L'ingénierie sociale en entreprise ne repose pas sur la naïveté des collaborateurs. Elle repose sur des réflexes professionnels sains — répondre vite, aider un collègue, obéir à une consigne, ne pas bloquer un client — retournés contre l'organisation. C'est pourquoi les campagnes de sensibilisation fondées sur la vigilance individuelle donnent des résultats limités : elles demandent aux salariés de se méfier de ce qui constitue leur travail.
Les cinq leviers réellement employés
L'autorité. Une instruction présentée comme venant d'un supérieur, d'un dirigeant ou d'une autorité externe. Elle fonctionne parce que la contester a un coût professionnel réel, alors que l'exécuter n'en a aucun de visible.
L'urgence. Elle supprime le temps de la vérification. Toute demande qui invoque une échéance imminente — clôture, livraison, audience, incident — déplace la décision du raisonnement vers le réflexe.
La réciprocité. L'attaquant rend d'abord un service, résout un faux problème, ou se montre compréhensif. La demande qui suit s'inscrit dans une relation d'échange, et refuser devient socialement coûteux.
La preuve sociale. « Votre collègue du service comptable a déjà validé. » « C'est la procédure habituelle avec vous. » L'attaquant s'appuie sur une norme supposée, difficile à contredire sans paraître mal informé.
L'engagement progressif. La première demande est anodine — confirmer un nom, préciser un horaire. Les suivantes s'appuient sur les précédentes. Refuser à la quatrième étape suppose de désavouer les trois premières, ce que peu de personnes font spontanément.
Les fonctions réellement ciblées
Les campagnes de sensibilisation visent souvent l'ensemble des salariés. Les attaquants, eux, ciblent précisément.
| Fonction visée | Pourquoi elle | Demande type | Contre-mesure structurelle |
|---|---|---|---|
| Guichet informatique | Métier fait d'exceptions et d'urgences | Réinitialiser un accès | Preuve hors du canal de la demande |
| Comptabilité fournisseurs | Accès direct aux paiements | Modifier des coordonnées bancaires | Canal unique de modification, délai de carence |
| Assistant de direction | Proximité de l'autorité | Traiter une demande confidentielle | Interdiction écrite des circuits d'exception |
| Nouvel arrivant | Ne connaît pas encore les usages | Fournir une information, cliquer | Consignes dès le premier jour |
| Ressources humaines | Reçoit des pièces jointes d'inconnus | Ouvrir une candidature | Isolation des pièces, procédure de tri |
| Astreinte et nuit | Supervision réduite, décision solitaire | Ouvrir un accès, lever un blocage | Procédure de nuit renforcée, pas allégée |
Deux lignes concentrent l'essentiel des incidents. Le guichet informatique, parce qu'il détient le pouvoir de rendre un accès. Et l'astreinte, parce que la vérification y est la plus difficile et la solitude de décision la plus grande.
La chaîne complète : de la collecte à l'action
Une attaque aboutie suit presque toujours le même enchaînement.
Collecte. Organigrammes, profils professionnels, offres d'emploi qui décrivent les outils utilisés, communiqués, avis d'attribution de marchés, mentions légales. Rien de tout cela n'est confidentiel, et l'ensemble suffit à construire un prétexte crédible.
Point d'appui. Une boîte de messagerie compromise, chez un partenaire plus souvent que chez la cible. Elle fournit le vocabulaire, les dossiers en cours, les prénoms et les habitudes de formulation — c'est ce qui distingue un prétexte crédible d'un prétexte générique.
Prétexte. Une histoire cohérente, adossée à un événement réel : un déplacement, une facture attendue, un incident en cours, une échéance connue.
Canal. Message dans un fil existant, appel téléphonique, parfois les deux en séquence — un message prépare, un appel conclut.
Action. Un geste unique et précis : un virement, une modification de coordonnées, une réinitialisation d'accès, l'envoi d'un document.
La conséquence défensive est nette : la légitimité apparente de l'expéditeur ne prouve rien, puisque la boîte d'envoi est souvent réellement légitime.
Ce qui fonctionne, et ce qui ne fonctionne pas
Ce qui ne fonctionne pas. Demander aux salariés d'être vigilants sans changer les processus. Les campagnes de faux phishing employées comme outil de mesure plutôt que de formation, qui produisent de la méfiance envers la sécurité plus que de la compétence. Les règles à exceptions, dont les exceptions constituent précisément la porte d'entrée.
Ce qui fonctionne. Des règles sans exception sur un petit nombre de gestes : aucune réinitialisation d'accès par téléphone, aucune modification de coordonnées bancaires hors du canal unique, aucun paiement confidentiel. Peu de règles, jamais négociables, et connues avant l'incident.
La protection de celui qui refuse. Un collaborateur qui applique la règle face à un interlocuteur insistant doit être soutenu par sa hiérarchie, y compris s'il a tort. Sans cette garantie, aucune règle ne survit à son premier appel difficile.
Le déplacement du contrôle vers l'action. Le facteur cognitif substitue au jugement humain une preuve d'intention : un défi résolu au moment de l'opération, dans un canal éphémère ouvert par QR code dynamique à usage unique, à partir d'une méthode personnelle acquise hors ligne et non verbalisable. L'agent de support n'a plus à décider s'il croit son interlocuteur ; il vérifie qu'une preuve a été produite. Cela ne supprime pas la manipulation, mais cela supprime l'extorsion — et cela laisse une trace exploitable.
FAQ
La sensibilisation est-elle inutile ?
Non, mais son objet doit changer. Apprendre à reconnaître un faux site est devenu peu productif. Apprendre à reconnaître une pression à agir — urgence, confidentialité, autorité, contournement de procédure — reste efficace et se transpose à tous les canaux.
Faut-il mesurer par des campagnes de faux phishing ?
Elles ont un intérêt pédagogique quand elles servent à former. Utilisées comme instrument de mesure ou de sanction, elles dégradent la relation avec les équipes et découragent le signalement, qui est pourtant le capteur le plus utile.
Par où commencer avec des moyens limités ?
Par le guichet informatique et par la chaîne de paiement. Ces deux fonctions concentrent la majorité des incidents aboutis, et trois règles sans exception y produisent un effet mesurable rapidement.
Comment traiter les demandes légitimes urgentes ?
En prévoyant un circuit rapide et tracé plutôt qu'une exception improvisée. Une procédure d'urgence écrite, limitée dans le temps et auditable, est bien préférable à une tolérance implicite.
Aller plus loin : le 4ᵉ facteur cognitif · MFA fatigue et push bombing · le facteur cognitif face au vishing · réinitialisation de mot de passe au helpdesk