Exposition publique et reconnaissance : ce que les attaquants savent de vos collaborateurs avant de passer à l’action

Avant l’attaque, l’enquête

Une demande de modification de coordonnées bancaires arrive au service comptabilité fournisseurs. Elle cite le bon prestataire, le bon interlocuteur, la bonne référence de contrat, et tombe la semaine de la campagne de paiements trimestrielle. Le lendemain, le centre d’assistance informatique reçoit l’appel d’un collaborateur qui connaît le nom de son responsable, son service, sa date d’arrivée, et qui demande à réenrôler son second facteur d’authentification après la perte de son téléphone. Aucune de ces sollicitations ne contient d’élément technique malveillant. Leur force tient à leur exactitude.

Cette exactitude se prépare. Dans son Panorama de la cybermenace 2025, publié le 11 mars 2026, l’ANSSI explique l’efficacité des techniques d’ingénierie sociale observées en 2025 par la connaissance qu’ont les attaquants des processus internes des entreprises, « mais également par l’importante phase de reconnaissance et de collecte de données à caractère personnel liées aux employés ciblés en amont de l’attaque ».

Le site a déjà décrit les formes que prend la manipulation, de la fraude au président aux usurpations par deepfake. Cet article se place en amont : ce que les attaquants apprennent avant d’agir, comment ces informations se combinent, comment mesurer sa propre exposition, ce que l’on peut réduire et quels contrôles de processus compensent ce qui ne pourra jamais être effacé.

La reconnaissance, une phase documentée du mode opératoire

Le référentiel MITRE ATT&CK, qui décrit les tactiques et techniques des attaquants, consacre à cette étape une tactique à part entière : « Reconnaissance » (TA0043), la collecte d’informations destinées à planifier des opérations futures. Plusieurs techniques concernent directement les collaborateurs. La collecte d’informations sur l’identité des victimes (T1589) couvre les noms d’employés, les adresses de messagerie et les identifiants. La collecte d’informations sur l’organisation (T1591) vise notamment les rôles, les relations d’affaires et le rythme de l’activité. La recherche sur les sites ouverts (T1593) inclut les réseaux sociaux, où figurent, selon MITRE, les rôles, les localisations et les centres d’intérêt du personnel. La recherche sur les sites de la victime (T1594) et l’hameçonnage destiné à obtenir des informations (T1598) complètent le tableau.

La fiche MITRE est d’une honnêteté utile. La seule mesure d’atténuation associée, dite de « pré-compromission » (M1056), reconnaît que ces techniques ne peuvent pas être facilement contrées par des contrôles préventifs, puisqu’elles se déroulent hors du périmètre de l’organisation : les efforts doivent porter sur la réduction du volume et de la sensibilité des informations accessibles à des tiers. La détection est jugée difficile, l’activité étant massive, sujette aux faux positifs et largement invisible pour la cible ; MITRE suggère de concentrer la surveillance sur les étapes suivantes, comme l’accès initial.

Toute la démarche découle de ce constat : réduire ce qui peut l’être, et durcir l’étape où l’information collectée se transforme en action.

Ce qu’un attaquant apprend sans toucher au système d’information

Les informations exploitables relèvent de quelques grandes familles.

L’organigramme reconstitué. Profils sur les réseaux professionnels, communiqués de nomination, interventions en conférence, rapports annuels : il est rarement difficile d’identifier le directeur financier, le trésorier, les responsables des paiements, les assistants de direction ou l’équipe d’exploitation informatique, et de savoir qui rend compte à qui.

Les conventions de nommage. Une seule adresse électronique connue révèle le format de toutes les autres. Lorsque l’identifiant de connexion reprend l’adresse, l’attaquant dispose déjà de la moitié des éléments d’authentification.

Les relations d’affaires. Études de cas publiées par les fournisseurs, offres d’emploi et communiqués permettent de dresser la liste des prestataires informatiques, éditeurs et partenaires au nom desquels il sera crédible de se présenter.

Le rythme de l’activité. Clôtures, campagnes de paiement, réorganisations, déplacements annoncés sur les réseaux, messages d’absence qui désignent un suppléant et son numéro direct : autant d’indications sur le bon moment pour agir.

Les traces techniques et documentaires. Les offres d’emploi détaillent souvent les outils en service. Les documents publiés sur le site institutionnel conservent fréquemment des métadonnées : noms d’auteurs, identifiants internes, logiciels utilisés.

Les fuites. Anciennes bases compromises, journaux de logiciels voleurs d’informations (infostealers), données personnelles revendues : un mot de passe réutilisé ou une date de naissance peuvent suffire à franchir une vérification d’identité.

La voix et l’image. Entretiens, webinaires et vidéos institutionnelles fournissent la matière première des imitations vocales, dont le fonctionnement technique a été décrit sur ce site.

La DGSI le résume dans son Flash ingérence économique n° 116 de novembre 2025, consacré aux réseaux sociaux professionnels : les approches malveillantes y sont « souvent élaborées à partir des informations partagées et publiées par les cibles elles-mêmes ».

De la donnée éparse au scénario crédible

Prise isolément, aucune de ces informations n’est confidentielle. C’est leur assemblage qui produit un scénario crédible. Le nom d’un fournisseur réel, celui du comptable qui traite ses factures et la date de la prochaine échéance rendent plausible une demande de changement de RIB. Le nom d’un collaborateur, celui de son responsable et un numéro de téléphone issu d’une fuite permettent de se faire passer pour lui auprès du centre d’assistance. L’agenda public d’un dirigeant en déplacement, combiné à quelques minutes de sa voix enregistrée, prépare l’appel pressant à son assistante.

L’avis conjoint des autorités américaines, britanniques, canadiennes et australiennes sur le groupe Scattered Spider (AA23-320A, mis à jour le 29 juillet 2025) décrit cette mécanique. Les attaquants procèdent par appels successifs : ils apprennent d’abord quelles étapes le centre d’assistance exige pour réinitialiser un mot de passe, collectent ensuite les informations correspondantes sur l’employé visé, puis appellent pour obtenir la réinitialisation ou le transfert du facteur d’authentification. Ces tentatives sont, selon l’avis, enrichies par des informations tirées des réseaux sociaux, de sources ouvertes, d’outils commerciaux de renseignement et de fuites de bases de données. L’ANSSI indique que plusieurs entreprises françaises ont été compromises en 2025 par ce mode opératoire, et que dans au moins un cas les attaquants auraient usurpé le service informatique pour obtenir les accès d’une application de gestion de la relation client.

L’IA générative accélère l’assemblage. L’ENISA note dans son Threat Landscape 2026 que l’IA a été utilisée pour conduire la reconnaissance, et le phishing augmenté par l’IA personnalise à grande échelle ce qui demandait autrefois un travail manuel.

La leçon est simple : un contrôle qui repose sur le fait que l’interlocuteur « connaît » quelque chose ne protège que si cette chose n’est pas publique.

Un secteur financier structurellement exposé

Publié le 22 septembre 2026, le Threat Landscape 2026 de l’ENISA analyse 8 257 incidents survenus en 2025. L’ingénierie sociale y reste une tactique d’appui courante : le phishing représente 77,8 % des techniques d’ingénierie sociale relevées. Le secteur finance et banque concentre 5,6 % des événements recensés, et la fraude et l’usurpation d’identité y comptent pour 14,8 % des incidents. L’agence observe aussi que des personnels de haut niveau du secteur financier figurent parmi les cibles d’activités liées à des États. Son rapport sectoriel de février 2025 signalait déjà une hausse des incidents de compromission de messagerie professionnelle (BEC) entre janvier 2023 et juin 2024.

Outre-Atlantique, l’Internet Crime Report 2025 du FBI, publié en avril 2026, recense pour le BEC 24 768 plaintes et 3 046 598 558 dollars de pertes déclarées, deuxième catégorie la plus coûteuse derrière la fraude à l’investissement. Ces chiffres déclaratifs et américains ne se transposent pas tels quels au marché français, mais ils donnent un ordre de grandeur de la rentabilité d’une fraude fondée sur la crédibilité.

Le secteur cumule les facteurs d’exposition. Ses collaborateurs détiennent des pouvoirs de paiement et des accès à des données monnayables, organisés selon des chaînes de validation en partie prévisibles. Ses obligations de transparence rendent publiques des informations d’organisation : l’article 435 du règlement (UE) n° 575/2013 (CRR) impose ainsi aux établissements de publier la structure et l’organisation de leur fonction de gestion des risques, ainsi que des informations sur leur gouvernance. Ses effectifs, nombreux, sont présents sur les réseaux professionnels, et ses fonctions d’assistance peuvent être confiées à des prestataires, que l’avis sur Scattered Spider désigne explicitement comme cibles.

Mesurer sa propre exposition

Rares sont les établissements qui savent ce qu’un attaquant peut apprendre sur eux. La démarche n’a pourtant rien d’exotique : le cadre TIBER-EU l’organise déjà pour les tests fondés sur la menace. Son guide relatif au rapport de renseignement ciblé (Targeted Threat Intelligence Report), publié en janvier 2025, demande d’évaluer les informations exploitables sur l’entité, dont les identifiants d’employés, les domaines ressemblants, les informations publiées par les employés sur les réseaux sociaux et les données en vente sur le dark web. Il invite aussi à identifier le personnel susceptible d’être ciblé au regard de ses fonctions et de ses accès.

Nul besoin d’attendre un test TLPT pour conduire une version allégée de l’exercice avec l’équipe de threat intelligence.

Partir des fonctions, pas des personnes. Il s’agit d’identifier celles dont l’usurpation aurait un effet direct : pouvoirs de paiement, modification des référentiels fournisseurs, droits d’administration, réinitialisation des accès, secrétariat des dirigeants.

Recenser les sources institutionnelles. Site, rapports annuels, offres d’emploi, communiqués, documents téléchargeables et leurs métadonnées, réponses automatiques d’absence : ce que l’établissement publie lui-même est ce qu’il maîtrise le mieux.

Surveiller les fuites. Les identifiants liés aux domaines de l’établissement qui apparaissent dans des fuites ou des journaux d’infostealers doivent déclencher une réinitialisation et une analyse, dans le cadre d’une veille continue.

Restituer par fonction. Le résultat utile n’est pas un dossier sur chaque collaborateur, mais une cartographie : pour la trésorerie, voici ce qui est public ; pour le centre d’assistance, voici ce qu’un appelant peut savoir.

Cette précaution n’est pas de pure forme. Des données accessibles publiquement restent des données personnelles : la CNIL a publié le 12 juin 2024 des recommandations destinées à ceux qui réutilisent des données personnelles publiées sur Internet, y compris sur les réseaux sociaux. L’exercice doit donc poursuivre une finalité de sécurité définie, associer le délégué à la protection des données, minimiser la collecte et exclure toute surveillance des comptes personnels des salariés.

Ce que l’on peut réduire, et ce que l’on ne peut pas

Une partie de l’exposition se réduit à faible coût. Nettoyer les métadonnées des documents avant publication. Décrire des compétences plutôt que des produits dans les offres d’emploi. Privilégier des adresses fonctionnelles pour les équipes de paiement. Limiter les réponses d’absence externes, sans nom de suppléant ni ligne directe. Encadrer les études de cas que les fournisseurs publient au nom de l’établissement. Accompagner les collaborateurs : la DGSI recommande de restreindre la visibilité des profils et déconseille vivement aux personnes occupant des postes stratégiques de partager des éléments professionnels trop détaillés.

Les identifiants qui ont fuité perdent l’essentiel de leur valeur lorsque l’authentification résiste au phishing : une passkey ne se dicte pas au téléphone.

Le reste ne disparaîtra pas. On ne supprime pas un organigramme public. Les obligations de publication, la communication financière, les prises de parole des dirigeants et les nominations relèvent du fonctionnement normal d’un établissement. Les collaborateurs utilisent les réseaux professionnels pour leur carrière, et l’employeur n’a ni la légitimité ni les moyens de l’interdire. Les données diffusées dans des fuites ne se rappellent pas. Il faut donc tenir pour acquis que l’attaquant connaît les noms, les rôles, les fournisseurs et le calendrier, et concevoir les contrôles en conséquence.

Valider hors bande, sur des coordonnées de référence

Le principe tient en une phrase : aucune demande sensible ne doit pouvoir être validée par le canal qui l’a portée, ni à l’aide d’informations que l’attaquant peut connaître. L’IC3 du FBI recommande ainsi de recourir à des canaux secondaires ou à une authentification à deux facteurs pour vérifier toute demande de modification de coordonnées.

Le rappel sur numéro de référence. Le contre-appel n’a de valeur que si le numéro provient d’un référentiel interne constitué à l’entrée en relation : fiche fournisseur validée, annuaire interne, dossier contractuel. Jamais de la signature du courriel ni d’un numéro « mis à jour » par la demande elle-même. La modification des coordonnées de référence doit suivre son propre circuit contrôlé, faute de quoi l’attaquant changera d’abord le numéro, puis le RIB.

La double validation indépendante. La séparation entre saisie et validation ne protège que si le second valideur n’appartient pas à la même chaîne de communication que le premier. Une demande présentée comme urgente et confidentielle doit déclencher davantage de contrôles, non moins. Pour les virements sortants, la vérification du bénéficiaire ajoute un contrôle indépendant de ce que l’attaquant sait de l’organisation.

Des secrets qui ne sont pas publics. Entre un dirigeant et son assistant, ou entre la trésorerie et la direction financière, une procédure de confirmation convenue à l’avance (rappel croisé, phrase de contrôle, outil interne authentifié) résiste à une imitation vocale ou vidéo, là où la reconnaissance de la voix ne suffit plus.

Le centre d’assistance, point de passage des usurpations

Le centre d’assistance informatique (helpdesk) peut réinitialiser un mot de passe ou réenrôler un facteur d’authentification, c’est-à-dire remettre un compte entre de nouvelles mains. L’ENISA relève que le groupe ShinyHunters a couramment obtenu ses accès par des appels se faisant passer pour le personnel informatique afin de dérober des identifiants d’authentification unique et des codes MFA. Le NCSC britannique a recommandé en mai 2025, après une série d’incidents dans la distribution, de revoir les procédures de réinitialisation des mots de passe, notamment la manière dont le centre d’assistance authentifie les collaborateurs, en particulier pour les comptes à privilèges.

Les questions de vérification ne doivent donc porter sur aucune donnée publique ou susceptible d’avoir fui : nom du responsable, service, date d’arrivée, date de naissance. Une réinitialisation de second facteur peut exiger un rappel sur le numéro enregistré dans le système RH, une confirmation du responsable par un canal interne, ou une vérification d’identité en présentiel ou en visioconférence pour les comptes à privilèges. La notification de l’utilisateur, sur son ancien canal, de tout changement de facteur permet de détecter vite un détournement. Ces règles valent pour un centre d’assistance externalisé, dont les procédures doivent être encadrées contractuellement et testées. Côté utilisateurs, les attaques par saturation de notifications MFA rappellent qu’il ne faut jamais approuver une demande d’authentification que l’on n’a pas initiée.

Sensibiliser d’abord les fonctions exposées

DORA impose aux entités financières, à son article 13, paragraphe 6, des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, sous forme de modules obligatoires destinés à tous les employés et aux membres de la direction, avec « un niveau de complexité proportionné à leurs fonctions ». Le guide d’hygiène informatique de l’ANSSI demande que ces actions soient régulières et « adaptées aux utilisateurs ciblés ».

La mesure d’exposition fournit cette adaptation. La trésorerie et la comptabilité fournisseurs s’entraînent sur les changements de coordonnées bancaires et les ordres urgents. Les assistants de direction, qui connaissent l’agenda des dirigeants, travaillent les demandes formulées « au nom de » et les confirmations convenues. Les ressources humaines apprennent à repérer les faux candidats, les faux recruteurs et les demandes de modification des coordonnées de versement des salaires. Le centre d’assistance s’exerce aux appels sous pression. Les dirigeants, enfin, prennent la mesure de ce que leur exposition publique fournit à ceux qui voudraient les imiter.

Montrer à chaque fonction ce qu’un inconnu peut savoir d’elle convainc davantage qu’un rappel général. Deux principes complètent le dispositif : un canal de signalement simple, la DGSI recommandant que toute approche par un faux profil soit signalée en interne pour alerter l’ensemble du personnel ; et une culture où vérifier une demande authentique d’un dirigeant n’est jamais reproché.

Perspective Forum des Compétences

L’exposition publique d’un établissement financier n’est pas une faille à corriger : c’est une condition de son fonctionnement. Les noms des dirigeants, l’organisation des fonctions de contrôle, les fournisseurs et le calendrier de l’activité seront toujours, en partie, connus. Les attaques d’ingénierie sociale les plus efficaces tirent leur crédibilité de cette connaissance bien plus que d’une prouesse technique.

Trois actions en découlent. Mesurer d’abord, par fonction et dans le respect du RGPD, ce qu’un attaquant peut apprendre, en reprenant la grille que le cadre TIBER-EU applique au renseignement ciblé. Réduire ensuite ce qui peut l’être à faible coût : métadonnées, offres d’emploi, messages d’absence, identifiants exposés. Compenser enfin ce qui restera public par des contrôles conçus pour un attaquant bien renseigné : validation hors bande sur des coordonnées de référence, double validation indépendante, vérification d’identité au centre d’assistance qui ne repose sur aucune donnée publique.

La sensibilisation suit la même logique : moins de campagnes générales, davantage d’exercices construits à partir de l’exposition réelle des fonctions les plus ciblées.

Une question permet de tester l’ensemble du dispositif : si un inconnu connaissait demain tout ce que votre établissement et ses collaborateurs ont rendu public, quelle procédure l’empêcherait encore d’obtenir un virement ou la réinitialisation d’un compte ?

Sources publiques utilisées

Cet article s’appuie sur les publications d’agences de cybersécurité, d’autorités publiques et de référentiels consacrés à l’ingénierie sociale et à la reconnaissance :

• ANSSI, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002, 11 mars 2026), section sur les techniques d’ingénierie sociale : phase de reconnaissance et de collecte de données sur les employés ciblés, compromissions d’entreprises françaises attribuées à Scattered Spider.
• ANSSI, Guide d’hygiène informatique, mesure 2 relative à la sensibilisation des utilisateurs.
• MITRE ATT&CK, tactique Reconnaissance (TA0043), techniques T1589, T1591, T1593, T1594 et T1598, mesure d’atténuation « Pre-compromise » (M1056).
• ENISA, Threat Landscape 2026 (22 septembre 2026, 8 257 incidents de l’année 2025) et Threat Landscape: Finance Sector (février 2025).
• FBI, Internet Crime Complaint Center (IC3), 2025 Internet Crime Report (avril 2026) et page de prévention consacrée au BEC.
• FBI, CISA, NCSC britannique et autorités canadiennes et australiennes, avis conjoint AA23-320A sur Scattered Spider (mis à jour le 29 juillet 2025).
• NCSC (Royaume-Uni), Incidents impacting retailers – recommendations from the NCSC (mai 2025).
• DGSI, Flash ingérence économique n° 116, Approches malveillantes sur les réseaux sociaux professionnels (novembre 2025).
• Banque centrale européenne, TIBER-EU Targeted Threat Intelligence Report Guidance (janvier 2025).
• Règlement (UE) 2022/2554 (DORA), article 13, paragraphe 6 ; règlement (UE) n° 575/2013 (CRR), article 435.
• CNIL, recommandations sur la réutilisation de données personnelles publiées sur Internet (12 juin 2024).