Comment l’IA détecte les liens malveillants avant que vous ne cliquiez

Chaque semaine, des millions de liens frauduleux circulent dans des boîtes mail, des SMS ou des résultats de recherche sponsorisés. Ce n’est pas une nouveauté, mais la cadence s’est accélérée au point de rendre les défenses classiques insuffisantes. Les listes noires, aussi bien alimentées soient-elles, ont un défaut structurel : elles réagissent après coup. L’intelligence artificielle, elle, analyse avant.

La limite fondamentale des listes noires

Le principe des outils de blocage traditionnels est simple : un domaine malveillant est signalé, vérifié, puis ajouté à une base de données consultée en temps réel. Sur le papier, ça fonctionne. Dans la pratique, un site de phishing n’a besoin que de quelques heures pour faire des dégâts. Or, entre le moment où un domaine frauduleux entre en ligne et celui où il apparaît dans une liste noire, il peut s’écouler plusieurs jours.

Les attaquants le savent. C’est pourquoi ils misent sur des domaines éphémères, créés spécifiquement pour une campagne courte, puis abandonnés. Un outil qui bloque uniquement ce qu’il connaît déjà ne peut pas intercepter ce qu’il voit pour la première fois.

IBM a documenté cette tendance dans son rapport X-Force 2025 : les fichiers ZIP et RAR malveillants sont en forte baisse dans les campagnes de phishing, au profit des liens URL et des PDF. Les vecteurs changent précisément parce que les défenses s’adaptent, et les attaquants font de même.

Ce que l’IA analyse concrètement

Les systèmes de détection basés sur le machine learning n’attendent pas qu’un lien soit signalé. Ils l’évaluent à la volée, en croisant plusieurs types de signaux.

La structure du lien lui-même est le premier niveau d’analyse. Un URL légitime suit des conventions lisibles. Un lien généré automatiquement pour du phishing contient souvent des chaînes de caractères aléatoires, des sous-domaines inhabituels, ou une marque connue insérée dans une position atypique. Les modèles entraînés sur des volumes importants de liens identifiés comme malveillants repèrent ces anomalies structurelles très rapidement.

Le comportement du domaine vient ensuite. Un domaine enregistré il y a deux jours, hébergé sur une infrastructure déjà associée à des campagnes de spam, avec un certificat SSL générique et un trafic entrant soudain : ce profil déclenche des alertes même si le domaine n’a jamais été signalé. L’IA évalue l’historique, l’âge, les serveurs DNS, les patterns d’hébergement.

Les chaînes de redirection constituent un troisième niveau. Beaucoup de liens frauduleux ne mènent pas directement à la page malveillante. Ils transitent par des services de raccourcissement d’URL, des plateformes légitimes, ou plusieurs sauts intermédiaires avant d’arriver à destination. Un système d’analyse efficace suit l’intégralité de cette chaîne et évalue la destination finale, pas uniquement le premier lien.

Enfin, le contenu de la page de destination elle-même est analysé : formulaires de connexion qui imitent des interfaces connues, scripts de téléchargement automatique, comportements conditionnels selon le profil du visiteur.

Lire aussi : L’IA menace déjà les jeunes diplômés

Les points d’entrée à surveiller

Les liens dangereux n’arrivent pas uniquement par email. Les vecteurs se sont diversifiés et couvrent aujourd’hui plusieurs canaux du quotidien numérique.

Les SMS frauduleux, souvent appelés « smishing », imitent des notifications de livraison, des alertes bancaires ou des messages administratifs. Leur taux d’ouverture est élevé parce que les utilisateurs sont moins vigilants sur mobile que sur ordinateur.

Les résultats sponsorisés dans les moteurs de recherche sont un autre terrain de jeu pour les escrocs. Acheter une annonce sur un terme comme « télécharger VLC » ou « support client Orange » permet de pousser un faux site en tête des résultats. Sur mobile, la distinction visuelle entre annonce et résultat organique est encore plus difficile à percevoir.

Les liens raccourcis sur les réseaux sociaux posent le même problème d’opacité : impossible de savoir où ils mènent avant de cliquer. Les systèmes de détection doivent donc résoudre ces liens et analyser la destination réelle.

Ce qui se passe quand vous cliquez sur un lien malveillant

Le phishing classique vise à récupérer des identifiants. La page ressemble à une interface de connexion connue, vous saisissez vos informations, elles sont envoyées directement aux attaquants. Dans certains cas, même un code d’authentification à double facteur peut être intercepté si la page est construite pour relayer les données en temps réel.

D’autres scénarios sont moins visibles. Certains liens déclenchent des téléchargements automatiques ou exploitent des vulnérabilités de navigateur pour installer un logiciel sans aucune action de votre part. D’autres encore conduisent à de faux sites marchands dont le seul objectif est de collecter des coordonnées bancaires, parfois via une astuce consistant à faire croire que la carte a été refusée pour en saisir une deuxième.

Le point commun : les conséquences s’étendent souvent bien au-delà du clic initial. Des identifiants volés peuvent servir à accéder à d’autres comptes si les mots de passe sont réutilisés, alimenter des bases de données vendues sur des marchés clandestins, ou déclencher des tentatives de fraude des mois plus tard.

Vérification manuelle ou protection automatique : ce que ça change

Des outils de vérification de liens existent en ligne et peuvent rendre service ponctuellement. Leur fonctionnement repose sur une consultation de bases de données au moment de la recherche. Si le domaine n’a pas encore été référencé, le résultat sera « sûr » par défaut, ce qui ne signifie pas qu’il l’est réellement.

Le problème structurel est que cette approche exige une action délibérée à chaque clic suspect. Dans une journée normale, on suit des dizaines de liens sans y réfléchir. La protection automatique, intégrée directement dans le navigateur ou dans l’application de messagerie, intercepte les menaces sans dépendre de la vigilance constante de l’utilisateur.

Des solutions comme Guardio fonctionnent sur ce principe : l’évaluation se fait en arrière-plan, au moment où le lien est rencontré, que ce soit dans un email, un résultat de recherche ou un SMS. Si la page de destination correspond aux patterns d’un site de phishing ou d’une arnaque, l’accès est bloqué avant même que la page ne se charge.

Ce que vous pouvez faire de votre côté

La protection automatisée réduit considérablement le risque, mais elle ne remplace pas complètement le jugement. Quelques réflexes concrets permettent de compléter ce dispositif.

Quand une page se charge après un clic, regardez ce qui se passe avant d’interagir. Un formulaire de connexion inattendu, une fenêtre qui s’ouvre automatiquement, un message d’urgence sur un compte qui serait bloqué : autant de signaux qui méritent de s’arrêter. La navigation peut paraître normale jusqu’à ce qu’un élément semble légèrement décalé, que ce soit la typographie, une traduction approximative ou un logo mal redimensionné.

Pour les achats en ligne, privilégier des méthodes de paiement traçables et réversibles limite les dégâts en cas de fraude. Et pour les comptes importants, un mot de passe unique par service combiné à l’authentification à deux facteurs reste la mesure la plus efficace contre les conséquences d’une fuite d’identifiants.

Conclusion

Les liens malveillants sont le vecteur principal du phishing, de la fraude en ligne et de la distribution de malwares. Leur durée de vie courte et leurs techniques d’obfuscation croissantes rendent les défenses réactives de moins en moins fiables. L’IA comble cet écart en évaluant les liens sur leurs propres caractéristiques, en temps réel, plutôt qu’en attendant qu’ils soient signalés. Couplée à quelques habitudes élémentaires, cette approche constitue aujourd’hui le niveau de protection le plus adapté à la réalité des menaces.