Quand un agent du support peut réinitialiser un mot de passe après avoir « vérifié » un appelant, le véritable facteur d'authentification de votre organisation n'est ni la passkey ni le code temporaire : c'est le jugement d'un agent sous pression, en quelques minutes de conversation. C'est aussi le chemin le plus court vers un compte, et il ne nécessite aucune compétence technique.
Le scénario, étape par étape
| Étape | Ce que fait l'attaquant | Ce qui le rend crédible |
|---|---|---|
| Reconnaissance | identifie une cible, son service, son responsable | annuaires professionnels, site institutionnel, signatures de courriel |
| Prétexte | appelle en se présentant comme cette personne | connaît l'organigramme, le vocabulaire interne, un projet en cours |
| Pression | déplacement, réunion imminente, incident bloquant | l'urgence réduit la tolérance de l'agent à la procédure |
| Vérification | fournit date de naissance, matricule, dernier ticket | ces éléments circulent largement ou se déduisent |
| Reset | obtient un mot de passe temporaire | l'agent a rempli sa mission : débloquer un collaborateur |
| Persistance | inscrit son propre second facteur | plus aucune alerte, accès durable et résistant au phishing |
La dernière ligne est le point critique. Le mot de passe temporaire n'intéresse pas l'attaquant en lui-même : il sert à inscrire un facteur qu'il contrôlera, transformant une intrusion ponctuelle en accès permanent qui survivra au changement de mot de passe de la victime.
Pourquoi former les agents ne suffit pas
Le réflexe habituel est la sensibilisation. Elle est nécessaire, mais elle bute sur trois réalités structurelles.
L'agent est évalué sur sa capacité à débloquer. Ses indicateurs portent sur le délai de résolution et la satisfaction. Refuser un appelant légitime a un coût visible ; accepter un appelant frauduleux a un coût invisible et différé. L'incitation joue contre la sécurité.
Les données de vérification ne sont pas des secrets. Date de naissance, matricule, nom du responsable, intitulé de poste : ces éléments figurent dans des fuites antérieures, des annuaires professionnels ou des messages internes. Les traiter comme des preuves est une erreur de conception, pas une erreur d'agent.
La voix n'est plus un indice. La synthèse vocale permet de reproduire un timbre à partir de peu de matériel. Un agent qui « reconnaît » un interlocuteur récurrent se fonde désormais sur un signal non fiable. Cela vaut aussi pour la visioconférence.
La conclusion opérationnelle est nette : il faut retirer à l'agent le pouvoir de décider, plutôt que d'espérer qu'il décide mieux.
Les contrôles qui changent la donne
| Contrôle | Effet sur l'attaque | Coût d'exploitation |
|---|---|---|
| Vérification par un canal indépendant préenregistré | l'attaquant doit contrôler ce canal | faible, si le canal est tenu à jour |
| Validation par le responsable hiérarchique | ajoute un acteur non joignable au même instant | modéré, délai supplémentaire |
| Preuve détenue par l'utilisateur, non connue de l'agent | rend la conversation inutile | faible après mise en place |
| Vidéo avec présentation d'un badge | affaibli par les deepfakes | modéré, valeur en baisse |
| Questions de vérification | quasi nul contre un attaquant préparé | faible |
| Reset livré uniquement sur un appareil géré | l'attaquant doit posséder l'appareil | dépend du parc |
| Gel des opérations sensibles après reset | limite la valeur d'un succès | faible |
| Journalisation intégrale et revue des dérogations | détection et responsabilisation | faible |
La ligne décisive est la troisième : si la reprise d'accès exige une preuve que l'agent ne détient pas et ne peut pas contourner, la persuasion cesse d'être une voie d'attaque. C'est le principe d'un facteur cognitif constitué lors d'un enrôlement hors ligne : l'utilisateur sait faire quelque chose, cette capacité n'a jamais été transmise, et aucun agent ne peut la fournir à sa place — ni la contourner par bienveillance.
Réduire le volume avant de sécuriser le parcours
Un helpdesk qui traite quelques cas de reset par mois peut appliquer une procédure lourde. Un helpdesk qui en traite des dizaines par jour finira par la contourner. La sécurisation commence donc par la réduction du volume :
- Inscrire deux facteurs dès l'enrôlement, sur des supports distincts. La perte d'un appareil cesse d'être un appel au support.
- Proposer un libre-service robuste pour les cas simples, adossé à un facteur non rejouable — et non à des questions de sécurité.
- Mesurer les motifs d'appel. Un pic de resets concentré sur un service ou une plage horaire est un signal, parfois d'attaque, souvent de défaut de conception d'un parcours.
- Traiter séparément les populations à privilèges, pour lesquelles l'automatisation doit être exclue et la vérification renforcée, idéalement en présentiel.
L'angle réglementaire
NIS2 comme DORA demandent des mesures de gestion des risques proportionnées et une traçabilité des accès. Un parcours de réinitialisation reposant sur des informations publiquement accessibles, sans trace exploitable de la vérification effectuée, se défend difficilement lors d'une revue d'incident. La question posée après coup n'est pas « l'agent a-t-il été formé ? » mais « quelle preuve avez-vous que l'appelant était bien le titulaire du compte ? ».
FAQ
Faut-il supprimer complètement le reset par téléphone ?
Pas nécessairement, mais il doit cesser d'être une décision humaine. Le téléphone peut rester le canal de prise en charge, tant que la vérification effective repose sur un élément technique que l'agent ne peut ni fournir ni contourner.
Les questions de sécurité ont-elles encore une utilité ?
Comme signal complémentaire faible, éventuellement. Comme preuve, non : leurs réponses sont devinables, publiques ou présentes dans des fuites, et les utilisateurs les enregistrent souvent au même endroit que leurs mots de passe.
Comment traiter le premier jour d'un nouvel arrivant ?
C'est un cas d'enrôlement, pas de récupération, et il doit être traité comme tel : remise en main propre ou via le manager, avec un secret d'activation à usage unique et une durée de validité courte. Un arrivant enrôlé par courriel hérite du niveau de sécurité de sa messagerie.
Que faire immédiatement après une réinitialisation suspecte ?
Révoquer les sessions actives, vérifier les facteurs inscrits depuis le reset, contrôler les règles de messagerie créées, et contacter l'utilisateur par un canal connu et indépendant. L'inscription d'un nouveau facteur juste après le reset est le signal le plus révélateur.
Aller plus loin : pilier : authentification cognitive · ingénierie sociale en entreprise · récupération de compte avec passkey · supprimer les mots de passe