Ingénierie sociale : définition, techniques, et pourquoi la sensibilisation ne
suffit pas

L'ingénierie sociale traîne une réputation de bonimenteur et de pigeon, ce qui la range commodément du côté des autres. Les dossiers publics résistent mal à cette lecture. En juillet 2020, une série de comptes Twitter parmi les plus suivis de la planète publie la même arnaque au bitcoin, et le rapport rendu en octobre suivant par le New York State Department of Financial Services ne décrit aucune prouesse : des appels téléphoniques passés à des salariés, les attaquants se présentant comme le support informatique interne, une page de connexion VPN clonée pour récolter les identifiants au bout du fil. Les personnes trompées n'étaient ni distraites ni incompétentes : leur métier consistait à manipuler des comptes sensibles.

L'idée reçue tient en une phrase : l'ingénierie sociale prospérerait sur la crédulité, et une bonne formation suffirait à l'éteindre. Elle ne cible pas la naïveté, elle cible des procédures qui ont prévu une voie de contournement pour les cas urgents, et elle emprunte cette voie en se présentant comme un cas urgent. Reste alors la phase de reconnaissance qui prépare tout cela, seule partie de la chaîne que l'on puisse réduire de façon mesurable.

Ingénierie sociale : la définition

L'ingénierie sociale (social engineering) regroupe les techniques par lesquelles un attaquant obtient d'une personne qu'elle exécute une action ou livre une information, au lieu d'aller la chercher dans un système. L'objectif final est celui de n'importe quelle exploitation technique : un accès, un virement, un fichier. Il s'obtient par une conversation.

La confusion la plus fréquente porte sur le rapport avec le hameçonnage. Le phishing est une technique d'ingénierie sociale, celle qui passe par un message piégé. L'ingénierie sociale est la discipline, et elle couvre aussi bien l'appel téléphonique que le SMS, la messagerie interne détournée, l'approche sur un réseau professionnel ou l'intrusion physique. Tout phishing relève de l'ingénierie sociale, l'inverse est faux, et cette asymétrie explique pourquoi une organisation qui a beaucoup investi sur le filtrage de sa messagerie peut rester entièrement ouverte par le standard téléphonique.

Une attaque aboutie ne demande presque jamais l'action finale d'emblée. Elle installe un contexte, obtient une petite concession, puis capitalise dessus. Le mail de fraude au virement n'est que la dernière phrase d'une conversation commencée bien avant, souvent sans que la victime n'ait eu conscience d'être en conversation. Cette variante-là, la fraude au dirigeant, a sa chaîne d'attaque et ses contre-mesures propres : elle est traitée dans un article à part et n'est pas reprise ici.

Les leviers psychologiques, et d'où ils viennent

La littérature de sécurité offensive n'a pas inventé sa psychologie : elle a emprunté celle du psychologue américain Robert Cialdini, dont l'ouvrage Influence (1984) décrit six principes de persuasion observés à l'origine chez les vendeurs, les démarcheurs et les négociateurs. Kevin Mitnick les a repris presque tels quels dans The Art of Deception (2002), et on les retrouve depuis dans à peu près tous les manuels du domaine. La filiation a un intérêt méthodologique : ces principes sortent de travaux publiés et discutés depuis quarante ans.

Deux de ces leviers sont mal rendus dans les formations. L'autorité, d'abord, qu'on résume à "les gens obéissent au chef", ce qui rate l'essentiel. Les travaux de Stanley Milgram sur l'obéissance, menés au début des années 1960, et dont la méthodologie a depuis été largement rediscutée, montraient surtout que l'obéissance chute dès que le sujet dispose d'un allié qui refuse, ou d'une procédure explicite qui l'autorise à s'arrêter. Traduit en entreprise : ce n'est pas le respect de la hiérarchie qui rend un salarié manipulable, c'est l'absence de règle écrite qui lui donne le droit de dire non à son propre directeur général.

Le second, l'engagement, est plus rarement enseigné. L'expérience de Freedman et Fraser publiée en 1966, connue sous le nom de technique du pied dans la porte, établissait qu'une personne ayant accepté une demande insignifiante accepte ensuite une demande bien plus lourde, dans des proportions très supérieures à un groupe abordé directement. Un scénario d'ingénierie sociale sérieux est construit exactement là-dessus : on ne demande pas un accès au premier contact, on demande une confirmation d'horaire, puis un numéro de poste, puis un renvoi vers la bonne personne, et l'accès arrive au quatrième échange, à un interlocuteur qui a déjà coopéré trois fois.

La reconnaissance : le vrai point d'appui

Un prétexte crédible se documente. C'est la phase que le grand public ignore et que les attaquants soignent le plus. Le référentiel MITRE ATT&CK en a fait une tactique à part entière, la reconnaissance, avec des techniques nommées et cataloguées : collecte d'informations sur les personnes, sur l'organisation, et jusqu'à l'identification du rythme d'activité de la victime, c'est-à-dire de ses horaires, de ses périodes de clôture comptable et de ses absences. Savoir qu'un dirigeant est en déplacement jusqu'à vendredi conditionne le calendrier de toute l'attaque.

Toute cette matière première est publique et se collecte sans jamais toucher au système d'information de la cible, ce qui la rend indétectable. C'est le domaine de l'OSINT, le renseignement en sources ouvertes. Quelques gisements reviennent dans la quasi-totalité des scénarios.

• L'organigramme reconstitué : les profils publics d'un réseau professionnel donnent les noms, les intitulés exacts, la chaîne hiérarchique et souvent l'ancienneté. Un nouvel arrivant annoncé publiquement est une cible de choix : il ne connaît pas encore les usages internes et n'osera pas contredire un interlocuteur qui les invoque.
• Les offres d'emploi : c'est le gisement le plus sous-estimé. Une annonce qui exige trois ans d'expérience sur un fournisseur d'identité précis, une solution de sauvegarde nommée et un ERP donné vient de publier la moitié de votre inventaire technique. Un faux support informatique qui cite le bon outil par son nom commercial devient instantanément crédible.
• Les métadonnées des documents publiés : un PDF de plaquette commerciale, un rapport annuel, un compte rendu déposé sur un site public conservent fréquemment le nom de l'auteur, son identifiant de session, le logiciel et sa version, parfois un chemin réseau interne. On y lit la convention de nommage des comptes, ce qui suffit à deviner tous les autres.

S'y ajoute le calendrier public de la personne qu'on veut usurper, dont l'exploitation est déroulée en détail dans l'article sur la fraude au dirigeant. Pris isolément, ces éléments sont anodins, et c'est bien le problème : on ne censure pas une offre d'emploi. Assemblés, ils produisent un scénario qui ne ressemble plus à une attaque.

Les canaux, très au-delà du courriel

Concentrer la défense sur la messagerie revient à fermer une porte dans un couloir qui en compte cinq. Les autres, de la plus difficile à contrer à la plus banale.

Le téléphone, et le retour en force du vishing

L'appel contourne tout le dispositif de filtrage : pas de domaine expéditeur à authentifier, pas de lien à survoler, pas de pièce jointe à analyser. Il vise en priorité les services d'assistance informatique, pour une raison structurelle : un support est évalué sur son délai de résolution. Refuser de débloquer un utilisateur pressé lui coûte quelque chose d'immédiat et de mesuré ; débloquer le mauvais ne lui coûte rien de visible. Le vishing réussit moins parce que la voix est convaincante que parce que l'organisation a demandé au support d'être rapide avant de lui demander d'être prudent.

Les compromissions de groupes hôteliers américains à l'été 2023 ont rendu le mécanisme public : le document déposé par Caesars Entertainment auprès de la SEC en septembre 2023 décrit une attaque d'ingénierie sociale visant un prestataire d'assistance externalisé, sans intrusion technique préalable. Le scénario type se résume en une phrase : un appel au support, un salarié parfaitement identifié grâce à son profil public, et une demande de réinitialisation du second facteur d'authentification. Une procédure de réinitialisation adossée à des informations trouvables en ligne (date d'embauche, nom du responsable, matricule) ne protège donc de rien.

La synthèse vocale a ajouté une couche. L'épisode le plus documenté reste celui du groupe d'ingénierie Arup, qui a confirmé en mai 2024 qu'un de ses salariés à Hong Kong avait exécuté une série de virements pour environ 25 millions de dollars après une visioconférence où plusieurs participants, dont un dirigeant, étaient des reconstitutions numériques. Le levier reste l'autorité et l'urgence ; seule la qualité de l'usurpation a changé.

La messagerie interne compromise

C'est le canal le plus difficile à contrer, parce qu'il annule le principal réflexe enseigné. Quand l'attaquant contrôle déjà une boîte mail interne, ou un compte sur l'outil de discussion d'équipe, il n'y a plus de domaine douteux à repérer : le message arrive dans un fil authentique, entre collègues, avec l'historique au-dessus. Le détournement de fil de discussion, où l'attaquant répond à un échange réel en cours, a été industrialisé par plusieurs familles de logiciels malveillants et reste redoutable. Microsoft a documenté en août 2023 une campagne où les messages de hameçonnage arrivaient par l'outil de collaboration interne, depuis des locataires légitimes déjà compromis.

Cette porte s'ouvre presque toujours par un identifiant volé ou réutilisé, ce qui fait du mot de passe compromis la matière première de l'ingénierie sociale interne. Un seul compte suffit : l'attaquant lit d'abord, apprend le vocabulaire maison, repère les habitudes de validation, et n'écrit qu'ensuite.

SMS et réseaux professionnels

Le SMS bénéficie d'une confiance résiduelle que le courriel a perdue, et son format court masque naturellement l'adresse réelle d'un lien. Il sert surtout de canal de rebond : un premier contact par mail, puis "je vous écris depuis mon portable" pour poursuivre hors du périmètre surveillé.

Les réseaux professionnels, eux, offrent une couverture idéale sous forme d'approche de recrutement. Une proposition flatteuse, un échange de plusieurs jours, puis un document à ouvrir : le prétexte est socialement irréprochable et se déroule entièrement en dehors des outils de l'employeur. Les campagnes de faux recrutement visant des ingénieurs de secteurs sensibles sont documentées publiquement depuis 2020 par plusieurs éditeurs et par les autorités américaines. Un attaquant patient n'a même pas besoin de faire ouvrir un fichier : une conversation d'embauche est un excellent moyen d'apprendre comment fonctionne vraiment une infrastructure.

La présence physique

Le talonnage, cette habitude de retenir la porte pour la personne qui suit, reste la faiblesse la plus banale et la moins traitée. Elle se combine avec un uniforme crédible, une caisse à outils, un badge visiteur photographié quelque part, et un prétexte de maintenance planifiée. Une fois à l'intérieur, l'essentiel des contrôles s'effondre, parce qu'ils supposent tous que la présence physique vaut autorisation : postes non verrouillés, prises réseau actives en salle de réunion, documents laissés sur les imprimantes, mots de passe collés sous les claviers. C'est le domaine des exercices de type équipe rouge, un cadre distinct du test d'intrusion applicatif, et qui exige un mandat écrit particulièrement précis.

Pourquoi la sensibilisation seule échoue

Une formation apprend à repérer un message anormal. Or l'attaque aboutie n'a rien d'anormal : elle emprunte un chemin que l'organisation a elle-même prévu et documenté, le chemin des exceptions.

Toute procédure sérieuse de paiement, d'accès ou de réinitialisation comporte une branche pour les cas où l'on ne peut pas appliquer la règle : le dirigeant est injoignable, le client attend, la clôture est ce soir. Cette branche existe pour de bonnes raisons opérationnelles. Mais elle constitue une entrée publiée dans le système de contrôle, et un attaquant qui a fait sa reconnaissance sait exactement comment se présenter pour y être orienté.

DEMANDE DE VIREMENT
        |
        +--> montant < seuil ------------> validation simple
        |
        +--> montant > seuil ------------> double validation
        |                                   (2 signatures + RIB en base)
        |
        +--> "URGENT / CONFIDENTIEL" ----> [ EXCEPTION ]
             demande du dirigeant              |
             hors procedure habituelle         +--> validation par la
                                                    personne disponible

             <-- l'attaquant ne contourne pas le controle :
                 il se presente a l'entree que le controle lui a laissee

S'ajoute une asymétrie de coût qu'aucune sensibilisation ne compense. La personne qui bloque une demande légitime prend un reproche immédiat, nominatif et parfois hiérarchique. Celle qui laisse passer une demande frauduleuse ne l'apprendra que des semaines plus tard, quand la responsabilité sera diluée. Tant que ce déséquilibre existe, le contrôle repose sur le courage d'une personne, et le courage ne tient pas à l'échelle d'une organisation.

Ce qui déplace l'aiguille relève de l'organisation, et non de la formation. Rendre la vérification obligatoire et impersonnelle, par un rappel systématique sur un numéro issu de l'annuaire interne et jamais de celui figurant dans le message : ainsi personne n'a besoin de "soupçonner" quiconque, on applique la règle. Écrire noir sur blanc le droit de refuser une demande hiérarchique non vérifiée, et le faire signer par la direction générale, ce qui retire au salarié la charge de l'arbitrage. Alourdir la branche d'exception au lieu de l'alléger, en exigeant deux validateurs distincts précisément quand le contexte est urgent. Et mesurer le support informatique sur autre chose que son seul délai de résolution, sans quoi la prudence continuera d'être une faute de performance.

Réduire la matière première : le volet surface d'attaque

On ne supprimera pas les leviers psychologiques, et on ne rendra pas les organigrammes secrets. En revanche, une partie de ce qui alimente un scénario crédible est de l'exposition technique, donc du mesurable et du réductible.

Les domaines qui imitent le vôtre en sont le meilleur exemple : leur enregistrement laisse des traces publiques bien avant le premier message, ce qui donne du délai à qui les surveille. Le mécanisme et les signaux à guetter sont détaillés côté typosquatting de marque. Dans la même logique, une fuite de secrets dans un dépôt public livre du vocabulaire interne, des noms de services et des conventions de nommage, en plus de l'accès : la matière qui rend un prétexte convaincant au téléphone.

Il faut aussi garder à l'esprit ce qui se trouve au bout de la chaîne. Une grande partie des incidents de rançongiciel commence par un accès obtenu socialement. Et si la question qui vous occupe est celle du virement frauduleux, la reconnaissance, les canaux d'acheminement du message et les contrôles qui coupent la chaîne sont déroulés dans l'article consacré à l'arnaque au président.

Cet article ne vend rien : own2pwn ne propose ni campagne de simulation, ni prestation de sensibilisation, et se limite au test d'intrusion web et au volet technique de l'audit de conformité. Ce que nous couvrons ici, c'est l'amont : rendre visible et réduire l'exposition publique qui sert de carburant à ces scénarios. Le reste relève de vos procédures internes, et c'est très bien ainsi.

Questions fréquentes sur l'ingénierie sociale

À retenir

• L'ingénierie sociale est la discipline, le phishing n'en est qu'une technique. Filtrer sa messagerie sans traiter le téléphone, le fil interne et l'accès physique laisse quatre portes ouvertes sur cinq.
• Les leviers exploités sont ceux décrits par Cialdini en 1984 : autorité, urgence, réciprocité, preuve sociale, engagement, sympathie. Ce sont des raccourcis de décision utiles au quotidien, que l'attaquant retourne.
• La phase déterminante est la reconnaissance : organigramme public, stack technique révélée par les offres d'emploi, métadonnées de documents, absences annoncées. Elle est indétectable, puisqu'elle ne touche jamais votre système.
• Le canal le plus dur à contrer est la messagerie interne compromise, où il n'y a plus de domaine expéditeur à vérifier.
• La sensibilisation seule échoue parce que l'attaque emprunte la branche d'exception prévue par la procédure, et parce que bloquer une demande légitime coûte plus cher, tout de suite, que d'en laisser passer une frauduleuse.
• Ce qui tient : une vérification hors bande obligatoire, un droit de refus écrit et couvert par la direction, une branche d'exception alourdie plutôt qu'allégée, et un support informatique qui n'est pas évalué sur sa seule rapidité.

La partie de l'ingénierie sociale que l'on peut mesurer, c'est ce que votre organisation expose avant même qu'un attaquant ne décroche son téléphone. Regardez-la avec la plateforme EASM d'own2pwn, ou faites éprouver votre périmètre applicatif en conditions réelles par un test d'intrusion web en boîte noire. Un doute sur ce que vous laissez voir ? Parlez-en avec un humain via la page contact.