Au-delà du phishing : les tactiques modernes d'ingénierie sociale

L'ingénierie sociale reste l'un des moyens les plus efficaces pour compromettre une organisation. Pourquoi passer des semaines à chercher une vulnérabilité zero-day quand il suffit de demander son mot de passe à un collaborateur ? Alors que la plupart des formations à la sécurité se concentrent encore sur le phishing par e-mail traditionnel, les attaquants ont fait évoluer leurs tactiques pour exploiter de nouveaux canaux de communication et de nouveaux leviers psychologiques.

Les attaques d'ingénierie sociale d'aujourd'hui sont multicanales, hautement personnalisées et de plus en plus automatisées.

L'évolution de la tromperie

Les arnaques au « prince nigérian » d'autrefois ont laissé place à des opérations sophistiquées qui se fondent dans notre quotidien numérique. Les attaquants exploitent les informations publiques issues des réseaux sociaux (OSINT) pour construire des scénarios si crédibles que même des personnes sensibilisées à la sécurité se font piéger.

Vishing (phishing vocal)

Le vishing consiste, pour un attaquant, à tromper ses victimes par appel téléphonique. Le vishing moderne a été considérablement accéléré par l'IA.

• Deepfake audio : les attaquants peuvent désormais cloner la voix d'un PDG ou d'un directeur informatique à partir de quelques secondes d'échantillon audio seulement. Ils appellent un collaborateur avec la voix exacte de son supérieur et exigent un virement urgent ou la réinitialisation d'un mot de passe.
• Attaques hybrides : une tactique courante consiste à envoyer un e-mail de phishing annonçant le renouvellement imminent d'un abonnement pour un montant élevé (par exemple « Geek Squad Renewal: $499 »). L'e-mail contient un numéro de téléphone pour « annuler ». Lorsque la victime appelle, elle tombe directement sur l'attaquant, qui la guide alors vers l'installation d'un logiciel d'accès à distance sous prétexte de « traiter le remboursement ».

Smishing (phishing par SMS)

Les filtres anti-spam des messageries devenant plus performants, les attaquants se sont repliés sur le SMS. Les messages de smishing jouent presque toujours sur l'urgence :

• « USPS : la livraison de votre colis a échoué. Cliquez ici pour la reprogrammer. »
• « Alerte bancaire : transaction non autorisée détectée. Répondez OUI pour vérifier. »

Ces messages pointent vers des sites de collecte d'identifiants. Comme les interfaces mobiles masquent souvent l'URL complète, les utilisateurs repèrent beaucoup moins facilement la supercherie.

Pig butchering (Sha Zhu Pan)

Le « pig butchering » est une forme d'ingénierie sociale particulièrement cruelle, jouée sur le long terme. Née dans l'univers des arnaques aux cryptomonnaies, elle repose sur la construction d'une fausse relation amoureuse ou amicale avec la victime, sur plusieurs semaines voire plusieurs mois.

1. L'hameçon : tout commence par un SMS envoyé « au mauvais numéro » ou par un match sur une application de rencontre.
2. La mise en confiance : l'attaquant installe la confiance en partageant des détails sur sa vie « fastueuse » et ses investissements fructueux.
3. L'abattage : une fois la confiance acquise, il convainc la victime d'investir sur une fausse plateforme de cryptomonnaies. La victime constate d'abord des gains fictifs (on « engraisse le cochon ») et est encouragée à investir davantage. Puis la plateforme disparaît, avec l'argent.

Quid pro quo et pretexting

• Quid pro quo : « donnant-donnant ». Les attaquants appellent des postes internes au hasard en se faisant passer pour le support informatique et proposent de « corriger la lenteur du réseau » en échange de la désactivation du pare-feu ou de la communication d'un mot de passe.
• Pretexting : il s'agit de fabriquer un scénario de toutes pièces (le prétexte) pour soutirer des informations. Par exemple, un attaquant se faisant passer pour un membre des ressources humaines qui vérifie des informations dans le cadre d'une enquête de moralité.

Se défendre contre l'ingénierie sociale moderne

La technologie seule ne peut pas arrêter l'ingénierie sociale : il faut combiner contrôles techniques et vigilance humaine.

1. Des procédures de vérification

Mettez en place des politiques de vérification strictes. Aucune action sensible — modification de coordonnées bancaires, réinitialisation d'un mot de passe à privilèges élevés — ne devrait jamais être exécutée sur la seule base d'un appel téléphonique ou d'un e-mail. Exigez un canal de vérification secondaire (par exemple, rappeler le demandeur sur son numéro interne connu).

2. Réduire son empreinte numérique

Les attaquants exploitent ce que vous publiez en ligne. Incitez vos collaborateurs à prêter attention à ce qu'ils partagent sur LinkedIn et les réseaux sociaux. Savoir précisément qui travaille à la direction financière et qui est son supérieur rend la rédaction d'un e-mail de spear phishing bien plus facile.

3. Threat intelligence avancée

Les attaques d'ingénierie sociale s'appuient presque toujours sur une infrastructure malveillante : fausses pages de connexion, domaines typosquattés, serveurs C2.

isMalicious aide à intercepter ces attaques en identifiant l'infrastructure qui les porte. Même si un utilisateur clique sur un lien de smishing, une vérification en temps réel de la réputation du domaine peut bloquer l'accès au site malveillant avant que les identifiants ne soient volés. Nous suivons les domaines utilisés dans les arnaques à la « livraison de colis » et les fraudes au « support technique », protégeant ainsi vos utilisateurs même lorsqu'ils commettent une erreur.

En résumé

L'ingénierie sociale vise les personnes et les processus, pas seulement les logiciels. Combinez des formations adaptées à chaque rôle, des étapes de vérification indépendantes et une threat intelligence sourcée pour réduire votre exposition.

Restez sceptique, vérifiez tout, et souvenez-vous : si un message déclenche une forte réaction émotionnelle (peur, urgence, appât du gain), c'est très probablement un piège.