Phishing et ingénierie sociale : techniques, détection et protection en entreprise

Le phishing, ou hameçonnage, est une technique d’attaque qui consiste à usurper l’identité d’un tiers de confiance pour amener une victime à divulguer des informations, à exécuter une action ou à autoriser une transaction. Il reste le vecteur d’intrusion initiale le plus fréquent en entreprise, mais sa forme a changé : les campagnes de masse ont cédé la place à des attaques ciblées, préparées, capables de contourner l’authentification multifacteur. Cette page réunit les techniques actuelles, les mécanismes de défense et la conduite à tenir après un clic, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce que le phishing ?

Définition. Le phishing est une attaque d’ingénierie sociale dans laquelle un attaquant se fait passer pour une entité légitime afin d’obtenir d’une victime la divulgation d’informations sensibles, l’exécution d’un programme ou la validation d’une opération frauduleuse. Il constitue la porte d’entrée d’une majorité d’intrusions en environnement professionnel.

Phishing et ingénierie sociale : l’inclusion

L’ingénierie sociale désigne l’ensemble des techniques de manipulation exploitant les biais humains : autorité, urgence, réciprocité, peur de la sanction. Le phishing en est la déclinaison par message écrit. Le prétexting, l’appel téléphonique frauduleux ou l’intrusion physique en relèvent également.

La distinction compte pour la défense. Filtrer les courriels traite un canal. Réduire l’exposition à l’ingénierie sociale suppose de traiter les processus : qui peut valider un virement, qui peut réinitialiser un mot de passe, sur quelle preuve d’identité.

Les techniques actuelles

Le point qui change tout : le contournement du MFA

L’authentification multifacteur a longtemps été présentée comme la réponse au phishing. Elle reste indispensable, mais deux techniques la neutralisent.

Le relais adverse consiste à interposer un portail qui reproduit fidèlement la page d’authentification légitime. La victime saisit ses identifiants et valide son second facteur, l’attaquant relaie en temps réel et récupère le jeton de session déjà authentifié. Aucun mot de passe n’est nécessaire ensuite.

La fatigue consiste à déclencher des notifications de validation en rafale jusqu’à ce que l’utilisateur accepte pour faire cesser les sollicitations.

Conséquence opérationnelle : tous les facteurs ne se valent pas. Les codes à usage unique et les notifications simples sont relayables. Les méthodes résistantes au phishing, clés FIDO2 et passkeys, lient l’authentification au domaine légitime et rendent le relais inopérant. C’est l’arbitrage à porter en priorité sur les comptes à privilèges et les populations exposées. Voir notre section gestion des identités et des accès.

La fraude au virement, angle mort des filtres

Le BEC ne contient ni pièce jointe, ni lien, ni charge malveillante. C’est un message écrit, souvent envoyé depuis une boîte réellement compromise ou depuis un domaine ressemblant. Aucune passerelle technique ne le détecte de façon fiable, parce qu’il n’y a rien de technique à détecter.

La défense est procédurale : validation par un canal distinct pour tout changement de coordonnées bancaires, double signature au-delà d’un seuil, interdiction de valider une opération sur la seule base d’un message. C’est un sujet de direction financière autant que de RSSI.

Ce que le phishing déclenche

Le message n’est presque jamais l’objectif. Il ouvre la chaîne.

• Vol d’identifiants, revendus ou exploités directement pour se connecter aux services exposés.
• Dépôt d’un dérobeur d’identifiants, qui alimente le marché des accès initiaux. Voir notre section logiciels malveillants.
• Accès initial revendu à un opérateur de rançongiciel, scénario documenté dans notre section ransomware.
• Fraude financière directe dans le cas du BEC.
• Compromission d’un compte à privilèges, avec accès à l’annuaire.

Comment réduire l’exposition

Les défenses techniques

• Authentification du domaine expéditeur. SPF, DKIM et une politique DMARC en rejet. Une politique laissée en surveillance ne bloque rien : c’est le réglage le plus fréquemment inachevé.
• Facteurs résistants au phishing sur les comptes à privilèges et les populations exposées.
• Accès conditionnel fondé sur la conformité de l’équipement, qui rend un jeton volé inutilisable depuis une machine inconnue.
• Analyse des liens à l’ouverture plutôt qu’à la réception, pour traiter les liens armés après livraison.
• Détection des domaines ressemblants enregistrés récemment.
• Signalement en un clic intégré au client de messagerie, avec traitement effectif par le SOC.
• Corrélation messagerie, identité et endpoint au niveau du XDR : un message ouvert suivi d’une authentification depuis une adresse inhabituelle constitue le signal exploitable.

Les défenses procédurales

Validation hors bande des changements de coordonnées bancaires, procédure de réinitialisation d’accès qui ne repose pas sur des informations devinables, seuils de double validation. Ces mesures traitent ce que les filtres ne voient pas.

La sensibilisation, et ses limites

Les campagnes de simulation restent utiles à condition d’en changer l’usage. Mesurer un taux de clic pour désigner des coupables produit de la dissimulation : les collaborateurs cessent de signaler. L’indicateur pertinent n’est pas le taux de clic, c’est le taux de signalement et le délai médian de signalement. Une organisation où un message suspect est remonté en trois minutes est mieux protégée qu’une organisation où personne ne clique mais où personne ne signale.

Que faire après un clic

1. Réinitialiser les secrets du compte concerné et révoquer les sessions actives, y compris les jetons d’application. Changer le mot de passe sans révoquer les sessions laisse l’accès ouvert.

2. Vérifier les règles de boîte créées récemment : le transfert automatique et le classement en dossier masqué sont les premières actions d’un attaquant sur une boîte compromise.

3. Rechercher les inscriptions de nouveaux facteurs d’authentification sur le compte.

4. Rechercher les messages similaires dans l’ensemble du parc et les mettre en quarantaine.

5. Examiner l’activité endpoint si une pièce jointe a été ouverte, via l’EDR.

6. Qualifier l’incident au regard des obligations de notification, notamment le délai de 72 heures auprès de la CNIL si des données personnelles sont exposées et les délais de la conformité NIS2.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.