0.3Le facteur humain & l'ingénierie sociale
De quoi parle cette section. L'ingénierie sociale, c'est l'art de manipuler les personnes pour obtenir ce qu'on veut, sans piratage technique. Un attaquant qui maîtrise ce levier n'a pas besoin de casser un mot de passe : il vous le demande gentiment, en se faisant passer pour quelqu'un d'autre, et vous le lui donnez.
Cette section décortique les ressorts psychologiques exploités : l'urgence (« il faut répondre tout de suite »), l'autorité (« c'est le DAF qui demande »), la confiance (« je suis ton nouveau collègue »), la peur (« votre compte sera bloqué dans 1 heure »). Apprendre à les repérer, c'est désamorcer la grande majorité des attaques avant qu'elles aboutissent.
Vocabulaire de la section
- Ingénierie sociale
- L'art de manipuler pour faire agir : l'attaquant n'attaque pas la machine, il convainc l'humain.
- Levier d'urgence
- « C'est urgent, faites-le maintenant » : court-circuiter la réflexion — le ressort n°1 des fraudes.
- Levier d'autorité
- Se faire passer pour un dirigeant, la banque, un service officiel : on obéit avant de vérifier.
- Prétexte (pretexting)
- Un scénario crédible construit avec de vraies informations (site web, LinkedIn, out-of-office) pour endormir la méfiance.
- OSINT
- Les informations publiques (réseaux sociaux, site, annuaires) que l'attaquant collecte pour personnaliser son attaque.
Qu'est-ce que l'ingénierie sociale ?
En pratique — Pensez comme un attaquant (exercice éthique)
- Cherchez-vous sur un moteur de recherche + LinkedIn : que trouve un inconnu sur votre poste, vos collègues, vos projets ?
- Imaginez le scénario : avec ces informations, quel e-mail crédible pourrait-on VOUS envoyer ? (ex. faux fournisseur citant un vrai projet).
- Identifiez le levier qui marcherait le mieux sur vous : urgence ? autorité ? envie d'aider ?
- Décidez d'un garde-fou personnel : « toute demande urgente + inhabituelle = vérification par un autre canal ».
Points clés à retenir
- L'attaquant exploite des ressorts humains universels : urgence, autorité, confiance, envie d'aider.
- Plus une attaque est personnalisée (vraies infos, vrai contexte), plus elle est efficace — et l'OSINT la nourrit.
- Urgence + demande inhabituelle = les deux signaux qui doivent déclencher la vérification.
- Se savoir manipulable n'est pas une faiblesse : c'est la condition de la vigilance.
Questions fréquentes
Je suis prudent de nature, suis-je vraiment vulnérable ?
Les tests d'intrusion montrent que tout le monde clique un jour — la bonne question n'est pas « suis-je infaillible ? » mais « qu'est-ce qui se passe quand je me trompe ? » (2FA, signalement, sauvegardes : les filets des niveaux suivants).
Faut-il verrouiller tous ses réseaux sociaux ?
Pas forcément tout, mais réfléchissez en attaquant : fonction précise + organigramme + absences annoncées = matière à fraude ciblée. Limitez le professionnel exposé au nécessaire.