L’ingénierie sociale désigne l’ensemble des techniques de manipulation psychologique employées pour amener une personne à divulguer une information confidentielle, exécuter un paiement ou ouvrir un accès. L’attaquant n’exploite pas une faille logicielle : il détourne le fonctionnement normal d’une organisation, ses procédures et la confiance qui lie ses collaborateurs.
Les ressorts psychologiques exploités
Si les scénarios se renouvellent au fil des campagnes, les leviers psychologiques mobilisés restent en nombre limité. Le respect de l’autorité arrive en tête : un message qui paraît émaner d’un dirigeant, d’un régulateur ou du service informatique obtient une action que la même demande anonyme n’aurait pas déclenchée. Vient s’y ajouter la pression temporelle. Un virement à passer avant la clôture comptable ou un compte prétendument sur le point d’être bloqué court-circuitent les réflexes de vérification, précisément parce que l’urgence interdit de prendre du recul.
La confiance fonctionne autrement. L’attaquant ne force rien, il se glisse dans une relation existante en usurpant l’adresse d’un fournisseur habituel ou en reprenant le fil d’un échange authentique dont la messagerie a été compromise. La peur complète le dispositif quand la victime, persuadée d’avoir commis une erreur, préfère « régulariser » discrètement la situation plutôt que d’alerter sa hiérarchie. Reste l’habitude : un gestionnaire qui valide des dizaines de factures par jour finit par traiter la pièce frauduleuse comme toutes les autres, sans que rien n’attire son attention.
Des canaux d’attaque multiples
Le courriel est le canal historique de ces manœuvres. Au-delà de l’hameçonnage de masse, les fraudes dites BEC (business email compromise) reposent sur une usurpation d’identité soignée, parfois préparée par une longue phase d’observation des échanges internes. La fraude au président en illustre le principe : un faux dirigeant ordonne à un collaborateur habilité un virement présenté comme confidentiel et urgent.
Le téléphone offre à l’attaquant ce que l’écrit ne permet pas, l’interaction en temps réel. Le scénario du faux conseiller bancaire illustre cette mécanique : l’appelant connaît déjà le nom de sa cible, parfois son IBAN, et l’amène à valider elle-même les opérations frauduleuses. Sur mobile, le smishing transpose l’hameçonnage dans un environnement où les liens sont raccourcis et les écrans réduits, ce qui complique l’examen d’une adresse. Plus récent, le quishing remplace le lien par un QR code, un format d’image que les filtres de messagerie peinent encore à analyser.
L’approche physique n’a pas disparu pour autant. Le talonnage, qui consiste à franchir un contrôle d’accès dans le sillage d’un porteur de badge légitime, ou le faux technicien venu « intervenir sur la baie réseau » donnent un accès direct aux locaux et aux équipements, sans laisser la trace numérique qu’un courriel piégé produirait.
Ce que change l’IA générative
Les modèles génératifs ont fait disparaître une partie des indices sur lesquels reposait la détection, à commencer par les fautes d’orthographe et les tournures maladroites des messages traduits à la chaîne. Ils permettent surtout de synthétiser une voix ou un visage. Un deepfake vocal construit à partir de quelques extraits audio publics peut soutenir l’appel d’un faux dirigeant, et la vidéo truquée en temps réel s’invite dans les visioconférences. Le secteur financier observe ces usages dans les fraudes par deepfake visant les banques comme dans les tentatives de contournement des contrôles d’identité à distance par usurpation faciale.
Pourquoi le secteur financier est particulièrement visé
Une banque ou un assureur concentre ce que recherche un fraudeur : la capacité d’exécuter des paiements et des données clients monnayables, le tout organisé selon des chaînes de validation dont le fonctionnement est en partie prévisible. Le circuit d’approbation des virements, les délégations de signature ou encore le calendrier des clôtures comptables sont autant d’informations que l’attaquant reconstitue à partir de sources ouvertes, d’organigrammes publiés ou d’une première compromission de messagerie. Les interfaces avec les prestataires, trésorerie externalisée ou support informatique par exemple, offrent des points d’entrée supplémentaires où une demande inhabituelle peut passer pour un aléa normal de la relation commerciale.
Des procédures de vérification qui résistent à la manipulation
Face à ces manœuvres, les dispositifs publics de prévention mettent l’accent sur la solidité des procédures au moins autant que sur les outils techniques. La fiche hameçonnage de cybermalveillance.gouv.fr conseille ainsi de ne jamais répondre à une sollicitation en utilisant les coordonnées qu’elle contient, mais de contacter directement l’organisme concerné. Appliqué aux virements et aux changements de coordonnées bancaires, ce principe se traduit par un rappel systématique via un canal distinct, vers un numéro déjà connu, ce qui retire à l’attaquant le contrôle de l’échange.
Ce verrou procédural suppose une culture où contester une demande, même signée d’un dirigeant, est un comportement attendu et non une faute. L’ANSSI publie des guides de bonnes pratiques qui replacent cette vigilance dans l’hygiène informatique quotidienne, et l’ENISA maintient l’ingénierie sociale parmi les grandes catégories de menaces observées en Europe dans son panorama annuel. Ce constat nourrit les démarches de sensibilisation des collaborateurs, dont les modalités concrètes font l’objet de retours d’expérience contrastés. Sur le plan technique, le déploiement d’une authentification résistante au phishing limite les conséquences d’un identifiant dérobé, sans dispenser de traiter le levier humain.
Questions fréquentes sur l’ingénierie sociale
Qu’est-ce que l’ingénierie sociale en cybersécurité ?
Le terme regroupe les attaques qui passent par la manipulation d’une personne plutôt que par une vulnérabilité technique. L’objectif peut être un mot de passe, un virement, un accès à des locaux ou l’installation d’un logiciel malveillant. Hameçonnage, fraude au président, faux support informatique ou talonnage à l’entrée d’un bâtiment relèvent tous de cette même logique.
Quelle est la différence entre phishing et ingénierie sociale ?
Le phishing est l’une des formes que prend l’ingénierie sociale : celle qui passe par un message écrit, courriel, SMS ou messagerie instantanée, contenant un lien ou une pièce jointe piégés. L’ingénierie sociale est la catégorie englobante. Elle couvre aussi les appels téléphoniques, les deepfakes ou l’intrusion physique, qui ne comportent parfois aucun élément technique.
Comment reconnaître une tentative d’ingénierie sociale ?
Certains signaux reviennent dans la plupart des scénarios : une demande inhabituelle présentée comme urgente et confidentielle, un changement de coordonnées bancaires, un interlocuteur qui refuse d’être rappelé sur un numéro connu ou qui pousse à contourner une procédure. La combinaison de plusieurs de ces éléments justifie une vérification par un canal indépendant avant toute action.
Que faire en cas d’attaque par ingénierie sociale ?
En entreprise, la première étape consiste à prévenir l’équipe sécurité et, si un virement est parti, la banque, qui peut tenter un rappel des fonds. Cybermalveillance.gouv.fr propose des fiches réflexes détaillant les démarches selon la situation, de la conservation des preuves jusqu’au dépôt de plainte. Les SMS frauduleux peuvent par ailleurs être signalés au 33700.
