Le vishing — hameçonnage par la voix — repose sur une opération unique : obtenir que la victime prononce ou saisisse quelque chose. Un code reçu par SMS, un code temporaire, un mot de passe, une validation. Face au facteur cognitif, cette opération n'a pas d'objet : la méthode de résolution est personnelle, acquise lors d'un enrôlement hors ligne, et non verbalisable. Il n'y a rien à dicter, même si l'utilisateur le voulait.
Ce que le vishing demande réellement
Une campagne vocale efficace ne demande jamais « donnez-moi votre mot de passe ». Elle demande une action présentée comme protectrice.
« Lisez-moi le code de vérification que nous venons de vous envoyer, pour confirmer que je parle bien au titulaire. » « Validez la notification, c'est ainsi que nous annulons l'opération frauduleuse. » « Saisissez ce code, il désactive le paiement en cours. »
Le point commun de ces formulations est qu'elles transfèrent une valeur ou une décision de la victime vers l'attaquant, sous couvert de sécurité. Elles fonctionnent parce que la victime croit se protéger en coopérant.
Tout facteur reposant sur une valeur transmissible est donc exposé par construction :
| Méthode | Extorquable au téléphone ? | Pourquoi |
|---|---|---|
| Mot de passe | Oui | Valeur mémorisée, prononçable |
| SMS-OTP | Oui | Valeur affichée, prononçable — classé « restricted » par le NIST |
| TOTP | Oui | Valeur affichée, prononçable |
| OTP par e-mail | Oui | Valeur lisible, prononçable |
| Notification push | Oui, par approbation guidée | Une décision binaire se commande |
| Correspondance de numéro | Oui | Le chiffre affiché se dicte |
| Passkey / clé physique | Non directement | Aucune valeur affichée à transmettre |
| Facteur cognitif | Non | Méthode personnelle non verbalisable |
Pourquoi la méthode de résolution ne se transmet pas
Un secret se communique parce qu'il est une valeur. Une méthode se transmet difficilement parce qu'elle est une manière de faire, acquise et exercée.
Le facteur cognitif repose sur ce principe : lors de l'enrôlement, réalisé hors ligne, l'utilisateur acquiert une méthode de résolution personnelle. À chaque sollicitation, il l'applique à un défi propre à l'opération en cours, dans un canal éphémère ouvert par QR code dynamique à usage unique.
Deux conséquences en découlent face au vishing.
Il n'y a pas de valeur à demander. Un attaquant qui exige « le code » se heurte à l'absence d'objet. La demande devient elle-même incongrue, ce qui constitue un signal d'alerte pour l'utilisateur.
La réponse ne vaut que pour cette opération. Même une réponse observée ne sert à rien pour une autre sollicitation : le défi est différent et les paramètres varient.
La limite qu'il faut poser sans détour
Le facteur cognitif empêche l'extorsion. Il n'empêche pas la manipulation.
Un attaquant suffisamment convaincant peut renoncer à obtenir un code et demander directement à la victime d'effectuer l'opération : « faites le virement vers ce compte de mise en sécurité ». La victime résoudra alors le défi correctement, puisqu'elle veut effectuer l'opération qu'on lui a décrite.
Cette situation ne relève d'aucun facteur d'authentification, puisqu'il n'y a ni usurpation ni contournement technique. Trois contrôles la traitent réellement.
Le délai. Une opération atypique n'est pas exécutée immédiatement. Le délai est la contre-mesure la plus efficace contre l'urgence induite, parce qu'il ne se négocie pas et qu'il donne à la victime le temps de sortir de l'état émotionnel provoqué.
La notification hors bande. Un message vers un canal que l'attaquant ne contrôle pas rend la manipulation visible avant qu'elle ne soit irréversible.
Le score de risque contextuel. Bénéficiaire nouveau, montant inhabituel, horaire atypique, séquence anormale : ces signaux permettent d'élever l'exigence ou de suspendre l'opération, là où le facteur seul valide correctement.
Ce que le dispositif change pour l'organisation
Un bénéfice indirect mérite d'être signalé : la consigne devient simple et absolue.
Avec un facteur transmissible, la règle est nécessairement nuancée — « ne communiquez jamais votre code, sauf lorsque vous êtes à l'origine de la demande » — et cette nuance est exactement ce que l'attaquant exploite.
Avec un facteur non verbalisable, la consigne devient : personne ne vous demandera jamais quoi que ce soit lié à votre authentification par téléphone. Une règle sans exception est retenue et appliquée ; une règle à exceptions ne l'est pas.
Cela vaut aussi pour le guichet informatique. Une demande de réinitialisation par téléphone ne peut plus être arbitrée par le jugement d'un agent sur la voix de son interlocuteur — jugement que le clonage vocal rend caduc — mais par la production d'une preuve, question binaire et traçable.
FAQ
Le facteur cognitif protège-t-il contre un deepfake vocal ?
Il retire l'objet de l'extorsion : l'appelant, même parfaitement crédible, n'obtient rien de transmissible. Il ne protège pas contre une manipulation qui pousse l'utilisateur à réaliser lui-même l'opération.
Un utilisateur peut-il transmettre sa méthode de résolution à un proche ?
La méthode est personnelle et s'exerce, elle ne se recopie pas comme un mot de passe. Ce point traite aussi le partage de compte informel, courant dans certaines organisations et rarement mesuré.
Faut-il quand même former les utilisateurs ?
Oui, mais la formation change d'objet. Il ne s'agit plus d'apprendre à ne pas divulguer un code, mais à reconnaître une pression à agir : urgence, confidentialité, autorité, promesse de protection.
Comment traiter les appels au support qui semblent légitimes ?
Par une procédure identique quel que soit le motif : preuve produite hors du canal de l'appel, traçabilité de la demande, et refus de toute exception improvisée. L'agent doit être soutenu par la règle, pas laissé à son appréciation.
Aller plus loin : authentification cognitive · SMS-OTP face au vishing · ingénierie sociale en entreprise · le facteur cognitif sur les transactions sensibles