Le spear phishing ne commence pas par un e-mail : il commence par une phase de reconnaissance. L'attaquant construit une liste de cibles, devine leurs identifiants à partir d'une nomenclature prévisible, cartographie l'organigramme et les relations. Une approche IDless n'empêche pas cette reconnaissance, mais elle en retire la partie la plus opérationnelle : la certitude de savoir quoi demander à la victime.
Ce que l'attaquant assemble avant d'écrire
| Élément recueilli | Source habituelle | Ce qu'il permet |
|---|---|---|
| Nom, fonction, rattachement | réseaux professionnels, site institutionnel | choisir la cible et le prétexte |
| Format d'adresse e-mail | signatures, publications, fuites antérieures | déduire les adresses de toute l'organisation |
| Format d'identifiant | souvent identique à l'adresse | préremplir la page de collecte |
| Outils utilisés | offres d'emploi, communiqués, en-têtes techniques | imiter la bonne interface |
| Cycle métier | calendrier de clôture, appels d'offres, congés | choisir le moment |
La ligne « format d'identifiant » est celle qu'on sous-estime le plus. Dans la plupart des organisations, l'identifiant se déduit du nom en une règle simple. Connaître un salarié revient donc à connaître son identifiant, et connaître l'organigramme revient à connaître l'annuaire d'authentification.
Cette déduction a une valeur opérationnelle directe : elle permet de préremplir le champ identifiant sur la page de collecte. Une page qui affiche déjà le bon identifiant paraît légitime : elle semble savoir qui vous êtes.
Le même raisonnement vaut pour le canal téléphonique. Un appel qui commence par « bonjour, je vous appelle du support, votre compte prenom.nom présente une anomalie » emprunte sa crédibilité au même annuaire déductible. L'identifiant y joue le rôle de mot de passe social : le connaître suffit à établir une légitimité apparente, alors qu'il n'a jamais été conçu pour être secret.
Trois effets d'une authentification sans identifiant permanent
L'approche IDless consiste à ne pas fonder l'authentification sur un identifiant durable saisi par l'utilisateur. Combinée à une approche passwordless, elle produit trois effets sur ce scénario précis.
- La page de collecte perd son objet. Il n'y a plus de champ à préremplir ni de secret à récolter. Le leurre peut être parfait visuellement, il ne récupère rien d'exploitable.
- La reconnaissance ne se convertit plus en accès. Connaître le nom, la fonction et le rattachement reste possible ; cela ne fournit plus de point d'entrée technique.
- Le signal devient lisible pour l'utilisateur. Si personne ne demande jamais d'identifiant ni de mot de passe, alors toute demande de ce type est anormale. C'est une règle de vigilance simple, vérifiable sans expertise, et beaucoup plus robuste que « repérez les fautes d'orthographe » — conseil devenu inopérant depuis que la rédaction se génère dans toutes les langues.
Ce qui reste exposé, et qu'il faut traiter autrement
Il serait faux de laisser entendre que l'IDless neutralise le spear phishing. Il en traite une composante.
- L'adresse e-mail professionnelle reste publique. Elle demeure le canal d'arrivée du leurre. L'IDless empêche qu'elle serve aussi d'identifiant d'authentification, ce qui est déjà une séparation utile.
- Le spear phishing sans vol d'identifiants continue : pièce jointe malveillante, demande de virement par simple message, usurpation de fournisseur avec changement d'IBAN. Ces scénarios relèvent du contrôle métier et de la validation d'opération.
- Les parcours de récupération redonnent souvent à l'adresse e-mail son rôle de clé. Un dispositif IDless dont la réinitialisation retombe sur un lien envoyé par courriel réintroduit ce qu'il avait supprimé.
La suite logique : valider l'opération, pas seulement l'accès
Le spear phishing cible en priorité des personnes ayant un pouvoir de décision : direction financière, assistanat de direction, administrateurs, juristes. Or, ce que l'attaquant veut n'est presque jamais l'accès en soi — c'est une action : un virement, un changement de coordonnées bancaires, l'ouverture d'un droit, la transmission d'un document.
D'où la complémentarité entre les deux mesures :
- L'IDless retire la matière première de l'attaque par collecte d'identifiants ;
- Le facteur cognitif au moment de l'action rend l'opération sensible dépendante d'un acte humain conscient, y compris lorsque l'attaquant est déjà à l'intérieur.
Les deux se déploient ensemble, et peuvent s'ajouter en overlay d'une chaîne d'authentification existante, ce qui permet de commencer par les populations les plus exposées.
Comment prioriser
- Identifier les fonctions les plus ciblées — pouvoir financier, accès à privilèges, accès aux données sensibles. La liste tient souvent sur une page.
- Supprimer la saisie d'identifiants sur les parcours web exposés de ces populations.
- Ajouter une validation d'intention sur les actions qu'elles réalisent.
- Aligner les parcours de secours sur le même niveau d'exigence.
FAQ
Le spear phishing ne vise-t-il que les dirigeants ?
Non. Les fonctions les plus visées sont souvent celles qui exécutent : comptabilité fournisseurs, paie, support informatique, assistanat. Elles disposent de droits opérationnels réels et sont moins souvent équipées de contrôles renforcés.
La sensibilisation reste-t-elle utile ?
Oui, mais son message doit changer. Une règle vérifiable — « on ne vous demandera jamais votre mot de passe, il n'y en a pas » — est bien plus opérante qu'une liste de signaux devenus obsolètes.
Comment mesurer l'exposition de notre organisation ?
En évaluant la prévisibilité de votre nomenclature d'identifiants, la présence de vos adresses dans des fuites connues, et le nombre de parcours où un identifiant est encore saisi dans un formulaire web accessible depuis l'extérieur.
Faut-il tout basculer d'un coup ?
Non. Commencer par les fonctions les plus ciblées donne un résultat visible rapidement, et permet de traiter les cas particuliers avant une généralisation.
Aller plus loin : l'authentification cognitive · l'IDless face au credential stuffing · l'ingénierie sociale en entreprise · définition de l'IDless