Les attaques d’ingénierie sociale utilisent la tromperie et la manipulation psychologique pour inciter les personnes à révéler des informations sensibles, transférer de l’argent, ouvrir des fichiers malveillants ou accorder un accès non autorisé. Plutôt que de s’appuyer uniquement sur des vulnérabilités techniques, les attaquants exploitent la confiance, la peur, la curiosité, l’urgence, l’autorité et le désir d’aider.

Les formes courantes comprennent les courriels d’hameçonnage, les appels téléphoniques frauduleux, les escroqueries par SMS, l’usurpation de dirigeants, la compromission de messagerie professionnelle et l’usurpation vocale ou vidéo générée par l’IA. Ces attaques peuvent toucher les particuliers, les entreprises, les administrations, les établissements de santé, les établissements d’enseignement et les utilisateurs de cryptomonnaies.

La meilleure défense combine la sensibilisation à la sécurité, la vérification indépendante, l’authentification multifacteur (MFA), des contrôles d’accès stricts et une procédure claire de signalement des activités suspectes. Comme l’ingénierie sociale détourne souvent des processus professionnels légitimes, la vérification devrait être intégrée aux procédures de paiement, de récupération de compte, d’accès et de partage de données, plutôt que de reposer uniquement sur le jugement individuel.

Qu’est-ce qu’une attaque d’ingénierie sociale ?

Une attaque d’ingénierie sociale vise à manipuler une personne pour qu’elle accomplisse une action compromettant la sécurité. L’attaquant peut usurper l’identité d’une personne de confiance, inventer une urgence, proposer une récompense attrayante ou créer un faux site convaincant afin d’obtenir des identifiants, de l’argent, des informations confidentielles ou un accès au système.

Contrairement à une attaque technique conventionnelle qui exploite directement une vulnérabilité logicielle, l’ingénierie sociale persuade souvent la victime d’accomplir elle-même l’action permettant la compromission. Par exemple, un employé peut recevoir un courriel semblant provenir du directeur financier de l’entreprise et demandant un paiement urgent vers un nouveau compte fournisseur. Si l’employé suit les instructions sans vérifier la demande par un autre moyen, l’organisation peut perdre de l’argent même si ses systèmes sont par ailleurs sécurisés.

Principales caractéristiques de l’ingénierie sociale

• Exploitation de la confiance : L’attaquant usurpe l’identité d’une personne que la victime reconnaît ou respecte.
• Urgence : Le message pousse la victime à agir avant de vérifier les faits.
• Peur : L’attaquant menace de suspendre un compte, évoque des conséquences juridiques ou une perte financière.
• Curiosité : Un message ou une pièce jointe promet des informations intéressantes, confidentielles ou inattendues.
• Autorité : L’attaquant prétend représenter la direction, le support technique, une banque ou une administration.
• Incitations manipulées : La victime se voit proposer de l’argent, de l’aide, un accès ou une récompense en échange de sa coopération.

L’ingénierie sociale peut servir à voler des identifiants, commettre une fraude financière, installer un logiciel malveillant, faciliter une attaque par rançongiciel ou obtenir des informations commerciales confidentielles.

10 exemples d’attaques d’ingénierie sociale

Les exemples suivants expliquent le fonctionnement des techniques courantes, les moyens de les reconnaître et les réactions à adopter en toute sécurité.

1. Courriels d’hameçonnage

L’hameçonnage est une technique d’ingénierie sociale dans laquelle les attaquants envoient des courriels ou messages trompeurs semblant provenir d’organisations légitimes. Leur objectif est d’inciter les destinataires à cliquer sur des liens malveillants, à divulguer leurs identifiants, à télécharger des pièces jointes dangereuses ou à transmettre des informations de paiement.

Par exemple, un employé peut recevoir un courriel affirmant que son compte professionnel sera désactivé s’il ne vérifie pas immédiatement son mot de passe. Le message contient un lien vers une fausse page de connexion reproduisant l’image de marque de l’entreprise. Une fois les identifiants saisis, l’attaquant peut les récupérer et tenter d’accéder au véritable compte.

Les signes d’alerte comprennent les demandes inattendues de vérification d’un mot de passe ou de données de paiement, les adresses d’expéditeur qui imitent sans correspondre aux domaines légitimes, les liens menant vers des domaines inconnus ou mal orthographiés, les pièces jointes inattendues, les demandes d’activation de macros et les messages créant une pression ou menaçant de conséquences immédiates.

Pour réduire le risque, vérifiez les demandes par un canal de confiance, accédez directement aux sites officiels au lieu d’utiliser des liens non sollicités et signalez les messages suspects à l’équipe de sécurité compétente. La MFA et l’authentification résistante à l’hameçonnage peuvent réduire davantage le risque de compromission d’un compte.

2. Spear phishing et whaling

Le spear phishing est une attaque d’hameçonnage ciblée et adaptée à une personne ou une organisation particulière. Le whaling est une forme d’hameçonnage ciblé visant les cadres dirigeants ou d’autres personnes à forte valeur.

Les attaquants peuvent rechercher les intitulés de poste, les relations commerciales, les annonces publiques et les profils sur les réseaux sociaux afin de rendre leurs messages plus convaincants. Un responsable financier peut, par exemple, recevoir un courriel semblant provenir du directeur financier. Le message peut mentionner une acquisition récente et demander l’examen d’un document prétendument confidentiel. Le document peut mener vers une fausse page de connexion ou le message chercher directement à obtenir des informations sensibles.

Les signes d’alerte comprennent les demandes inattendues concernant des documents confidentiels, les messages faisant référence à de véritables projets mais demandant des actions inhabituelles, les demandes de contournement des procédures d’approbation et les instructions inhabituelles de dirigeants, même lorsque le style d’écriture semble authentique.

Les demandes inhabituelles doivent être vérifiées indépendamment, notamment lorsqu’elles concernent des identifiants, des données confidentielles ou des paiements. Les organisations devraient utiliser des circuits d’approbation, des contrôles d’accès fondés sur les rôles et des formations ciblées pour les employés disposant de privilèges financiers ou administratifs.

3. Smishing : faux messages texte

Le smishing est une forme d’hameçonnage menée par SMS ou par d’autres canaux de messagerie textuelle. Les attaquants peuvent se faire passer pour des sociétés de livraison, des banques, des administrations, des places de marché en ligne ou des équipes d’assistance.

Dans un scénario courant, une personne reçoit un SMS affirmant qu’un colis ne peut être livré qu’après le paiement de quelques frais. Le lien mène vers une fausse page de paiement qui recueille les données de carte et des informations personnelles. D’autres messages affirment qu’un compte bancaire a été bloqué ou qu’une transaction suspecte doit être confirmée immédiatement.

Les signes d’alerte comprennent les alertes inattendues concernant une livraison ou la sécurité d’un compte, les liens raccourcis ou inconnus, les demandes de mots de passe, de données de carte ou de codes à usage unique, ainsi que les menaces de blocage du compte si le destinataire n’agit pas immédiatement.

Ne suivez pas les liens de paiement inattendus. Vérifiez les informations de livraison ou de compte via l’application ou le site officiel du prestataire. Si le message prétend provenir d’une banque, contactez celle-ci à l’aide d’un numéro vérifié.

4. Vishing : hameçonnage vocal et arnaques téléphoniques

Le vishing utilise des appels ou des messages vocaux pour persuader les victimes de divulguer des informations sensibles, d’autoriser des paiements ou d’accorder l’accès à un compte. Les attaquants peuvent se faire passer pour des employés de banque, des agents publics, des techniciens du support ou des dirigeants. Certains utilisent l’usurpation de l’identifiant d’appelant afin de faire croire que l’appel provient d’une organisation légitime.

Par exemple, un appelant peut prétendre travailler au service fraude d’une banque et affirmer que le compte du destinataire est attaqué. Il demande alors un code à usage unique pour bloquer la transaction. Si la victime communique le code, l’attaquant peut l’utiliser pour autoriser l’accès au compte ou une transaction.

Les signes d’alerte comprennent les demandes de mots de passe, de codes à usage unique ou de codes de récupération, la pression pour transférer de l’argent vers un compte prétendument sécurisé, les instructions d’installation d’un logiciel d’accès à distance, les menaces, les demandes de confidentialité et les demandes de contournement des procédures habituelles.

Mettez fin aux appels inattendus demandant des informations sensibles et contactez vous-même l’organisation à l’aide de ses coordonnées officielles. Ne communiquez jamais de codes d’authentification à un appelant et n’approuvez pas une connexion que vous n’avez pas initiée.

5. Prétexting et usurpation d’identité

Le prétexting consiste à inventer une identité ou une situation crédible pour persuader une personne de fournir des informations ou d’accomplir une action. L’usurpation d’identité est souvent utilisée pour établir cette fausse identité. L’attaquant peut se présenter comme un technicien informatique, un fournisseur, un auditeur, un collègue, un recruteur ou un client.

Par exemple, une personne peut contacter un employé en prétendant faire partie de l’équipe informatique interne. Elle affirme qu’une migration des systèmes est en cours et demande à l’employé de confirmer ses identifiants. L’histoire semble plausible parce que l’organisation effectue réellement une maintenance technique, mais l’identité de l’appelant n’a pas été vérifiée.

Les signes d’alerte comprennent les demandes d’informations qui ne relèvent pas des responsabilités habituelles du demandeur, le refus de suivre les contrôles d’identité, l’utilisation d’un nom familier avec un numéro de téléphone ou une adresse électronique inconnus et les demandes d’informations confidentielles sous prétexte d’audit ou d’urgence.

Confirmez l’identité au moyen d’un moyen de contact obtenu indépendamment. Suivez les procédures documentées de récupération de compte, de support technique et de demande d’accès. Les employés doivent être encouragés à remettre en question les demandes inhabituelles sans craindre les critiques.

6. Compromission de messagerie professionnelle (BEC)

La compromission de messagerie professionnelle est une forme de fraude dans laquelle les attaquants utilisent des comptes de messagerie compromis ou une usurpation convaincante pour manipuler des paiements professionnels ou obtenir des informations sensibles. Les attaques BEC ciblent fréquemment les équipes financières, les dirigeants, les fournisseurs et les employés responsables de la paie ou des comptes fournisseurs.

L’Internet Crime Complaint Center du FBI a fait état d’environ 55,5 milliards de dollars de pertes exposées associées aux incidents BEC signalés dans le monde entre octobre 2013 et décembre 2023. Il s’agit d’un chiffre cumulé fondé sur les plaintes, et non d’une estimation des pertes annuelles ni d’une preuve que chaque incident reposait sur la même technique.

Dans un exemple courant, un employé chargé des comptes fournisseurs reçoit un courriel semblant provenir d’un fournisseur habituel. Le message indique que le fournisseur a changé de compte bancaire et demande que le prochain paiement soit envoyé vers le nouveau compte. Le courriel peut avoir été envoyé depuis le compte compromis du fournisseur, ce qui rend la demande particulièrement difficile à distinguer d’une correspondance légitime.

Les signes d’alerte comprennent les changements de coordonnées bancaires d’un fournisseur, les demandes inattendues de transferts urgents ou confidentiels, les légères modifications d’une adresse électronique ou d’un domaine et les demandes de garder les transactions secrètes ou d’éviter les approbations habituelles.

Vérifiez les changements de coordonnées de paiement au moyen d’un numéro de téléphone établi antérieurement ou d’un autre canal de confiance. Exigez une approbation indépendante pour les virements importants, utilisez une double autorisation et examinez les anomalies de paiement. Les technologies d’authentification des courriels telles que SPF, DKIM et DMARC peuvent contribuer à lutter contre certaines formes d’usurpation, mais elles n’éliminent ni les risques d’usurpation d’identité ni ceux liés aux comptes compromis.

7. Appâtage et périphériques USB malveillants

L’appâtage exploite la curiosité, les incitations financières ou le désir d’obtenir quelque chose d’utile. Les attaquants peuvent proposer de faux téléchargements, des logiciels gratuits, des prix ou des périphériques physiques conduisant à une infection par logiciel malveillant ou à un vol d’informations.

Par exemple, une personne peut trouver une clé USB portant la mention « Confidentiel — Paie » sur le parking d’un bureau et la connecter à un ordinateur professionnel par curiosité. Si le périphérique contient des fichiers malveillants ou exploite une vulnérabilité, il peut exposer l’ordinateur ou le réseau de l’organisation à un risque.

Les signes d’alerte comprennent les clés USB ou périphériques de stockage non sollicités, les téléchargements présentés comme des logiciels premium gratuits, les fichiers inattendus nécessitant des autorisations inhabituelles et les offres exigeant la désactivation des protections de sécurité.

Ne connectez jamais un périphérique de stockage inconnu à un ordinateur professionnel ou personnel. Utilisez des sources de logiciels approuvées, une protection des terminaux, des contrôles applicatifs et des politiques limitant les supports amovibles non autorisés.

8. Tailgating et ingénierie sociale physique

Le tailgating se produit lorsqu’une personne non autorisée entre dans une zone restreinte en suivant une personne autorisée à travers une entrée sécurisée. L’attaquant peut se faire passer pour un livreur, un prestataire, un visiteur ou un collègue ayant oublié son badge.

Par exemple, une personne portant plusieurs cartons peut approcher un employé entrant dans un bureau sécurisé et lui demander de tenir la porte parce qu’elle a les mains prises. Si l’employé la laisse entrer sans vérifier son autorisation, l’attaquant peut accéder aux bureaux, aux appareils, aux documents ou aux équipements réseau.

Les signes d’alerte comprennent les personnes demandant de contourner le contrôle des badges, les visiteurs incapables de présenter une pièce d’identité valide, les personnes non accompagnées dans des zones restreintes et les demandes d’ignorer les procédures de sécurité physique par politesse.

Chaque personne doit utiliser la procédure de contrôle d’accès appropriée. Les employés devraient orienter poliment les visiteurs vers l’accueil au lieu d’autoriser une entrée non vérifiée. Les organisations peuvent renforcer leur protection grâce aux registres de visiteurs, aux badges d’accès, au personnel de sécurité et aux dispositifs anti-tailgating.

9. Attaques de type watering hole

Une attaque de type watering hole compromet un site web ou une ressource en ligne que les membres d’un groupe ciblé sont susceptibles de consulter. L’objectif est d’atteindre les victimes par l’intermédiaire d’un site auquel elles font déjà confiance. Contrairement à un hameçonnage classique, l’attaquant n’a pas nécessairement besoin d’envoyer directement un message à la victime.

Par exemple, des attaquants peuvent compromettre un site fréquemment utilisé par des professionnels d’un secteur donné. Les visiteurs peuvent être confrontés à un contenu malveillant tentant d’exploiter des vulnérabilités du navigateur ou de les rediriger vers des pages frauduleuses. Une attaque réussie peut exposer des informations sensibles ou servir de point de départ à une compromission plus importante.

Les signes d’alerte comprennent les redirections inattendues depuis des sites familiers, les avertissements de sécurité ou comportements inhabituels du navigateur, les demandes d’installation de logiciels ou d’extensions inconnus et les téléchargements inexpliqués depuis des sites qui n’en proposent normalement pas.

Maintenez à jour les navigateurs, les systèmes d’exploitation et les outils de sécurité. Utilisez une protection fiable des terminaux, limitez les privilèges inutiles du navigateur et examinez les téléchargements ou redirections inattendus. Les propriétaires de sites doivent également maintenir leurs logiciels, surveiller les modifications non autorisées et corriger rapidement les vulnérabilités.

10. Usurpation générée par l’IA et deepfakes

L’intelligence artificielle peut aider les attaquants à créer des messages convaincants, des voix synthétiques, des images modifiées et des imitations vidéo réalistes. Ces outils peuvent rendre l’ingénierie sociale plus persuasive, notamment lorsqu’ils sont combinés à des informations recueillies dans des sources publiques.

Les attaques assistées par l’IA peuvent se recouper avec l’hameçonnage, le vishing, le spear phishing et la compromission de messagerie professionnelle. L’IA est un outil qui peut renforcer ces techniques existantes, et non une catégorie d’attaque entièrement distincte.

Dans un exemple, un employé reçoit un appel vidéo semblant montrer un cadre dirigeant demandant un transfert financier urgent. L’appelant a une voix familière et fait référence à de véritables projets de l’entreprise. L’employé suppose que la demande est authentique et commence le transfert sans suivre la procédure d’approbation habituelle.

Les signes d’alerte comprennent les demandes financières inhabituelles lors d’appels inattendus, la pression pour contourner les procédures de paiement, le refus de vérifier l’identité par un autre canal et les changements inattendus dans les habitudes de communication, même lorsque la voix ou la vidéo semble authentique.

Utilisez les procédures établies de vérification d’identité et d’approbation des paiements. Vérifiez les demandes inhabituelles par un canal distinct et fiable et appliquez les méthodes internes convenues pour les transactions à haut risque. Ne vous fiez pas exclusivement aux défauts visuels, à une élocution inhabituelle ou à d’autres prétendus indices de deepfake. Les médias synthétiques peuvent être convaincants, et des enregistrements légitimes peuvent aussi sembler inhabituels.

Cas réels d’ingénierie sociale et de cyberattaques

Les incidents documentés montrent pourquoi les organisations doivent protéger à la fois leur technologie et les personnes qui l’utilisent. Toutefois, toutes les compromissions majeures ne sont pas des incidents d’ingénierie sociale confirmés. Cette distinction est importante pour évaluer ce qui s’est réellement passé et les enseignements qui peuvent raisonnablement en être tirés.

Target Corporation : la fuite de données de 2013

En décembre 2013, Target a révélé un accès non autorisé ayant touché environ 40 millions de comptes de cartes de crédit et de débit. L’entreprise a ensuite indiqué que les informations associées à 70 millions de personnes au maximum avaient également été volées. Les enquêtes ont documenté la présence de logiciels malveillants sur les systèmes de points de vente.

L’incident est souvent évoqué dans le contexte de la sécurité des tiers et des risques liés à la chaîne d’approvisionnement. Toutefois, l’existence d’une relation avec un fournisseur ne signifie pas que chaque détail de la compromission initiale doit être décrit comme une technique d’ingénierie sociale confirmée.

La leçon de sécurité est que les organisations doivent limiter les accès des tiers, surveiller les connexions des fournisseurs, segmenter les systèmes sensibles et enquêter sur les activités suspectes dans leurs réseaux.

Sony Pictures Entertainment : la cyberattaque de 2014

En novembre 2014, Sony Pictures Entertainment a subi une cyberattaque majeure impliquant un logiciel malveillant destructeur ainsi que le vol d’informations propriétaires, de données personnelles d’employés et de communications confidentielles. Le FBI a rendu publiques les conclusions de son enquête en décembre 2014.

L’incident illustre la manière dont une cyberattaque peut affecter les opérations, les communications confidentielles, la vie privée des employés et la propriété intellectuelle. Les organisations doivent conserver des sauvegardes testées, limiter les accès privilégiés, surveiller les réseaux, élaborer des plans de réponse aux incidents et se préparer aux conséquences opérationnelles d’une compromission grave.

Compromission de messagerie professionnelle : pertes financières documentées

La compromission de messagerie professionnelle constitue une autre menace bien documentée. Le FBI a signalé des pertes cumulées importantes associées aux plaintes liées au BEC, illustrant la capacité de l’usurpation et des instructions de paiement frauduleuses à causer des dommages financiers considérables.

Le risque principal ne tient pas seulement au fait qu’un courriel frauduleux semble convaincant. Il tient au fait que son destinataire peut être habilité à déplacer des fonds, modifier les coordonnées d’un fournisseur ou divulguer des informations sensibles.

Les instructions de paiement doivent être vérifiées indépendamment, l’initiation du paiement doit être séparée de son approbation et les organisations doivent établir des procédures claires pour répondre aux demandes financières inhabituelles.

Points communs entre ces incidents

Plusieurs enseignements pratiques ressortent de ces affaires :

• Les contrôles techniques doivent être soutenus par des procédures opérationnelles solides.
• L’accès des tiers doit être limité à ce qui est nécessaire.
• Les employés doivent disposer d’un moyen simple de signaler les activités suspectes.
• Les actions financières et privilégiées doivent faire l’objet d’une vérification appropriée.
• Les plans de réponse aux incidents doivent être testés avant qu’une attaque ne survienne.

Ces enseignements sont plus utiles que de supposer que chaque compromission majeure repose sur le même mécanisme psychologique.

Pourquoi les attaques d’ingénierie sociale fonctionnent-elles ?

L’ingénierie sociale réussit lorsqu’un attaquant influence la décision d’une personne avant que celle-ci ne vérifie la demande. Plusieurs facteurs psychologiques rendent ces attaques efficaces :

• Biais d’autorité : Les personnes peuvent obéir à quelqu’un qui prétend être un responsable, un policier ou un spécialiste informatique.
• Urgence : La pression temporelle réduit la possibilité de vérifier la légitimité d’une demande.
• Peur : Les menaces concernant l’argent, l’emploi, les conséquences juridiques ou la suspension d’un compte peuvent provoquer une réaction impulsive.
• Curiosité : Les fichiers inattendus, les affirmations sensationnelles et les offres attrayantes encouragent les clics.
• Confiance et familiarité : Les attaquants imitent des collègues, des fournisseurs, des amis ou des membres de la famille.
• Réciprocité : Une personne qui propose de l’aide ou une récompense peut attendre quelque chose en retour.
• Routine et distraction : Les employés occupés peuvent approuver des demandes sans appliquer les contrôles habituels.

Ces facteurs ne prouvent pas que les victimes sont imprudentes ou inintelligentes. L’ingénierie sociale est conçue pour exploiter des comportements humains ordinaires, notamment la tendance naturelle à faire confiance aux personnes familières et à réagir aux situations urgentes. Une prévention efficace facilite les décisions sûres en intégrant la vérification aux processus quotidiens.

Comment prévenir les attaques d’ingénierie sociale

La meilleure défense associe la vigilance individuelle aux contrôles de sécurité organisationnels. La formation est importante, mais les employés ne doivent pas être censés détecter seuls toutes les tentatives d’usurpation sophistiquées.

Pour les particuliers

• Vérifiez les demandes inattendues. Contactez l’expéditeur via un numéro connu, l’application officielle ou une adresse électronique vérifiée indépendamment.
• Évitez les liens et pièces jointes suspects. Accédez directement au site officiel lorsque vous consultez un compte ou un service.
• Ne communiquez jamais les codes d’authentification. Ne partagez pas de mots de passe à usage unique, de codes de récupération ou de mots de passe avec des appelants ou expéditeurs inattendus.
• Activez l’authentification multifacteur. Lorsque cela est possible, privilégiez les méthodes résistantes à l’hameçonnage, comme les passkeys ou les clés de sécurité matérielles.
• Utilisez des mots de passe uniques. Un gestionnaire de mots de passe fiable peut aider à générer et à stocker des mots de passe différents pour chaque service.
• Maintenez vos logiciels à jour. Installez les mises à jour de sécurité des systèmes d’exploitation, navigateurs, applications et appareils mobiles.
• Limitez les informations personnelles publiques. Évitez de partager des informations qui pourraient faciliter une usurpation ou un hameçonnage ciblé.
• Signalez les messages suspects. Utilisez la fonction de signalement de la plateforme concernée ou contactez l’organisation usurpée.

Pour les organisations

Les organisations doivent combiner des mesures techniques, des procédures claires et une formation régulière des employés. Les exercices de sécurité doivent renforcer la résilience, et non humilier les employés.

Les organisations devraient mesurer les taux de signalement, les délais de réponse, les faiblesses récurrentes et l’efficacité des mesures correctives, plutôt que de se fier uniquement aux taux de clics. Pour un cadre plus large de gestion des risques, consultez le NIST Cybersecurity Framework et les conseils de la CISA pour reconnaître et signaler l’hameçonnage.

Que faire si vous êtes victime d’une arnaque d’ingénierie sociale ?

Si vous avez cliqué sur un lien suspect, partagé des informations sensibles, installé un logiciel inattendu ou transféré de l’argent, agissez rapidement. La réponse appropriée dépend des informations exposées.

1. Sécurisez les comptes concernés. Depuis un appareil fiable, modifiez les mots de passe compromis, révoquez si possible les sessions actives et réinitialisez les identifiants de récupération exposés. Sécurisez d’abord le compte de messagerie s’il peut servir à réinitialiser d’autres mots de passe.

2. Contactez votre banque ou votre prestataire de paiement. Si de l’argent ou des informations de paiement sont concernés, signalez immédiatement l’incident. Demandez, selon le cas, l’annulation du virement, le blocage du paiement ou le remplacement de la carte. La récupération n’est pas garantie, d’où l’importance d’agir vite.

3. Signalez l’incident. Informez l’équipe informatique ou de sécurité de votre organisation, le service usurpé ou l’autorité nationale compétente en matière de cybercriminalité. Conservez les messages suspects et les relevés de transactions.

4. Vérifiez les appareils concernés. Si vous avez installé un logiciel ou ouvert une pièce jointe suspecte, contactez un professionnel de la sécurité de confiance ou l’équipe informatique de votre organisation. Déconnectez si nécessaire l’appareil potentiellement compromis du réseau et évitez de l’utiliser pour des transactions sensibles avant son évaluation.

5. Surveillez les utilisations abusives ultérieures. Examinez l’activité des comptes, les relevés financiers, les alertes de réinitialisation de mot de passe et les notifications liées à l’identité. Soyez attentif aux escroqueries de suivi exploitant les informations déjà divulguées.

Si l’incident concerne des cryptomonnaies, sécurisez immédiatement le compte de la plateforme d’échange et le compte de messagerie concernés. Si des phrases de récupération ou des clés privées de portefeuille ont été exposées, considérez le portefeuille associé comme compromis et demandez des conseils de récupération fiables et propres à ce portefeuille. Les transactions sur blockchain sont généralement irréversibles et aucun service de récupération ne peut garantir le retour des fonds volés.

Statistiques et sources sur l’ingénierie sociale

Les statistiques peuvent aider à comprendre l’ampleur de la cybercriminalité, mais uniquement lorsque leurs définitions, périodes d’observation et limites sont clairement établies.

Le FBI a annoncé en avril 2025 que son Internet Crime Report 2024 recensait 859 532 plaintes pour cybercriminalité présumée et plus de 16 milliards de dollars de pertes signalées, soit une hausse de 33 % par rapport à 2023. Ces chiffres couvrent largement la cybercriminalité signalée et ne mesurent pas uniquement les pertes liées à l’ingénierie sociale.

Le 2024 Data Breach Investigations Report de Verizon a constaté que le prétexting apparaissait dans plus de 40 % des incidents d’ingénierie sociale examinés, tandis que l’hameçonnage était présent dans 31 % d’entre eux. Ces pourcentages décrivent l’ensemble d’incidents analysé par le rapport et non la probabilité de réussite d’une tentative individuelle d’hameçonnage.

Les chiffres cumulés du FBI concernant le BEC montrent que les communications professionnelles frauduleuses peuvent entraîner des pertes chez des victimes nationales comme internationales. Ces données reposent sur les plaintes et ne doivent pas être interprétées comme un recensement complet de tous les incidents dans le monde.

Pour évaluer une statistique sur l’ingénierie sociale, demandez-vous quelle année ou période elle couvre, si elle mesure des attaques, des tentatives, des incidents, des compromissions confirmées, des plaintes ou des pertes financières, si elle est mondiale ou limitée à un pays ou un secteur, si la source rapporte des observations ou formule une prévision et quelles limites elle reconnaît.

Ne combinez pas les nombres d’incidents, les taux de réussite, les coûts des compromissions et les pertes liées aux fraudes signalées dans une même comparaison. Ces mesures décrivent des réalités différentes et ne sont pas directement interchangeables. Pour les recherches en cours, consultez le Verizon Data Breach Investigations Report et les rapports annuels du FBI IC3. Vérifiez l’existence d’éditions plus récentes avant de publier des statistiques annuelles.

Foire aux questions

Quel est un exemple réel d’attaque d’ingénierie sociale ?

Un exemple courant est un appel téléphonique frauduleux au cours duquel une personne se fait passer pour un employé de banque et demande à un client de communiquer un code à usage unique. L’attaquant peut utiliser ce code pour accéder au compte ou autoriser une transaction. La réaction sûre consiste à mettre fin à l’appel et à contacter la banque par un canal vérifié indépendamment.

Quels sont les types d’attaques d’ingénierie sociale les plus courants ?

Les types courants comprennent l’hameçonnage, le spear phishing, le smishing, le vishing, le prétexting, l’usurpation d’identité, la compromission de messagerie professionnelle, l’appâtage et le tailgating. Les attaques de type watering hole et l’usurpation générée par l’IA sont d’autres techniques pouvant atteindre ou tromper des cibles précises.

Quelle est la différence entre l’hameçonnage et l’ingénierie sociale ?

L’hameçonnage est une forme d’ingénierie sociale. Il utilise généralement des courriels, messages, sites web ou autres communications trompeuses pour voler des informations ou déclencher des actions dangereuses. L’ingénierie sociale est une catégorie plus large qui comprend aussi les arnaques téléphoniques, l’usurpation physique, les demandes de paiement frauduleuses et d’autres formes de manipulation.

Comment fonctionnent les attaques d’ingénierie sociale ?

Les attaquants étudient leurs cibles, élaborent une histoire crédible et exploitent la confiance, l’urgence, la peur, la curiosité ou l’autorité. Ils persuadent ensuite la victime de divulguer des informations, de cliquer sur un lien, d’installer un logiciel, d’approuver un accès ou de transférer de l’argent. Les procédures de vérification et les contrôles de sécurité peuvent interrompre ce processus.

Pourquoi les attaques d’ingénierie sociale sont-elles dangereuses ?

Elles peuvent contourner certaines protections techniques en persuadant des utilisateurs légitimes d’effectuer des actions avec leurs propres droits d’accès. Les conséquences peuvent inclure des fraudes financières, des vols d’identité, des comptes compromis, des fuites de données, des infections par logiciels malveillants, des perturbations opérationnelles et des atteintes à la réputation.

Comment l’IA rend-elle les attaques d’ingénierie sociale plus convaincantes ?

L’IA peut aider les attaquants à générer des messages personnalisés, imiter des styles d’écriture, produire des voix synthétiques et créer des images ou vidéos manipulées. Ces capacités peuvent rendre l’usurpation plus convaincante, mais elles ne garantissent pas la réussite d’une attaque. Les contrôles d’identité indépendants et les procédures d’approbation établies restent essentiels.

Comment les entreprises peuvent-elles prévenir les attaques d’ingénierie sociale ?

Les entreprises doivent associer une formation régulière à la sécurité, la MFA, des accès limités au moindre privilège, la sécurité des courriels, la vérification indépendante des paiements, des contrôles des fournisseurs, des procédures de réponse aux incidents et des canaux de signalement simples. Les demandes à haut risque doivent être vérifiées indépendamment du message d’origine.

Les petites entreprises sont-elles vulnérables à l’ingénierie sociale ?

Oui. Les petites entreprises peuvent être ciblées par de fausses factures, l’usurpation de fournisseurs, les tentatives de prise de contrôle de comptes, le faux support technique et l’hameçonnage. Des ressources de sécurité limitées peuvent accroître leur exposition, ce qui rend particulièrement importants les contrôles de base tels que les mots de passe uniques, la MFA, la vérification des paiements, les sauvegardes et la formation des employés.

Que dois-je faire si j’ai cliqué par erreur sur un lien d’hameçonnage ?

Ne saisissez aucune information supplémentaire et ne téléchargez rien d’autre. Si vous avez transmis des identifiants, modifiez le mot de passe concerné depuis un appareil fiable et révoquez si possible les sessions actives. Si vous avez installé un logiciel, demandez une assistance de sécurité. Signalez le message et surveillez les comptes concernés pour détecter toute activité suspecte.

Comment reconnaître une arnaque de compromission de messagerie professionnelle ?

Soyez attentif aux instructions de paiement inattendues, aux changements de compte bancaire d’un fournisseur, aux demandes inhabituelles de dirigeants et à la pression pour contourner les procédures établies. Les adresses électroniques et les styles d’écriture peuvent être imités ; vérifiez donc les instructions financières par un canal de communication distinct et fiable.

Quel rôle les réseaux sociaux jouent-ils dans l’ingénierie sociale ?

Les profils publics peuvent révéler les fonctions professionnelles, les centres d’intérêt, les relations commerciales, les projets de voyage et des détails sur l’organisation. Les attaquants peuvent utiliser ces informations pour créer des tentatives d’usurpation crédibles. Limitez les divulgations publiques inutiles et vérifiez les demandes inattendues, même lorsqu’elles font référence à des détails personnels ou professionnels authentiques.

L’authentification multifacteur peut-elle empêcher les attaques d’ingénierie sociale ?

La MFA peut réduire le risque de prise de contrôle d’un compte lorsqu’un mot de passe est volé, mais elle n’empêche pas toutes les attaques d’ingénierie sociale. Les attaquants peuvent tenter de tromper les victimes afin qu’elles approuvent des demandes de connexion frauduleuses ou communiquent des codes d’authentification. L’authentification résistante à l’hameçonnage, comme les passkeys ou les clés de sécurité, offre une meilleure protection contre de nombreuses techniques de vol d’identifiants.

Conclusion

Les attaques d’ingénierie sociale exploitent la confiance et les décisions humaines pour accéder à des informations, des comptes, des systèmes ou de l’argent. Les courriels d’hameçonnage, les appels frauduleux, l’usurpation d’identité, la compromission de messagerie professionnelle, l’intrusion physique et la tromperie générée par l’IA sont des méthodes différentes, mais elles poursuivent le même objectif : persuader une cible d’accomplir une action dangereuse.

La meilleure défense associe la vigilance humaine à des mesures de protection concrètes. Les particuliers doivent vérifier les demandes inattendues, protéger leurs identifiants d’authentification et signaler les activités suspectes. Les organisations doivent imposer des contrôles de paiement, limiter les accès, sécuriser leurs systèmes et permettre aux employés de remettre facilement en question les instructions inhabituelles.

Les cyberincidents réels montrent pourquoi ni la technologie ni la formation ne suffisent à elles seules. Une stratégie de sécurité résiliente considère les personnes, les processus, les tiers et la technologie comme des composantes liées d’une même défense.

Source : Cryptsy. Écrit par Ethan Blackburn.