Le phishing et l'ingénierie sociale
Vous recevez un message qui semble venir de votre banque, de votre fournisseur d'énergie ou de votre employeur, et qui vous demande d'agir vite. Dans la grande majorité des cas, ce qui est visé, ce n'est pas votre ordinateur : c'est vous. Cette première leçon vous montre comment fonctionne la manipulation en ligne, et comment la reconnaître sans devenir méfiant envers tout le monde.
Bienvenue dans ce parcours consacré à la cybersécurité. Ce premier cours ne demande aucune connaissance technique : il part de votre vie numérique de tous les jours (ordinateur, téléphone, comptes en ligne, famille) et la sécurise progressivement. C'est le fil rouge du cours : à la fin de chaque chapitre, vous ajouterez une page à votre carnet de sécurité personnel, et vous terminerez avec un plan d'action complet, prêt à appliquer.
Pour illustrer, nous suivrons Nora, une personne fictive qui travaille en bureau, a deux enfants, un téléphone, un ordinateur portable et une vingtaine de comptes en ligne. Les personnes et situations de ce cours sont inventées : toute ressemblance serait fortuite.
Ce que l'on appelle « ingénierie sociale »
L'ingénierie sociale désigne l'ensemble des techniques qui consistent à obtenir quelque chose d'une personne (une information, un mot de passe, un virement, un clic) en jouant sur sa psychologie plutôt qu'en attaquant directement une machine. Pensez à un cambrioleur qui, au lieu de forcer la serrure, sonne à la porte en se faisant passer pour le plombier : il est plus rapide d'obtenir la clé que de la crocheter.
Cette approche est très répandue pour une raison simple : les systèmes informatiques modernes sont souvent bien protégés, alors que les humains, eux, sont occupés, pressés, serviables et confiants. Ce n'est pas un défaut : ce sont des qualités sociales que les fraudeurs exploitent. Comprendre cela permet de se défendre sans culpabilité.
Le phishing : l'hameçonnage
Le phishing (en français hameçonnage) est la forme la plus courante d'ingénierie sociale. Le principe : envoyer un message, souvent en très grand nombre, qui imite un expéditeur de confiance afin de vous inciter à cliquer sur un lien, ouvrir une pièce jointe ou communiquer des informations (identifiants, numéro de carte, code reçu par SMS).
Le mot évoque la pêche : on lance beaucoup de lignes, et il suffit que quelques personnes mordent. Le coût d'un message est proche de zéro pour l'expéditeur ; il n'a donc pas besoin d'un taux de réussite élevé.
Le phishing prend plusieurs formes :
- le courriel (le plus classique) ;
- le SMS, appelé parfois smishing : faux colis en attente, faux remboursement, fausse amende ;
- l'appel téléphonique, appelé vishing : un faux conseiller bancaire qui parle d'une « opération suspecte » ;
- les messages sur les réseaux sociaux ou messageries : un contact dont le compte a été pris en main écrit à tous ses amis ;
- le QR code piégé, collé sur un support ou envoyé par courriel, qui mène vers un faux site.
Le spear phishing (hameçonnage ciblé) est une variante soignée : le message est adapté à une personne précise, avec son prénom, son entreprise, parfois le nom de son responsable ou une information trouvée sur ses réseaux sociaux. Il est plus rare mais beaucoup plus convaincant.
Les leviers psychologiques
Quel que soit le canal, les messages d'ingénierie sociale reposent sur un petit nombre de leviers émotionnels. Les connaître vaut mieux que mémoriser une liste de signes techniques, car les fraudeurs changent leurs habillages en permanence.
| Levier | Ce que dit le message | Ce qu'il cherche à provoquer |
|---|---|---|
| L'urgence | « Votre compte sera bloqué dans 24 heures » | Vous empêcher de réfléchir et de vérifier |
| La peur | « Une connexion suspecte a été détectée » | Vous faire réagir dans la panique |
| L'autorité | « Message de la direction », « de l'administration » | Vous faire obéir sans discuter |
| La cupidité ou la curiosité | « Vous avez gagné », « Photos de vous » | Vous donner envie de cliquer |
| La serviabilité | « Pouvez-vous me rendre un service ? » | Exploiter votre envie d'aider |
Un réflexe utile : quand un message cherche à vous faire ressentir une émotion forte et à agir tout de suite, c'est déjà un signal d'alerte, indépendamment de son contenu.
Un exemple pas à pas
Un matin, Nora reçoit un SMS : « Votre colis n'a pas pu être livré. Réglez 1,99 euro de frais de réexpédition ici : » suivi d'un lien. Nora attend justement un colis. Elle est tentée de cliquer.
Voici le raisonnement à adopter, en quatre questions :
- Est-ce que j'attendais vraiment ce message ? Elle attend un colis, mais n'a pas reçu de numéro de suivi par ce canal. Le message est générique, sans nom ni numéro de commande.
- Que me demande-t-on ? Un paiement, via un lien. Un vrai transporteur renvoie rarement vers un paiement par SMS sans que vous ayez pris l'initiative.
- Puis-je vérifier par un autre chemin ? Oui : ouvrir elle-même l'application ou le site de la boutique où elle a commandé (en tapant l'adresse ou en utilisant l'application déjà installée) et regarder l'état de la commande.
- Que se passe-t-il si je ne fais rien ? Rien de grave : si le colis existe, le suivi le confirmera.
Ce dernier point est essentiel : dans la vie réelle, ne pas répondre immédiatement est presque toujours possible, et c'est la meilleure arme contre l'urgence artificielle.
Astuce : la règle du « changement de canal »
Si un message vous demande une action sensible (paiement, identifiants, modification de coordonnées bancaires), ne répondez jamais dans le message. Contactez l'organisme par un chemin que vous connaissez déjà : l'application officielle, le numéro inscrit sur votre carte bancaire ou sur un document papier, ou le site tapé vous-même dans le navigateur.
Les indices qui doivent vous faire ralentir
Aucun indice n'est une preuve à lui seul, mais leur accumulation doit vous alerter :
- un expéditeur dont l'adresse ne correspond pas à l'organisme annoncé, ou ressemble à la bonne à un caractère près ;
- un message qui ne vous appelle pas par votre nom (« Cher client ») alors que l'organisme vous connaît ;
- un lien dont l'adresse affichée est étrange (en survolant le lien avec la souris, ou en maintenant l'appui sur mobile, on peut en lire la destination) ;
- une demande de saisir des informations très sensibles (code de carte, mot de passe) ;
- une pièce jointe inattendue, surtout un fichier compressé ou un document qui demande d'« activer les macros » ou le contenu ;
- un ton inhabituel de la part d'un proche ou d'un collègue.
À l'inverse, l'absence de fautes d'orthographe ne prouve rien : les messages récents sont souvent bien rédigés, notamment grâce aux outils de traduction et de rédaction automatiques. Ne vous fiez donc pas à la qualité de la langue.
Attention : ne vous reprochez rien
Des personnes très informées, des responsables techniques et des cadres expérimentés se font aussi piéger, notamment lorsqu'ils sont fatigués ou pressés. Le but de ce cours n'est pas de vous rendre infaillible, mais de réduire les occasions de se tromper et de savoir réagir vite si cela arrive. Si vous avez déjà cliqué, la dernière leçon de ce cours (chapitre 7) vous explique exactement quoi faire.
L'ingénierie sociale hors du numérique
Les mêmes mécanismes existent hors écran. Quelqu'un qui téléphone en se faisant passer pour le support informatique de votre entreprise, un visiteur qui suit un salarié dans une zone à accès contrôlé (tailgating), une clé USB « trouvée » devant l'entrée et laissée volontairement, une personne qui regarde par-dessus votre épaule dans le train. La parade est toujours la même : vérifier l'identité et la légitimité de la demande par un autre moyen, sans se laisser impressionner.
À vous de jouer
Voici trois messages fictifs. Pour chacun, indiquez le levier psychologique principal et la vérification à faire avant toute action.
- Un courriel de « votre service de ressources humaines » : « Veuillez confirmer vos coordonnées bancaires avant ce soir pour le versement de votre prime. »
- Un SMS d'un numéro inconnu : « Bonjour maman, j'ai changé de téléphone, peux-tu m'envoyer de l'argent, c'est urgent. »
- Un appel d'une personne qui se présente comme le « service antifraude de votre banque » et vous demande de lire le code que vous venez de recevoir par SMS « pour annuler l'opération ».
Voir une solution
- Urgence et autorité (la prime, « avant ce soir »). Vérification : contacter le service concerné par un canal connu (annuaire interne, collègue, responsable), sans répondre au courriel. Ne jamais envoyer de coordonnées bancaires par courriel.
- Serviabilité, affection et urgence. Vérification : appeler l'enfant sur son ancien numéro ou le joindre par un autre proche avant toute action. Aucun virement tant que l'identité n'est pas confirmée.
- Peur et autorité. Un code reçu par SMS est personnel : un conseiller n'a pas besoin que vous le lui lisiez. Raccrochez, puis rappelez votre banque avec le numéro officiel figurant sur votre carte ou vos documents.
À retenir
- L'ingénierie sociale vise la personne, pas la machine : elle exploite l'urgence, la peur, l'autorité, la curiosité et la serviabilité.
- Le phishing arrive par courriel, SMS, téléphone, messageries et même QR code.
- Une émotion forte combinée à une demande d'agir vite est le meilleur signal d'alerte.
- Changez de canal : vérifiez par un chemin que vous connaissez, jamais en répondant au message.
- Ralentir est presque toujours possible, et c'est la meilleure défense.
Dans la leçon suivante, nous verrons ce qui se passe lorsque le piège fonctionne : les logiciels malveillants, et en particulier les rançongiciels.