L’ingénierie sociale repose sur une idée simple : il est souvent plus facile de manipuler une personne que de pirater un système.

Plutôt que de chercher une faille technique dans un firewall ou un logiciel, l’attaquant cible le facteur humain — la confiance, la peur, l’urgence, l’autorité.

C’est l’une des techniques les plus efficaces utilisées par les cybercriminels, et l’une des plus difficiles à contrer avec la technologie seule.

Définition de l’ingénierie sociale

L’ingénierie sociale (ou social engineering) désigne l’ensemble des techniques de manipulation psychologique visant à amener une personne à divulguer des informations confidentielles, à effectuer une action non autorisée ou à faciliter une intrusion.

Contrairement aux attaques purement techniques, l’ingénierie sociale exploite :

  • La confiance : se faire passer pour une personne ou une institution de confiance
  • L’autorité : simuler une figure d’autorité (dirigeant, support IT, régulateur)
  • L’urgence : créer une pression temporelle qui empêche la réflexion
  • La peur : menacer de conséquences négatives
  • La curiosité : éveiller l’intérêt pour pousser à cliquer ou ouvrir
  • La réciprocité : offrir quelque chose pour obtenir quelque chose en retour

Les principales techniques d’ingénierie sociale

Phishing

L’email frauduleux est la forme la plus répandue. L’attaquant envoie un email imitant une organisation légitime (banque, service public, fournisseur) pour voler des identifiants ou installer un malware.

Variantes :

  • Spear phishing : ciblage personnalisé basé sur des informations collectées sur la victime
  • Whaling : ciblage des dirigeants
  • Smishing : phishing par SMS
  • Vishing : phishing vocal (appel téléphonique)

Pretexting

L’attaquant crée un scénario fictif (prétexte) pour obtenir des informations. Par exemple :

  • Se faire passer pour un auditeur externe demandant des accès
  • Simuler un employé RH réclamant des informations personnelles
  • Imiter un technicien de maintenance nécessitant un accès

Baiting

L’attaquant laisse un objet physique piégé (clé USB, disque dur) dans un lieu accessible, en espérant qu’une personne curieuse le connecte à un ordinateur.

Une étude célèbre a montré que 48% des clés USB abandonnées dans des parkings étaient connectées par les personnes qui les trouvaient.

Quid Pro Quo

“Je vous donne quelque chose, vous me donnez quelque chose.”

L’attaquant propose un service (aide informatique gratuite, abonnement, cadeau) en échange d’informations d’accès.

Tailgating / Piggybacking

Accès physique non autorisé en suivant une personne autorisée dans une zone sécurisée. L’attaquant profite d’une porte ouverte ou de la politesse naturelle des employés.

Business Email Compromise (BEC)

Une forme sophistiquée d’ingénierie sociale ciblant les entreprises :

  • Fraude au président : l’attaquant se fait passer pour un dirigeant et demande un virement urgent
  • Fraude au fournisseur : modification des coordonnées bancaires d’un fournisseur
  • Fraude à la facturation : envoi de fausses factures

Le BEC représente des milliards de dollars de pertes chaque année dans le monde.

Exemples réels d’attaques par ingénierie sociale

L’attaque de Twitter (2020)

Des attaquants ont appelé des employés de Twitter en se faisant passer pour le support IT interne. Via ce prétexte, ils ont obtenu les accès aux outils internes et ont compromis les comptes de personnalités comme Barack Obama et Elon Musk pour diffuser une arnaque au Bitcoin.

Leçon : même les grandes entreprises tech sont vulnérables à l’ingénierie sociale.

La fraude au président chez un sous-traitant d’Airbus (2019)

Une filiale d’Airbus au Royaume-Uni a été victime d’une fraude au président de 6 millions d’euros. Un email frauduleux imitant un dirigeant avait demandé un virement urgent pour une acquisition confidentielle.

Leçon : les procédures de validation des virements sont essentielles.

L’attaque de SolarWinds (2020) — aspect social engineering

Beyond the technical sophistication, SolarWinds also involved social engineering : compromettre la chaîne de confiance entre un éditeur de logiciels et ses clients.

Leçon : l’ingénierie sociale peut opérer à l’échelle d’une chaîne d’approvisionnement.

Comment protéger votre entreprise contre l’ingénierie sociale ?

1. La sensibilisation et la formation

C’est le premier rempart. Les collaborateurs doivent :

  • Reconnaître les signes d’une tentative d’ingénierie sociale
  • Comprendre les procédures de vérification
  • Se sentir légitimes à refuser ou à vérifier
  • Savoir à qui signaler un incident suspect

La sensibilisation doit être régulière et pratique, pas seulement théorique.

Un RSSI externalisé peut piloter un programme complet de sensibilisation adapté à votre contexte.

2. Les simulations d’attaques

La meilleure façon de tester et d’améliorer la résistance humaine est de simuler de vraies attaques :

  • Campagnes de phishing simulées
  • Tests de pretexting téléphonique
  • Exercices de tailgating physique

Ces simulations permettent de mesurer le niveau de vigilance, d’identifier les personnes à risque et d’adapter la formation.

Nos tests d’intrusion incluent des scénarios de social engineering réalistes.

3. Les procédures et contrôles organisationnels

Vérification systématique

  • Toujours vérifier l’identité d’un interlocuteur par un canal indépendant
  • Ne jamais communiquer des identifiants par email ou téléphone
  • Rappeler sur un numéro connu, pas celui fourni par l’interlocuteur

Double validation pour les actes sensibles

  • Virements au-delà d’un certain montant : validation par un second responsable
  • Changement de coordonnées bancaires : confirmation multi-canal
  • Accès à des zones ou systèmes sensibles : procédure d’identification stricte

Politique des accès physiques

  • Port du badge obligatoire
  • Zones sécurisées avec contrôle d’accès
  • Sensibilisation au tailgating

4. Les mesures techniques complémentaires

Si l’ingénierie sociale vise le facteur humain, les mesures techniques peuvent limiter les dégâts :

  • MFA : même si un attaquant obtient un mot de passe, il ne peut pas se connecter sans le second facteur
  • Filtrage email : réduction du volume de phishing qui atteint les collaborateurs
  • Zero Trust : les accès sont vérifiés en continu, pas seulement à la connexion
  • Segmentation réseau : limite les mouvements latéraux après une compromission

Un SOC managé peut détecter les comportements suspects liés à une compromission post-ingénierie sociale.

5. La culture de sécurité

Au-delà des formations ponctuelles, l’enjeu est de développer une véritable culture de sécurité où chaque collaborateur :

  • Se sent responsable de la sécurité collective
  • N’hésite pas à poser des questions ou à dire non
  • Signale systématiquement les incidents suspects
  • Comprend pourquoi les règles existent

L’ingénierie sociale dans les tests d’intrusion

Les pentesteurs intègrent régulièrement des scénarios d’ingénierie sociale dans leurs missions :

  • Envoi de phishing simulé pour mesurer le taux de clics
  • Appels de pretexting pour tenter d’obtenir des informations
  • Tests physiques (tailgating, récupération de documents)

Ces tests permettent d’évaluer concrètement la résistance humaine et d’identifier les axes d’amélioration.

Conclusion

L’ingénierie sociale restera toujours une menace majeure, car elle exploite des caractéristiques fondamentales de la psychologie humaine.

La clé n’est pas de rendre les collaborateurs méfiants au point de paralyser le travail, mais de développer un réflexe de vérification proportionné aux enjeux.

Un collaborateur bien formé qui sait reconnaître et signaler une tentative d’ingénierie sociale est votre meilleure défense — bien plus efficace qu’un firewall.