Le rapport IC3 2025 du FBI sur la cybercriminalité fait état de 20,9 milliards de dollars de pertes — soit une hausse de 26 % par rapport à l'année précédente —, dont près de 85 centimes sur chaque dollar perdu sont imputables à des fraudes commises via Internet, dans lesquelles une personne a reçu un message convaincant et a agi en conséquence, et non à des malware ou à des failles de sécurité « zero-day ».
Business email compromise représente désormais un problème de 3 milliards de dollars qui contourne tous les filtres techniques : pas de liens malveillants, pas de charges utiles, pas de domaines à bloquer — seulement des e-mails d'apparence normale qui exploitent la confiance et le sentiment d'urgence au moment où l'utilisateur prend une décision.
L'année dernière, le FBI a, pour la première fois, officiellement identifié l'IA comme un vecteur de menace à part entière. Près de 900 millions de dollars de pertes confirmées liées à l'IA. Et même le FBI vous dira que ce chiffre est en deçà de la réalité — non pas parce que ces attaques n'existent pas, mais parce que les victimes ne se rendent pas compte que l'IA est en cause. L'IA est déjà intégrée dans bien plus de projets que ce que l'on peut actuellement évaluer.
Le rapport 2025 sur la cybercriminalité publié par l'Internet Crime Complaint Center (IC3) du FBI fait ressortir une tendance constante dans toutes les principales catégories de préjudices : les pertes financières et les fuites de données sont dues au fait qu'une personne a pris une décision qu'elle n'aurait pas dû prendre. L'IA rend ces décisions plus difficiles à prendre correctement.
20,877 milliards de dollars
Les pertes déclarées liées à la cybercriminalité en 2025 ont augmenté de 26 % par rapport à l'année précédente et sont près de trois fois supérieures au chiffre de 2021.
Près de 85 centimes sur chaque dollar perdu étaient dus à des fraudes commises par le biais d'Internet. Ce n'est pas un malware. Pas de failles « zero-day ». Il s'agit d'attaques qui ont abouti, c'est-à-dire où une personne a reçu un message convaincant et a agi en conséquence.
Mots-clés associés
Threat Intelligence
Partager ceci
3 milliards de dollars qui ont franchi tous les filtres techniques et humains
Les attaques de type « Business Email Compromise » (BEC) ne contiennent souvent aucune charge utile : aucun lien à analyser, aucun domaine malveillant à bloquer. Ils abusent de la confiance et jouent sur le sentiment d'urgence pour convaincre une personne d'autoriser un virement. La perte survient au moment même où cette décision est prise.
Depuis que le FBI a commencé à recenser les cas de BEC en 2015, l'IC3 a enregistré plus de 20 milliards de dollars de pertes déclarées. Rien qu'en 2025, les escroqueries de type BEC ont représenté 3,047 milliards de dollars pour 24 768 incidents, soit une moyenne de 123 000 dollars par cas. Pas moins de 86 % de ces paiements frauduleux ont été effectués par virement bancaire ou via le système ACH, passant ainsi tous les contrôles en amont sans déclencher une single alerte.
La détection par signature suppose qu'il existe un élément de référence avec lequel effectuer la comparaison. Le BEC ne vous apporte rien. L'e-mail ne contient aucun élément suspect. L'expéditeur semble crédible. Cette instruction ressemble à des dizaines d'autres qui l'ont précédée.
Pour détecter ces attaques, il faut comprendre à quoi ressemble une communication normale pour une personne donnée, au sein d'une organisation donnée, et signaler tout écart par rapport à cette norme. Il s'agit d'un problème de comportement, et non d'un problème de correspondance de motifs.
L'IA fait son entrée dans le rapport IC3 pour la première fois
Cela fait 25 ans que l'IC3 publie ses rapports, et celui de cette année est le premier à comporter une section consacrée à l'IA. 22 364 plaintes. 893 millions de dollars de pertes confirmées. Ces deux chiffres ont été explicitement signalés comme étant des sous-estimations.
Le montant total des fraudes en matière d'investissement s'est élevé à 8,6 milliards de dollars. Seuls 632 millions de dollars ont été identifiés comme liés à l'IA. L'IA ne constitue pas une catégorie à part entière. Il s'agit d'un facteur aggravant déjà présent dans les escroqueries de type BEC, le Phishing, les fraudes à l'investissement et les escroqueries sentimentales. Le clonage vocal. E-mails d'usurpation d'identité générés par un chat. Appels visant à vérifier les deepfakes. Ces 893 millions de dollars correspondent au montant déclaré par les victimes elles-mêmes. Les chiffres réels sont présentés tout au long du rapport.
Les exigences en matière de données de l'IC3 pour 2026
La tendance est claire. Répétons-le. On perd de l'argent et des données parce que quelqu'un a reçu une information convaincante et a agi en conséquence. L'IA rend ces attaques plus difficiles à détecter et permet aux criminels d'agir à la vitesse d'une machine. Le volume ne diminue pas. L'écart entre ce que les contrôles traditionnels détectent et ce que les pirates envoient n'a jamais été aussi grand.
Pour combler cette lacune, il faut mettre en place une détection comportementale qui tienne compte des normes de communication, et pas seulement des schémas notoirement malveillants. Des contrôles à plusieurs niveaux qui partagent les informations tout au long du processus de traitement des e-mails. Une authentification de domaine qui couvre ce qui se passe en dehors de votre périmètre. Une visibilité sur la compromission des identifiants et les mouvements de données avant que le Ransomware ne devienne un Ransomware. Des mesures de contrôle des risques liés au facteur humain qui interviennent au moment de la prise de décision, et non après. Et une prise en charge de l'ensemble des outils de collaboration, et pas seulement de la messagerie électronique.
C'est l'architecture sur laquelle repose Mimecast. Une IA comportementale pour des attaques « propres ». DMARC Analyzer et Brand Exploit Protect pour la protection du périmètre externe. Protection contre le piratage de compte et Incydr pour les risques liés aux identifiants et aux transferts de données. Et le Human Risk Command Center, afin d'identifier les personnes actuellement en situation de risque et d'intervenir avant qu'elles ne prennent une mauvaise décision.
Le FBI peut faire le bilan des pertes. On ne peut même pas compter le nombre d'incidents qui se sont produits parce qu'un programme de sécurité surveillait ce qu'il ne fallait pas. La question pour 2026 est de savoir si vous serez en mesure d'anticiper les risques liés aux humains et à l'IA avant qu'ils ne vous coûtent cher.
Découvrez les lacunes de vos dispositifs de contrôle actuels. Découvrez la démonstration de valeur gratuite de Mimecast. Laissez-nous connecter votre environnement et vous montrer ce qui passe.
