Qu’est-ce que l’ingénierie sociale ?

L’ingénierie sociale désigne l’ensemble des techniques par lesquelles un attaquant manipule une personne pour qu’elle réalise volontairement une action, ou livre une information, qu’elle ne donnerait pas autrement. Il ne s’agit pas de casser une technologie. Il s’agit d’exploiter la façon dont nous décidons sous pression, face à l’autorité et dans l’urgence.

C’est la technique d’attaque la plus efficace que nous observons sur le terrain, et la seule contre laquelle un pare-feu mieux configuré ne change rien.

Un mot sur le vocabulaire, parce qu’il varie selon les sources : la terminologie officielle française préfère « manipulation psychosociale », mais le CyberDico de l’ANSSI comme l’ensemble du marché retiennent « ingénierie sociale ». C’est le terme que nous employons ici.

Pourquoi cela fonctionne

La sécurité technique s’est nettement améliorée ces dernières années. Ouvrir depuis l’extérieur une infrastructure correctement configurée coûte cher et prend du temps. Envoyer mille messages et attendre qu’une seule personne clique ne coûte presque rien.

Un attaquant n’exploite pas la bêtise. Il exploite des mécanismes qui, au quotidien, rendent service :

• L’autorité. Une demande émanant « de la direction » ou « de la DSI » ne se discute pas.
• L’urgence. La pression temporelle désactive l’esprit critique. « Avant ce soir » est la formule la plus efficace du phishing (hameçonnage).
• La réciprocité. Qui nous a rendu service obtient un service en retour.
• La preuve sociale. Si des collègues l’ont fait, c’est que c’est normal.
• La peur. La menace d’une sanction, d’un compte bloqué ou d’une remontée à la direction.
• La curiosité. Une pièce jointe nommée « Salaires 2026 » s’ouvre toute seule.

Ces ressorts sont plus anciens qu’internet. Ce qui est nouveau, c’est le coût de leur passage à l’échelle.

Les quatre phases d’une attaque

Dans la réalité, l’ingénierie sociale n’est pas un e-mail isolé. C’est un processus.

1. Le renseignement (OSINT). L’attaquant cartographie qui travaille dans l’entreprise, à quel poste, avec qui, et avec quels outils. Les sources sont publiques : LinkedIn, rapports annuels, bases d’entreprises ouvertes comme Sirene ou le BODACC, photos d’événements professionnels, métadonnées des documents publiés sur le site. Une signature d’e-mail et une photo de conférence en disent beaucoup plus qu’on ne l’imagine.

2. La mise en confiance. L’attaquant construit un prétexte. Ce n’est jamais tout de suite une demande de mot de passe. C’est le plus souvent un contact anodin et vraisemblable : une question sur une facturation, une demande de devis, l’annonce d’un changement dans un outil.

3. L’exploitation. La demande réelle n’arrive qu’ici : cliquer sur un lien, ouvrir une pièce jointe, valider une notification de connexion, modifier les coordonnées bancaires d’une facture ou laisser entrer quelqu’un dans les locaux.

4. L’effacement des traces. Un bon attaquant termine l’échange de façon à ce que la victime n’ait aucune raison de signaler quoi que ce soit. C’est pourquoi beaucoup d’incidents ne sont découverts que des semaines plus tard.

Les techniques les plus courantes

Deux précisions utiles. Lorsque la cible est un dirigeant plutôt qu’un collaborateur quelconque, on parle de harponnage (whaling). Et l’arnaque au président — la famille d’attaques que l’anglais désigne par business email compromise — est de loin la plus douloureuse financièrement. Aucun logiciel malveillant n’intervient : un message convaincant au bon moment et des coordonnées bancaires modifiées suffisent. Sa variante la plus fréquente n’est d’ailleurs pas le faux dirigeant, mais le faux fournisseur qui annonce un changement de RIB.

Ce que l’IA générative a changé

Il y a peu encore, le phishing se repérait à la langue. Un français approximatif était l’indicateur le plus fiable dont disposaient vos équipes. Cet indice n’est plus utilisable.

Les modèles génératifs écrivent aujourd’hui un français irréprochable, dans le style d’une entreprise donnée, à partir de textes publiquement disponibles. Les modèles vocaux reproduisent une voix à partir d’un enregistrement court, et l’enregistrement d’un dirigeant est souvent public : un podcast, une vidéo d’entreprise, une intervention filmée en conférence.

La conséquence pratique est simple : les conseils du type « repérez les fautes d’orthographe » sont périmés. La défense doit se déplacer de la reconnaissance de la forme vers la vérification du fond. Nous détaillons ce basculement dans reconnaître un phishing généré par IA et dans l’article consacré à l’arnaque au président et au deepfake vocal.

Ce qui fonctionne vraiment

Un canal de vérification, pas de la vigilance

La mesure la plus efficace est procédurale, pas humaine : aucun changement de coordonnées bancaires et aucun virement exceptionnel n’est exécuté sans confirmation par un second canal. Un e-mail se vérifie par un appel vers un numéro déjà connu, jamais vers celui qui figure dans le message. Cette règle seule arrête la plupart des arnaques au président, aussi convaincant que soit le message d’origine.

Une authentification résistante au phishing

L’authentification à deux facteurs classique, par SMS ou par code d’application, se contourne : l’attaquant demande simplement le code à sa victime pendant qu’il se connecte. Les clés de sécurité et les passkeys sont liées au domaine et ne fonctionnent donc pas sur une page contrefaite. C’est la différence entre compliquer une attaque et la rendre impossible.

Une culture où l’on peut signaler son erreur

Si un collaborateur sait qu’un clic avoué lui vaudra une remontrance, il ne signalera pas l’incident. L’entreprise apprendra la compromission un mois plus tard. Toute la valeur d’un dispositif de sensibilisation tient à cette question : est-il sans risque d’annoncer sa propre erreur ?

Une sensibilisation adossée à la mesure

Une session annuelle pendant laquelle chacun fait défiler une présentation ne change aucun comportement. Ce qui en change un, c’est une expérience concrète : un collaborateur clique sur un message simulé, reçoit immédiatement l’explication de ce qu’il aurait dû remarquer, et constate un mois plus tard qu’il le repère. Nous traitons ce point par une combinaison de simulations d’ingénierie sociale et de sensibilisation à la cybersécurité, avec PhishGun pour les campagnes et leur suivi dans le temps.

Comment se mesure la résistance de vos équipes

Une simulation d’ingénierie sociale fonctionne comme un test d’intrusion (pentest), à ceci près que la cible n’est pas un système : c’est un processus et des personnes. Si vous voulez d’abord savoir ce que recouvre un test technique, lisez qu’est-ce qu’un test d’intrusion. En pratique, nous procédons ainsi :

1. Nous cadrons le périmètre et les règles d’engagement. Ce qui est autorisé et ce qui ne l’est pas, qui est concerné, qui est informé à l’avance. Ce mandat écrit est aussi la base juridique du test.
2. Nous faisons de l’OSINT, exactement ce que ferait un attaquant, et nous vous remettons ce que nous avons trouvé.
3. Nous construisons des scénarios à la mesure de votre organisation, pas des modèles génériques.
4. Nous mesurons la réaction. Pas seulement qui a cliqué, mais qui a signalé, et au bout de combien de temps.
5. Nous restituons sans liste nominative. L’objectif est d’améliorer un processus, pas de désigner un responsable.

C’est le cinquième point qui détermine si le test produit un effet. Les résultats sont restitués de façon strictement agrégée ; aucun collaborateur n’est évalué ni identifié. Une liste de noms provoque des postures défensives. Un chiffre agrégé accompagné d’une explication provoque un changement. Une simulation éprouve donc les mesures organisationnelles — les canaux de signalement, la procédure de vérification, le délai de réaction — et non les personnes.

Un détail de terrain qui mérite d’être retenu : la métrique à suivre n’est pas le taux de clic, c’est le taux de signalement. Une entreprise où dix pour cent des personnes cliquent et où la moitié d’entre elles le signalent est mieux placée qu’une entreprise où cinq pour cent cliquent et où personne ne dit rien.

Lorsque le scénario se prolonge par une attaque technique sur le système d’information, il relève d’une mission Red Team, qui mesure votre capacité réelle de détection et de réaction.

Le cadre juridique en France

Deux régimes se superposent, et il est utile de les distinguer.

Côté test. L’accès ou le maintien frauduleux dans un système de traitement automatisé de données est réprimé par les articles 323-1 et suivants du code pénal. Ce qui rend un test licite, c’est donc le mandat écrit : périmètre, période, techniques autorisées et interlocuteurs, fixés avant que quoi que ce soit ne commence. Aucun prestataire sérieux ne démarre sans. Sur ce que vous êtes en droit d’exiger d’un intervenant, voyez comment choisir un prestataire de test d’intrusion.

Côté salariés. Une campagne de phishing simulée est un traitement de données personnelles et un dispositif qui observe l’activité des salariés. Trois obligations en découlent :

• L’information préalable. Les collaborateurs sont informés de l’existence du dispositif avant sa mise en œuvre — charte informatique, note de service, intranet. Le message simulé, lui, reste évidemment une surprise ; c’est le principe même de la démarche qui est annoncé, pas sa date.
• La consultation du CSE. Dans les entreprises d’au moins cinquante salariés, le comité social et économique est consulté préalablement à l’introduction d’un moyen permettant de contrôler l’activité des salariés.
• Des résultats agrégés. Pas de liste nominative, pas de sanction individuelle, une durée de conservation limitée et une inscription au registre des traitements. La CNIL attend d’un dispositif de contrôle qu’il reste proportionné et transparent ; une simulation restituée par service, et non par personne, satisfait les deux exigences.

Nous consacrons un article entier à ce montage, modèle d’annonce interne compris : simulation de phishing, informer les salariés et consulter le CSE.

Si vous abordez le sujet pour des raisons de conformité

L’article 32 du RGPD est la seule disposition européenne qui mentionne explicitement le test périodique : il demande « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles ». Une simulation d’ingénierie sociale est l’une des façons d’apporter cette preuve sur le volet humain.

L’annexe A de l’ISO/IEC 27001 attend une sensibilisation des collaborateurs et sa vérification, ce qui place la simulation du côté des preuves d’efficacité du SMSI plutôt que du côté des actions déclaratives. Nous accompagnons cette démarche depuis notre page ISO 27001.

La directive (UE) 2022/2555 (NIS 2) range, à son article 21, les pratiques d’hygiène informatique de base et la sensibilisation à la cybersécurité parmi les mesures de gestion des risques attendues des entités concernées. Attention toutefois : cette directive n’est pas transposée en droit français à ce jour. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est encore en cours d’examen parlementaire, et aucune obligation française n’en découle tant qu’il n’est pas promulgué. Nous faisons le point régulièrement dans où en est la transposition de NIS 2 en France.

Vous voulez savoir où en serait votre organisation aujourd’hui ? Demandez un devis : nous vous proposons un périmètre de simulation qui produit des chiffres exploitables et ne met personne en cause.

Ingénierie sociale — questions fréquentes

Nos services associés : pentest d’ingénierie sociale et simulations de phishing · sensibilisation de vos collaborateurs à la cybersécurité · Red Team – une simulation d’attaque réaliste