Les marques les plus usurpées dans l’hameçonnage au deuxième trimestre 2026 sont Microsoft, LinkedIn, Google, Apple et Amazon : à elles cinq, elles couvrent plus de la moitié des tentatives d’usurpation recensées par Check Point Research, dans un rapport publié le 23 juillet 2026. Microsoft arrive en tête avec 23 % des tentatives, près du double de LinkedIn (11,6 %).
Les attaquants ne dispersent donc pas leurs efforts. Ils choisissent les noms que vos salariés voient tous les jours, parce que cette familiarité fait baisser la garde.
Le classement des marques les plus usurpées
Le secteur des technologies est le plus visé, devant les réseaux sociaux et la banque. Autrement dit, les attaquants visent les comptes qui ouvrent la messagerie, le réseau professionnel et l’argent.
La nouveauté du trimestre tient en un nom : ChatGPT entre pour la première fois dans les dix marques les plus usurpées. Par exemple, un message documenté en juin reprend la mise en page d’un avis d’échec de paiement OpenAI. Le lien renvoie vers une page conçue pour capturer un numéro de carte complet. Les outils d’IA rejoignent ainsi les services que vos équipes payent ou utilisent sans y penser.
Ce que révèlent les cas observés par Check Point
Les scénarios vont de la boutique copiée à la fausse mise à jour. Une contrefaçon de site marchand reproduisait tout le parcours d’achat, de la navigation au paiement, pour capter les coordonnées bancaires. De son côté, une fausse vitrine régionale visait un marché où l’enseigne n’opère pas. Des icônes de réseaux sociaux qui ne menaient nulle part l’ont trahie.
Une fausse page iCloud, en russe, présentait un bouton de connexion inopérant, signe d’une campagne encore en test. Enfin, une fausse page de support Microsoft poussait une « mise à jour de sécurité » qui livrait en réalité un programme déguisé.
Un détail intéresse les équipes de sensibilisation : un logo PayPal visiblement déformé laisse penser à une image produite par un outil génératif, plutôt qu’à une reprise des ressources officielles. Les défauts de l’IA deviennent donc eux-mêmes un indice. Check Point le résume : de petits signes reviennent presque toujours, comme un logo déformé, un bouton mort, un lien social incohérent ou un ton d’urgence.
Un identifiant volé, une violation de données à évaluer
Quand un salarié saisit ses identifiants professionnels sur une de ces pages, l’attaquant accède au compte, et donc aux données personnelles que ce compte consulte. L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Ici, ces mesures recouvrent le filtrage des messages avant la boîte de réception, l’authentification multifacteur et une sensibilisation régulière.
Si la compromission aboutit, l’article 33 impose de notifier la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures, et l’article 34 d’informer les personnes concernées quand le risque est élevé. Notre tutoriel pour notifier une violation de données détaille la démarche.
Le cas d’un faux site au nom de votre organisation se traite autrement. Les données de paiement saisies par vos clients sur ce site ne sont pas des données que vous traitez : l’article 34 ne vous y oblige donc pas. Prévenez tout de même vos clients en pratique, car le site porte votre nom.
Les entités soumises à NIS2 ajoutent, pour un incident important, une alerte précoce dans les 24 heures, une notification d’incident dans les 72 heures, puis un rapport final dans un délai d’un mois.
Les réflexes à enseigner à vos équipes
Un message inattendu au nom de Microsoft, LinkedIn, Google, Apple, Amazon ou d’un outil d’IA mérite une méfiance renforcée. En effet, ces cinq noms concentrent la moitié des tentatives. Transformez ce constat en consignes simples :
- Saisissez directement l’adresse du site plutôt que de cliquer sur un lien, surtout pour la facturation ou la sécurité du compte.
- Survolez les boutons avant de cliquer pour lire la destination réelle.
- Vérifiez toute demande par un canal déjà connu, jamais par un lien contenu dans le message suspect.
- Repérez les indices relevés par Check Point : logo déformé, bouton inopérant, lien social mort, ton d’urgence.
- Activez l’authentification multifacteur partout où elle existe, en connaissant ses limites, détaillées dans notre article sur le phishing et le vol de comptes Microsoft 365.
Côté organisation, surveillez aussi les domaines ressemblants et les pages de connexion clonées qui reprennent votre marque, avec une procédure de retrait rapide. Pour la formation, Focus RGPD, la plateforme de sensibilisation de DPO PARTAGE, propose par exemple des vidéos sur l’hameçonnage.
Sources
Check Point Research publie le classement dans Which Brands Are Impersonated Most? Inside the Q2 2026 Brand Phishing Report.
Les délais de déclaration NIS2 figurent à l’article 23 de la directive (UE) 2022/2555 sur EUR-Lex.
Les obligations de sécurité et de notification figurent aux articles 32 à 34 du règlement (UE) 2016/679 (RGPD) sur EUR-Lex.
Questions fréquentes
Quelle est la marque la plus usurpée dans le phishing ?
Microsoft est la marque la plus usurpée au deuxième trimestre 2026, avec 23 % des tentatives d’hameçonnage par usurpation de marque selon Check Point.
LinkedIn suit avec 11,6 %, devant Google, Apple et Amazon.
Pourquoi ChatGPT est-il usurpé par les pirates ?
ChatGPT est usurpé parce que les outils d’IA sont désormais dans le viseur des fraudeurs, selon Check Point.
Au deuxième trimestre 2026, la marque entre pour la première fois dans les dix marques les plus usurpées, selon Check Point.
Comment reconnaître une page d’hameçonnage qui imite une marque ?
Regardez d’abord l’adresse du site, puis les détails : logo déformé, bouton qui ne fonctionne pas, liens vers les réseaux sociaux qui ne mènent nulle part, ton d’urgence.
Check Point relève ces signes dans la plupart des cas observés au deuxième trimestre 2026.
Faut-il notifier la CNIL si un salarié a donné son mot de passe sur une page d’hameçonnage ?
Oui, si le compte compromis donne accès à des données personnelles et que la violation présente un risque pour les personnes.
La notification intervient dans les 72 heures après la prise de connaissance. Changez le mot de passe sans attendre et vérifiez les connexions au compte.
Que faire si un faux site usurpe le nom de votre entreprise ?
Demandez son retrait à l’hébergeur et au registraire du nom de domaine, puis prévenez vos clients.
L’article 34 du RGPD ne vous oblige pas à les informer, puisque vous ne traitez pas les données saisies sur ce faux site. L’information reste toutefois indispensable en pratique.
