Contre le phishing, la plupart des défenses cherchent à intercepter le message ou à éduquer le destinataire. Le facteur cognitif attaque un autre maillon : il supprime la matière collectable. S'il n'existe ni identifiant permanent, ni mot de passe, ni code réutilisable, une campagne de collecte n'a plus rien à monétiser, indépendamment de la qualité du leurre.
Le phishing est une chaîne, pas une attaque isolée
Raisonner en « un e-mail piégé, une victime » fait manquer l'essentiel. Le phishing s'industrialise, et sa rentabilité tient à une chaîne dont chaque maillon peut être sous-traité.
| Maillon | Ce que fait l'attaquant | Ce qui rend le maillon rentable |
|---|---|---|
| Ciblage | constitution de listes d'adresses et d'identifiants | nomenclature d'identifiants prévisible |
| Leurre | kit de page imitant un service, souvent loué | la page n'a besoin d'être crédible que quelques secondes |
| Collecte | capture des identifiants saisis | il existe une valeur stable à capturer |
| Revente | mise en vente des lots collectés | la valeur reste exploitable dans le temps |
| Exploitation | connexion, latéralisation, fraude | l'identifiant fonctionne ailleurs |
La colonne de droite montre où porter l'effort. Trois maillons sur cinq reposent sur une hypothèse unique : il existe quelque chose de durable à voler. C'est cette hypothèse que le facteur cognitif retire.
Ce que la sensibilisation ne peut pas régler
La formation des utilisateurs reste utile, mais elle bute sur trois limites structurelles.
- Le taux de réussite nécessaire à l'attaquant est très bas. Une campagne peut échouer sur la quasi-totalité de ses cibles et rester profitable.
- La qualité des leurres a changé de catégorie. Les fautes d'orthographe et les tournures maladroites, longtemps enseignées comme signaux, ne sont plus des marqueurs fiables depuis que la rédaction est automatisable dans n'importe quelle langue.
- Le contexte joue contre l'utilisateur. Un message arrivant au bon moment, sur le bon sujet, dans le bon fil de discussion, ne déclenche pas de vigilance parce qu'il est attendu.
La conclusion n'est pas d'arrêter la sensibilisation, c'est de cesser d'en faire une ligne de défense principale. Un dispositif technique qui rend le vol sans objet ne dépend pas de l'attention d'une personne un vendredi à 18 h.
Supprimer le butin plutôt que le vol
Le facteur cognitif « je sais faire » repose sur une méthode de résolution personnelle, acquise lors d'un enrôlement hors ligne et jamais transmise. À chaque authentification, un challenge nouveau est présenté ; ce qui circule est un résultat valable une seule fois.
Quatre conséquences directes sur la chaîne ci-dessus :
- Rien à collecter. L'approche passwordless et IDless signifie qu'il n'existe ni mot de passe ni identifiant permanent à saisir sur une page frauduleuse.
- Rien à revendre. Un résultat lié à un challenge unique n'a aucune valeur au-delà de la seconde où il est produit. Le maillon « revente » perd son objet.
- Rien à rejouer ailleurs. Le credential stuffing, qui exploite la réutilisation, n'a pas de matière première.
- Un canal qui se referme. Le QR code dynamique à usage unique ouvre un canal éphémère chiffré ; la fenêtre d'exploitation ne reste pas ouverte après l'échange.
Ce que cela ne résout pas
L'honnêteté sur le périmètre est ce qui rend la démarche crédible auprès d'un RSSI.
- Le phishing ne visant pas des identifiants reste entier : pièce jointe malveillante, fraude au virement par simple demande e-mail, usurpation de fournisseur. Ce sont des sujets de messagerie et de contrôle métier.
- Le vol de session après authentification relève d'un autre mécanisme : si un jeton valide est dérobé, l'attaquant contourne l'authentification au lieu de la franchir. La réponse est de valider l'action et pas seulement la connexion.
- Les parcours de récupération de compte doivent être traités avec le même niveau d'exigence, faute de quoi ils deviennent le nouveau chemin le plus court.
Une séquence de déploiement réaliste
Le facteur cognitif peut s'ajouter en overlay d'une chaîne existante, sans refonte de l'IdP. Ordre de priorité conseillé :
- les populations les plus ciblées — administrateurs, direction financière, assistanat de direction ;
- les parcours où un identifiant est encore saisi dans un formulaire web exposé ;
- les actions à fort impact, où la validation doit porter sur l'opération elle-même ;
- enfin, les parcours de réinitialisation, en supprimant les retombées sur SMS ou e-mail.
FAQ
Un attaquant ne peut-il pas relayer le challenge en temps réel ?
C'est le scénario adversary-in-the-middle, et il mérite une réponse à part entière : le challenge transite par un canal éphémère à usage unique, et ce qui serait relayé n'a pas de valeur réutilisable au-delà de l'échange en cours.
Le facteur cognitif remplace-t-il la passerelle de messagerie ?
Non. Le filtrage réduit le volume qui atteint les utilisateurs ; le facteur cognitif réduit la valeur de ce qui passe malgré tout. Les deux traitent des maillons différents de la même chaîne.
Faut-il supprimer complètement les mots de passe pour en bénéficier ?
Pas immédiatement. Un déploiement en overlay apporte déjà la validation d'intention sur les parcours critiques. La suppression du mot de passe supprime en plus la matière collectable, ce qui est l'effet le plus structurant.
Comment mesurer l'effet sans indicateur de détection ?
En suivant l'exposition plutôt que la détection : nombre de parcours où un secret réutilisable est encore saisi, part des actions sensibles couvertes par une validation au moment de l'action, existence d'un chemin de secours faible.
Aller plus loin : le principe de l'authentification cognitive · MFA résistant au phishing · le QR code dynamique face au phishing · supprimer les mots de passe