L’ingénierie sociale est un type d’escroquerie qui repose sur des signaux sociaux et non numériques. Les fraudeurs utilisent une connaissance approfondie de votre entreprise, de vos employés, de vos projets et bien plus encore pour vous convaincre de réinitialiser un mot de passe ou d’approuver un paiement. Ils associent souvent ces connaissances à un sentiment d’urgence, vous incitant à prendre une décision rapide.

Aucune liste de signaux d’alerte ne permet de s’y préparer, car la manipulation ne passe pas par la technologie. Elle se déroule dans l’esprit d’une personne au moment où elle prend une décision.

Nous avons déjà expliqué les bases de ce qu’est l’ingénierie sociale : les définitions, les catégories d’attaques courantes, les mécanismes généraux des attaques fondées sur la manipulation par rapport aux attaques purement techniques. La mise en place d’un programme efficace de sensibilisation à la sécurité — comment structurer la formation, définir le rythme et évaluer son efficacité — est un sujet distinct que nous avons également abordé.

Cet article se situe à mi-chemin entre les deux. Plutôt que de traiter de définitions ou de conception de programmes, il aborde ce que votre formation destinée aux employés doit concrètement intégrer : les mécanismes psychologiques sur lesquels s’appuient les attaquants, et ce à quoi ressemble une réelle résistance lorsqu’on se retrouve en situation réelle plutôt qu’en train de lire une présentation.

Pourquoi l’ingénierie sociale fonctionne : six leviers, un angle mort

L’ingénierie sociale ne réussit pas parce que les employés sont négligents. Elle réussit parce qu’elle emprunte les raccourcis que le cerveau humain utilise au quotidien pour prendre rapidement des décisions ordinaires, puis les oriente vers la mauvaise cible. Les recherches de Robert Cialdini sur la persuasion ont identifié sept de ces raccourcis il y a plusieurs décennies, et six d’entre eux décrivent presque toutes les tentatives d’ingénierie sociale auxquelles une entreprise peut être confrontée :

  • Réciprocité
  • Rareté
  • Autorité
  • Cohérence
  • Preuve sociale
  • Unité

Autorité

Les escrocs s’appuient le plus souvent sur l’autorité. Les personnes se conforment plus rapidement à une demande qui semble émaner d’un supérieur hiérarchique, d’un administrateur informatique ou d’un organisme externe tel qu’un régulateur ou un fournisseur, souvent sans vérifier si cette autorité est bien réelle.

Urgence

L’urgence amplifie ce phénomène : une échéance serrée, un compte verrouillé ou un paiement qui doit être envoyé avant la fermeture de la banque pousse les personnes à agir plutôt qu’à vérifier, car marquer une pause pour procéder aux vérifications donne l’impression de pouvoir provoquer le problème même dont l’attaquant menace la cible.

Rareté

La rareté fonctionne de la même manière sous un angle différent : une offre à durée limitée, une fenêtre d’accès unique, un message suggérant que toute hésitation entraînera la perte d’une opportunité.

Preuve sociale

La preuve sociale persuade les individus qu’une demande est légitime parce que d’autres personnes semblent déjà l’avoir acceptée, « le reste du service financier a déjà validé cette demande », ou par l’intermédiaire d’un fil de discussion ressemblant à une véritable conversation interne. La sympathie exploite le relationnel : un attaquant amical, élogieux ou semblant bien connaître la culture d’entreprise amène la cible à baisser sa garde simplement en se montrant agréable au contact.

Réciprocité

La réciprocité est le plus discret des six leviers : une petite faveur, une information apparemment utile ou un compliment formulé en premier crée un sentiment d’obligation léger, souvent inconscient, de rendre la pareille.

Aucun de ces leviers n’est particulièrement sophistiqué. Ce sont les mêmes réflexes qui rendent possible la coopération ordinaire sur le lieu de travail. Toute demande utilisant un ou plusieurs de ces principes ressemble à une requête normale, légèrement urgente, du genre de celles auxquelles les employés sont formés à répondre rapidement et de manière serviable tout au long de leur carrière.

Les attaques auxquelles les employés sont réellement confrontés en entreprise

La plupart des organisations se concentrent sur les mesures contre le phishing, et nous avons déjà abordé la manière de se défendre contre les attaques par hameçonnage. Cependant, une formation à l’ingénierie sociale qui s’arrête aux e-mails ignore la majeure partie des risques auxquels les employés font face, en particulier au bureau ou dans un environnement de travail hybride où les appels téléphoniques, les visiteurs et les accès physiques font toujours partie du quotidien.

Le vishing

L’hameçonnage vocal, ou vishing, repose sur des appels téléphoniques ou des messages vocaux frauduleux. Un interlocuteur peut se faire passer pour le support informatique demandant de confirmer son mot de passe avant une mise à jour système, pour une banque vérifiant une transaction ou pour un livreur ayant besoin d’un code à usage unique pour finaliser une livraison.

La voix d’une personne confère une urgence et une autorité qu’un simple texte ne peut reproduire de manière convaincante, ce qui explique précisément pourquoi elle reste efficace, même contre des personnes qui s’estiment vigilantes face aux messages d’hameçonnage. De plus en plus, les attaquants emploient également des outils de clonage vocal pour imiter la voix d’un collègue ou d’un dirigeant réel, ce que le NCSC a identifié comme un risque croissant(nouvelle fenêtre) pour les particuliers comme pour les organisations. Nous avons également rédigé un article sur la prévention des deepfakes.

Le pretexting

Le pretexting consiste à élaborer un scénario qu’un attaquant utilise ensuite pour justifier une demande inhabituelle. Il peut se faire passer pour un nouveau fournisseur ayant besoin d’informations de compte pour configurer un paiement, pour un auditeur demandant les journaux d’accès ou pour un candidat à un poste demandant à un contact RH de confirmer des informations personnelles dans le cadre d’une vérification des antécédents.

Le scénario est souvent construit à partir de petits éléments d’information publics, comme un intitulé de poste et un nom de fournisseur associés pour paraître plausibles.

Le baiting

Le baiting propose quelque chose qu’un employé recherche : une ressource gratuite, une clé USB ou un disque dur aux couleurs d’une marque, un document intitulé « revue salariale T3 », en échange d’une action qui compromet un appareil ou un compte. Cette méthode fonctionne car elle ne sollicite pas la confiance comme le fait un e-mail d’hameçonnage ; elle s’appuie plutôt sur la curiosité pour convaincre.

Le tailgating

Le tailgating, ou talonnage, est la seule attaque de cette liste qui ne fait intervenir aucun écran. Un attaquant suit un employé à travers une porte sécurisée par badge, souvent en portant des cartons, vêtu d’une tenue ressemblant à un uniforme ou en synchronisant son arrivée au moment où maintenir la porte ouverte relève de la politesse. Cela exploite directement la courtoisie au travail, ce qui explique pourquoi la formation à la sécurité physique est souvent négligée dans les programmes entièrement axés sur les boîtes de réception.

À quoi ressemble concrètement la résistance aux attaques d’ingénierie sociale

Se contenter de dire aux employés d’« être plus méfiants » ne suffit pas face à une réelle pression. Suspicion is a feeling and attackers are specifically trying to override it. Training needs to replace that vague instruction with specific, repeatable behaviors that don’t depend on someone noticing they’re being manipulated in the moment.

Toujours vérifier

La vérification par un canal distinct est l’habitude la plus utile qu’une entreprise puisse instaurer. Si une demande arrive par e-mail, confirmez-la par téléphone ou en personne, à l’aide d’un numéro ou d’un contact déjà enregistré dans vos fichiers plutôt que fourni dans le message lui-même. Ce simple réflexe déjoue une grande partie des tentatives d’usurpation d’identité, quelle que soit la crédibilité du contact initial, car il retire à l’attaquant le contrôle de l’étape de vérification.

Prendre son temps

L’urgence doit être traitée comme un signal d’alerte incitant à ralentir, et non comme une raison d’ignorer une étape. Les employés doivent être formés à repérer lorsqu’une demande les pousse à privilégier la rapidité au détriment des procédures, car cette pression est rarement le fruit du hasard. Une demande légitime réellement urgente peut supporter un appel de vérification de deux minutes ; une demande qui ne peut tolérer ce délai doit être considérée avec méfiance, quelle que soit la personne dont elle semble émaner.

Obtenir une confirmation

Les demandes financières et relatives aux identifiants doivent systématiquement exiger la confirmation d’une seconde personne, et non à titre d’exception réservée aux transactions importantes. Cela élimine la pression sociale sur laquelle mise l’attaquant lorsqu’il isole un collaborateur pour le pousser à agir seul, et cela donne à cet employé un moyen direct et sans risque de reproche de déclarer : « Laissez-moi vérifier auprès d’un collègue », sans paraître peu coopératif ou méfiant.

Signaler les incidents évités de justesse

Le signalement des incidents évités de justesse permet de boucler la boucle. Un employé qui a répondu en partie à une demande, qui a hésité avant de céder ou qui a compris après coup que quelque chose clochait doit être encouragé à le signaler, même rétrospectivement et même si rien ne semble s’être mal passé. Ces signalements constituent souvent l’alerte la plus précoce dont dispose une entreprise pour savoir qu’elle est ciblée, et ils ne se manifestent que dans une culture où le signalement n’entraîne ni honte ni reproches.

Le même réflexe s’applique lorsque de l’argent ou des données ont réellement été transférés : Action Fraud(nouvelle fenêtre), le centre national britannique de signalement des fraudes et de la cybercriminalité, existe car plus un incident est signalé tôt, plus cela s’avère utile pour tous les autres acteurs ciblés par le même mode opératoire.

Pourquoi les présentations ne développent pas la résistance, contrairement à la simulation

Lire des informations sur les six leviers de persuasion est utile pour poser le contexte, mais cela ne modifie pas davantage le comportement sous une pression réelle que la lecture d’un document sur les exercices d’évacuation ne prépare à trouver la sortie de secours la plus proche. La résistance à la manipulation est une compétence pratique et non une simple notion retenue à partir d’un diaporama, c’est pourquoi les meilleures formations en ingénierie sociale reposent sur la simulation plutôt que sur un enseignement purement théorique.

Une simulation efficace place les collaborateurs face à une version réaliste de la pression qu’ils rencontreront sur le terrain : un appel simulé de fournisseur demandant des modifications de compte, une fausse demande urgente de la part d’une personne prétendant être un responsable ou un visiteur mis en scène demandant à franchir une porte sécurisée, tout en fournissant un retour immédiat et précis plutôt qu’une simple note de réussite ou d’échec.

L’objectif est de permettre aux collaborateurs de faire l’expérience de ce moment de pression dans un cadre sécurisé, d’identifier le levier actionné et de développer le réflexe de marquer une pause pour vérifier avant que la situation ne devienne critique.

La difficulté doit augmenter progressivement et les scénarios doivent refléter les rôles réels. Une personne travaillant au service financier fait face à des prétextes différents de ceux rencontrés à l’accueil, et l’exercice doit se conclure par un débriefing expliquant le mécanisme utilisé, et non simplement si la personne a réussi ou échoué.

Lorsqu’elle est bien menée, la simulation transforme les six leviers psychologiques en concepts clairs et reconnaissables par les collaborateurs, ce qui constitue la raison d’être d’une formation pensée pour être opérationnelle hors d’une salle de cours.

Former les personnes, pas seulement appliquer des politiques

L’ingénierie sociale réussit en ciblant des instincts qui rendent possible le travail d’équipe ordinaire : la confiance envers l’autorité, la réactivité face à l’urgence, la gêne à remettre en question les propos d’une personne qui semble hiérarchiquement supérieure ou bienveillante. Une formation qui se borne à définir ces attaques ou à en énumérer les catégories laisse les employés tout aussi exposés qu’auparavant, car reconnaître une définition et identifier une tentative de manipulation en direct sont deux compétences totalement différentes.

Un programme qui nomme les six leviers psychologiques, montre concrètement comment le vishing, le pretexting, le baiting et le tailgating se manifestent en milieu professionnel, et transmet aux collaborateurs des réflexes concrets et répétés (vérifier par un canal distinct, traiter l’urgence comme un signal d’alerte plutôt qu’une simple date limite, faire intervenir une seconde personne, signaler même les incidents évités de justesse) leur donne des outils qu’ils peuvent véritablement exploiter sous pression.

Renforcée par la simulation plutôt que par des présentations, et appuyée par des mots de passe uniques ainsi que par la MFA qui limite la portée d’une attaque réussie, cette combinaison transforme la simple sensibilisation en une réelle résistance.

Rien de tout cela ne remplace la mise en place du programme de formation lui-même : la fréquence, la structure, la régularité des rappels et la façon de mesurer son assimilation. C’est le périmètre couvert par notre guide complémentaire sur la création d’un programme de sensibilisation à la sécurité. Ce qui est abordé ici constitue le socle sous-jacent : la psychologie à laquelle les collaborateurs sont réellement confrontés et les habitudes précises et répétées qui résistent lorsque la pression devient réelle et non plus hypothétique.

Une équipe capable de nommer une tactique de persuasion au moment même où elle est déployée contre elle, et qui sait exactement quelle deuxième personne contacter avant d’agir, constitue une cible nettement plus difficile qu’une équipe à qui l’on a simplement demandé de rester vigilante. C’est précisément ce fossé que ce type de formation permet de combler.

Le lien avec les identifiants : pourquoi le confinement reste essentiel après une erreur

La formation réduit le taux de réussite de l’ingénierie sociale, mais elle ne peut pas le ramener à zéro. Un programme conçu avec cet objectif est voué à l’échec. Il arrivera toujours un moment où quelqu’un transmettra un mot de passe par téléphone, cliquera sur une fausse page de connexion ou confirmera des informations qui auraient dû rester confidentielles. Ce qui limite les dégâts à ce stade n’est pas le niveau de sensibilisation : ce sont les contrôles d’accès qui étaient déjà en place avant l’appel.

Un identifiant dérobé par ingénierie sociale est bien moins utile pour un attaquant s’il est unique à un seul service et protégé par l’authentification multifacteur (MFA). Des mots de passe uniques empêchent un identifiant compromis d’être réutilisé pour accéder à d’autres services, tandis que la MFA peut empêcher le mot de passe volé de donner accès, même au compte auquel il appartient.

Il s’agit de la même logique de confinement détaillée dans nos guides sur la mise en place d’une solide culture de sécurité en entreprise et sur la création de politiques de mot de passe robustes. Il est important de le rappeler ici, car l’ingénierie sociale et l’hygiène des mots de passe sont généralement traitées comme des problématiques séparées alors qu’il s’agit de deux étapes d’une même attaque.

Un gestionnaire de mots de passe professionnel comme Proton Pass for Business rend ce confinement réaliste à maintenir à grande échelle, plutôt que de dépendre de la capacité des employés individuels à penser à appliquer la politique.

Lorsque les identifiants sont stockés, générés et partagés de manière sécurisée par le biais d’un coffre-fort de mots de passe géré plutôt que mémorisés ou conservés dans des navigateurs ou des feuilles de calcul, une tentative d’ingénierie sociale réussie cesse d’offrir une porte d’entrée vers tous les systèmes utilisés par un collaborateur.

Proton Pass for Business facilite la gestion des identifiants pour chaque membre de l’équipe, et pas uniquement pour votre équipe informatique :

Réduisez l’exposition de votre équipe à l’ingénierie sociale grâce à un gestionnaire de mots de passe professionnel sécurisé.