Ingénierie sociale
social engineering · manipulation psychologique · prétexte · pretexting · appâtage · baiting · fatigue MFA
Ensemble de techniques de manipulation qui amènent une personne à contourner elle-même la sécurité : révéler un mot de passe, valider un paiement, ouvrir une porte ou installer un logiciel.
En pratique
L’attaquant exploite des ressorts humains universels : l’autorité, l’urgence, la serviabilité, la peur ou la réciprocité. Il prépare son scénario (le « prétexte ») grâce aux informations publiques : organigramme, réseaux sociaux, offres d’emploi. Le support informatique est une cible de choix, car il est là pour aider : une réinitialisation de mot de passe ou de double authentification accordée au téléphone peut suffire à ouvrir tout le système.
Le groupe Scattered Spider appelle le support informatique ou des salariés en se faisant passer pour un collègue ou pour l’assistance, obtient identifiants et codes de double authentification, puis vole des données et déploie des rançongiciels. La CISA et le FBI ont détaillé ses méthodes dans l’avis AA23-320A, mis à jour en juillet 2025.
Comment s’en protéger
- Imposer au support une vérification d’identité solide avant toute réinitialisation de mot de passe ou de double authentification.
- Former les équipes avec des scénarios réalistes, y compris par téléphone.
- Limiter les informations internes publiées (organigrammes détaillés, noms des outils).
- Soutenir ouvertement le salarié qui répond « je vérifie et je vous rappelle ».
