Phishing Unicode : pourquoi vos filtres email laissent passer

Imaginez un email d'arnaque qui ressemble trait pour trait à un message de votre banque ou de votre expert-comptable. Vos filtres anti-spam le laissent passer. Votre antivirus ne bronche pas. Et un de vos collaborateurs clique. C'est exactement ce que fait la nouvelle vague de phishing Unicode invisible, qui frappe les PME françaises en ce moment. Et le pire ? La plupart des entreprises n'ont aucune idée qu'elles sont exposées.

C'est quoi, un caractère Unicode invisible ?

L'Unicode, c'est le système mondial qui permet à votre ordinateur d'afficher toutes les langues du monde : le français, l'arabe, le chinois, les emojis… Il contient des dizaines de milliers de caractères. Parmi eux, certains sont dits « invisibles » : ils ne s'affichent pas à l'écran, mais ils existent bien dans le code de l'email. Les cybercriminels ont trouvé une astuce redoutable : ils glissent ces caractères fantômes à l'intérieur de mots-clés suspects — « virement », « mot de passe », « urgent » — pour les rendre méconnaissables aux yeux des filtres automatiques. Le filtre cherche le mot « virement » ? Il ne trouve pas, parce que le mot est en réalité écrit « v‌i‌r‌e‌m‌e‌n‌t » avec des caractères invisibles intercalés. Résultat : l'email frauduleux arrive directement dans la boîte de réception de votre salarié, propre et sans alerte.

Pourquoi votre protection email actuelle ne voit rien

La majorité des solutions de filtre email entreprise fonctionnent sur un principe simple : elles analysent le contenu des messages à la recherche de mots ou de comportements connus comme dangereux. C'est efficace contre les arnaques classiques. Mais face au phishing Unicode invisible, ces outils sont aveuglés. Ils lisent le texte tel qu'il apparaît visuellement, sans décortiquer les caractères un par un dans le code source. Les pirates le savent et en profitent. Ajoutez à cela que les emails sont soigneusement construits : logo officiel copié, signature réaliste, adresse d'expéditeur légèrement modifiée mais crédible. Même un collaborateur attentif peut se faire avoir. Ce n'est pas un problème de vigilance humaine, c'est un problème d'outil inadapté à une menace qui a évolué. La protection phishing PME 2026 ne peut plus reposer uniquement sur les anciens filtres par mots-clés.

Les conséquences concrètes pour votre entreprise

Un clic sur un lien malveillant, c'est rarement anodin. Dans les scénarios les plus courants observés chez les PME françaises, les conséquences sont : un virement bancaire frauduleux effectué par un comptable convaincu d'agir sur ordre de la direction, le vol des identifiants de connexion à vos outils internes (messagerie, ERP, espace client), ou encore l'installation discrète d'un logiciel espion qui reste tapi pendant des semaines avant d'agir. Les montants détournés se chiffrent souvent en plusieurs milliers d'euros. Les délais de récupération, quand c'est possible, en semaines. Et le préjudice d'image auprès de vos clients ou partenaires, lui, ne se chiffre pas. Une PME sur deux touchée par une cyberattaque sérieuse ne s'en remet pas dans les 18 mois. Ce n'est pas une statistique pour faire peur : c'est un rappel que le risque est réel et que l'inaction coûte plus cher que la prévention.

Ce que vous pouvez faire dès maintenant

1. Faites auditer votre solution email actuelle. Demandez à votre prestataire informatique si votre filtre email analyse les caractères Unicode dans le code source des messages, pas seulement le texte visible. Si la réponse est vague ou négative, c'est le moment de changer d'outil. Des solutions comme Microsoft Defender for Office 365 ou Proofpoint intègrent ce type d'analyse avancée.

2. Activez l'authentification à deux facteurs (2FA) sur tous vos comptes. Même si un pirate obtient un mot de passe via un email frauduleux, il lui faudra un second code pour accéder à vos systèmes. C'est la mesure la plus simple et la plus efficace disponible aujourd'hui.

3. Mettez en place une procédure de vérification pour les virements. Toute demande de virement reçue par email, même apparemment de la part d'un dirigeant ou d'un fournisseur connu, doit être confirmée par téléphone avant exécution. Un appel de 30 secondes peut éviter des milliers d'euros de pertes.

4. Sensibilisez vos équipes en 15 minutes. Pas besoin d'une formation longue : montrez à vos collaborateurs un exemple de phishing réaliste, expliquez qu'ils ne doivent jamais cliquer sans vérifier l'adresse complète de l'expéditeur, et qu'en cas de doute, ils doivent vous appeler avant d'agir. Ce réflexe simple change tout.

5. Signalez tout email suspect à votre référent informatique immédiatement. Ne le supprimez pas : transmettez-le pour analyse. Chaque signalement permet de bloquer la menace plus rapidement pour toute l'entreprise.