pages ou de domaines malveillants).
Et ce recadrage a des conséquences directes sur la manière dont l'intervention doit être organisée.
Quels changements la gestion des incidents subit-elle lorsque l'incertitude s'accroît ?
Lorsque les opérations de hameçonnage peuvent être reconstituées et relancées rapidement, l’un des aspects les plus difficiles de la réponse ne réside plus dans le blocage de l’infrastructure, mais dans la capacité à cerner suffisamment vite l’exposition réelle pour agir en toute confiance.
Cette réalité modifie l'ordre dans lequel il convient de répondre aux questions. Plutôt que de commencer par des pages ou des domaines individuels, une réponse efficace suit de plus en plus souvent la séquence suivante :
- Identifier les identités potentiellement concernées
- Déterminez quels terminaux ont été concernés
- Recherchez les signes indiquant une réutilisation des identifiants
- Réduire l'incertitude suffisamment rapidement pour permettre de prendre des décisions d'intervention en toute confiance
Cette séquence prend d'autant plus d'importance que les opérations frauduleuses basées sur l'IA raccourcissent les délais d'action des attaquants. Lorsque les attaquants sont capables de créer et de redéployer rapidement des infrastructures, les défenseurs doivent disposer d'un moyen d'évaluer leur exposition réelle sans avoir à attendre des processus lents, fragmentés ou nécessitant une analyse page par page.
Ce que les équipes de sécurité devraient faire face au « VibeScamming »
Le « VibeScamming » n'invalide pas les pratiques anti-hameçonnage existantes. Cela place la barre plus haut en matière de rapidité, de prise en compte du contexte et de coordination.
Renforcer les contrôles d'identité
Étant donné que bon nombre de ces attaques visent directement les identifiants, les mesures de protection de l'identité restent essentielles :
- Mettez en place une authentification résistante au phishing lorsque cela est possible
- Examiner les inscriptions au MFA et réinitialiser les processus
- Surveillez les déplacements impossibles, les accès inhabituels aux appareils et les modifications de privilèges
- Évaluer les risques liés à la réutilisation des mots de passe et aux comptes inactifs
Améliorer la réponse en fonction du contexte du terminal
Même lorsque l'appât initial est basé sur le Web, une enquête efficace repose sur une visibilité corrélée des identités, des e-mails/sites Web, des navigateurs, des solutions SaaS et des terminaux « ». Les équipes devraient être en mesure d'identifier les utilisateurs qui ont accédé à l'URL suspecte.
Pour les appareils gérés, les données télémétriques des terminaux ou des navigateurs peuvent s'avérer utiles ; pour les appareils non gérés, appuyez-vous sur les journaux d'identité, de proxy, CASB, MDM ou tout autre journal d'accès disponible.
Parmi les autres questions, on peut citer :
- De nouvelles sessions ont-elles été mises en place par la suite ?
- L'utilisateur a-t-il effectué des téléchargements ou exécuté des scripts par la suite ?
- Existait-il des indices laissant penser que l'utilisateur avait saisi ses identifiants, accordé une autorisation OAuth malveillante ou s'était fait voler des cookies de session ou des jetons ? Si vous soupçonnez un vol dans le magasin d'identifiants local, menez une enquête distincte pour déterminer si le navigateur a été compromis ou s'il y a eu une activité liée à un logiciel de vol d'informations.
Réduire la dépendance à l'égard d'une seule couche de détection
Les contrôles de messagerie, le filtrage Web, les protections des navigateurs, la télémétrie d'identité, la télémétrie des terminaux et la réponse aux incidents doivent tous se renforcer mutuellement. L'arnaque peut s'introduire par un canal et aboutir par un autre.
Formez les utilisateurs à repérer les escroqueries sophistiquées, et non celles qui sautent aux yeux
Les recommandations en matière de sensibilisation devraient évoluer. Les utilisateurs sont de plus en plus confrontés à des escroqueries dont la formulation est grammaticalement correcte, qui sont visuellement convaincantes et qui s'inscrivent dans des processus familiers. La formation devrait mettre l'accent sur l'acquisition d'habitudes de vérification, et pas seulement sur la « détection des fautes de frappe ».
Questions pratiques concernant la chasse à la suite d'un incident présumé de « VibeScamming »
Lorsqu'une campagne est détectée, les équipes doivent passer rapidement de l'analyse des éléments à l'examen de l'ensemble de l'environnement.
| Domaine d'étude | Questions à poser |
|---|---|
| Identité | Quels comptes ont fait l'objet d'une saisie d'identifiants, d'une réinitialisation de mot de passe ou d'une activité de connexion inhabituelle ? |
| Endpoint | Quels appareils ont accédé à cette URL, ont présenté une activité ultérieure dans le navigateur ou ont lancé des processus suspects ? |
| Authentification | A-t-on constaté de nouvelles inscriptions à l'authentification MFA, des anomalies au niveau des jetons ou des schémas de session inhabituels ? |
| Déplacement latéral | Ce compte a-t-il accédé à des systèmes, des partages ou des applications qu'il n'utilise pas habituellement ? |
| Confinement | Les identifiants concernés ont-ils été réinitialisés, les sessions révoquées et les appareils à haut risque triés ? |
C'est là que les opérations bien rodées se distinguent d'une simple exécution de liste de contrôle. Plus une équipe est capable de relier rapidement l'utilisateur, l'appareil et le contexte d'identité, plus elle peut déterminer rapidement si l'incident s'est limité à une page frauduleuse ou s'il a débouché sur une compromission plus importante.
Idées reçues courantes concernant le « VibeScamming »
« Ce n'est rien d'autre qu'une forme de hameçonnage sous un nouveau nom »
Pas tout à fait. L'objectif sous-jacent reste peut-être le hameçonnage, mais le mode opératoire de l'attaquant est sensiblement différent. VibeScamming met l'accent sur la création, l'itération et la mise à l'échelle opérationnelle assistées par l'IA.
« Des glissières de sécurité plus efficaces permettront de résoudre ce problème »
Les mesures de protection sont importantes, mais les responsables de la sécurité doivent partir du principe que des attaquants déterminés continueront à tester les systèmes d'IA et les processus connexes. Le problème ne se limite pas aux abus liés aux messages instantanés. Il s'agit d'un détournement de l'automatisation, à laquelle on accorde toute confiance, à plusieurs étapes de la chaîne.
Les équipes préoccupées par l’impact plus large, au niveau de l’entreprise, des risques liés au codage « vibe » d’ devraient prendre conscience de la rapidité avec laquelle des flux de travail d’IA légitimes peuvent être détournés.
« Si l'hébergeur semble fiable, la page est probablement sûre »
Cette hypothèse s'avère de moins en moins fiable. Des outils légitimes et des schémas de déploiement d'apparence normale peuvent faire partie du chemin d'attaque. Il s'agit avant tout d'un problème d'ingénierie sociale autant que d'un problème technique.
Les implications à long terme en matière de sécurité
La leçon plus profonde à tirer de l'affaire « VibeScamming » est que les modèles de confiance des entreprises sont mis à rude épreuve. Les équipes de sécurité ont passé des années à apprendre aux utilisateurs à repérer les erreurs grammaticales suspectes, les mises en page inhabituelles ou les infrastructures manifestement malveillantes. L'IA comble ces écarts visuels et linguistiques. Par ailleurs, des plateformes légitimes peuvent, sans le vouloir, conférer une crédibilité à des processus malveillants.
Cela signifie que les défenseurs doivent se concentrer en priorité sur ce que les attaquants ne peuvent pas simuler aussi facilement :
- État des terminaux en temps réel
- Activité relative à la vérification de l'identité
- Anomalies liées aux sessions et à l'authentification
- Évaluation globale de l'exposition à l'échelle de l'environnement
- Une réaction rapide et coordonnée entre les équipes de sécurité et d'informatique
Le « VibeScamming » n'a pas d'importance simplement parce que c'est un terme à la mode. C'est important car cela montre comment l'IA modifie la dynamique économique des cyberattaquants. À mesure qu'il devient plus facile, moins coûteux et plus rapide de mettre au point une arnaque crédible, les défenseurs ont besoin de moyens tout aussi rapides pour évaluer l'impact et réduire l'incertitude. Le renforcement des pratiques de cyberhygiène au niveau de l' contribue également à limiter l'ampleur des conséquences en cas d'exposition d'identifiants ou de sessions.
Foire aux questions sur VibeScamming
Le « VibeScamming » se situe à la croisée des capacités de l’IA et de l’ingénierie sociale de type « », ce qui en fait une menace en constante évolution et souvent mal comprise pour les entreprises modernes.
À mesure que les techniques des pirates évoluent et que des outils légitimes sont détournés à des fins malveillantes, les équipes de sécurité se retrouvent souvent à devoir distinguer le signal du bruit.
Vous trouverez ci-dessous quelques questions fréquemment posées par les équipes de sécurité des entreprises au sujet du « VibeScamming » et de la manière d'aborder ce phénomène.
Le « VibeScamming » est-il identique au « phishing » ?
Le « VibeScamming » s'apparente à une évolution, fondée sur l'intelligence artificielle, du hameçonnage et de la fraude en ligne. Cela inclut le phishing, mais aussi la création rapide, à partir de invites, de pages, de contenus à diffuser et de processus d'escroquerie.
Pourquoi est-il plus difficile de se prémunir contre le « VibeScamming » ?
En effet, cela réduit le niveau de compétence requis de la part des attaquants, améliore la qualité des campagnes et permet des itérations rapides grâce à des outils et des processus apparemment légitimes.
Le « VibeScamming » implique-t-il systématiquement la présence de logiciels malveillants ?
Non. De nombreuses campagnes de « VibeScamming » visent le vol d'identifiants, le détournement de session, l'usurpation d'identité ou la fraude, sans déployer le moindre logiciel malveillant.
Quel est le plus grand risque pour les entreprises ?
Pour de nombreuses organisations, la compromission des identités reste une préoccupation majeure, car le vol d'identifiants peut permettre la prise de contrôle de comptes et un accès plus large aux systèmes de l'entreprise.
À quoi les équipes d'intervention en cas d'incident doivent-elles accorder la priorité en premier lieu ?
Une fois les premières mesures de blocage mises en place, les intervenants doivent rapidement déterminer quelles identités et quels terminaux ont été exposés, si des identifiants ont été réutilisés et si des sessions suspectes ou des activités consécutives ont eu lieu.
À mesure que les escroqueries assistées par l'IA deviennent plus faciles à mettre en place et plus difficiles à distinguer des processus légitimes, la qualité de la réponse dépend de plus en plus de la rapidité avec laquelle les équipes parviennent à cerner l'exposition au risque à travers les identités et les terminaux. Prenez rendez-vous pour une démonstration gratuite afin de découvrir comment Tanium aide les équipes à agir en toute confiance.
