Comment contrer le spear phishing et la fraude au président

L’ingénierie sociale reste un vecteur d’accès initial dominant parce qu’elle contourne le contrôle le plus coûteux à industrialiser : le jugement humain sous pression. Le spear phishing ciblé, la fraude au président, le vishing et la fatigue MFA (authentification multifacteur) ne cassent pas nécessairement une protection, ils convainquent quelqu’un de la franchir.

→ Lire l’explication complète de la marmotte

Spear phishing et fraude au président : le compromis de confiance

Le spear phishing est un hameçonnage ciblé : le message exploite des informations sur le métier, les relations ou les outils de la cible. La fraude au président, aussi appelée BEC (Business Email Compromise), vise une action financière ou administrative en usurpant un dirigeant, un fournisseur ou un interlocuteur habituel. L’attaquant ne cherche pas toujours un mot de passe. Obtenir un changement de coordonnées bancaires, l’ajout d’un bénéficiaire ou l’export d’une facture suffit souvent.

Le compromis central est brutal : accélérer les décisions opérationnelles réduit les frictions, mais ouvre une voie directe à l’usurpation. Ajouter des validations ralentit les virements et les changements d’identité, mais évite qu’une signature mail devienne un ordre de paiement. La recommandation est nette : pour les opérations irréversibles ou coûteuses, accepter une friction hors canal. Aucun filtrage de messagerie ne remplace cette règle.

Le BEC fonctionne particulièrement bien contre les organisations qui confondent identité visuelle et identité cryptographique. Une adresse ressemblante, un domaine internationalisé ou une boîte fournisseur compromise passent très bien dans une conversation existante. Le fil de discussion rassure, l’urgence désarme, puis une demande inhabituelle arrive avec la ponctuation habituelle. La messagerie moderne a inventé beaucoup de boutons. Elle n’a pas inventé le discernement sous stress.

Les mécanismes SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting and Conformance) réduisent l’usurpation directe du domaine expéditeur. Ils ne protègent ni un domaine ressemblant, ni une boîte légitime compromise, ni une demande envoyée depuis un partenaire. Une politique DMARC reject est une base nécessaire pour les domaines contrôlés, pas une preuve que le contenu reçu mérite confiance.

La surface d’attaque inclut les annuaires publics, les publications professionnelles, les signatures de courriel, les factures, les appels d’offres et les calendriers exposés. Plus les rôles, outils et circuits de validation sont visibles, plus un message ciblé paraît naturel. Réduire cette exposition aide, mais ne doit pas devenir une chasse absurde à toute information publique. Le vrai contrôle se place sur l’action demandée, pas sur la vraisemblance esthétique du message.

Pour approfondir les propriétés réellement couvertes par les contrôles d’identité, consulter l’architecture cyber et les principes de gestion des identités.

Vishing et fatigue MFA : attaquer le moment de validation

Le vishing, ou hameçonnage vocal, déplace l’attaque vers le téléphone ou la visioconférence. L’appelant se présente comme le support, la sécurité, un opérateur ou un responsable hiérarchique. Une information publique, un nom interne et un incident plausible suffisent à installer une autorité temporaire. L’objectif est généralement de faire communiquer un code à usage unique, approuver une connexion ou installer un outil de prise en main distante.

La fatigue MFA exploite un autre défaut : une notification poussée valide une demande, mais n’explique pas toujours ce qui est validé. Après une compromission de mot de passe, l’attaquant déclenche une rafale de demandes jusqu’à obtenir une approbation par erreur, lassitude ou pression téléphonique. Une authentification qui se résume à appuyer sur « accepter » n’est pas une vérification d’identité, c’est un bouton de consentement décoratif.

La contre-mesure prioritaire est l’authentification résistante au phishing, fondée sur FIDO2 (Fast Identity Online 2) ou sur une carte à puce avec certificat. Ces mécanismes lient la preuve d’authentification au site légitime : une fausse page ne peut pas réutiliser la preuve pour le vrai service. Quand cette migration n’est pas possible, activer la correspondance de numéro, limiter les notifications à une demande active et bloquer les approbations après plusieurs refus.

La correspondance de numéro réduit les approbations accidentelles, mais ne résiste pas à un vishing convaincant : un appelant peut dicter le numéro affiché. Elle constitue donc une mesure transitoire, pas un objectif d’architecture. Les codes reçus par SMS (Short Message Service) et les appels vocaux sont encore plus faibles, car ils ajoutent les risques de détournement de numéro et de transfert d’appel.

Les périodes de forte charge, les fins de journée et les incidents médiatisés sont des fenêtres prévisibles. Un attaquant n’a pas besoin de deviner une faiblesse logicielle si une procédure d’urgence autorise un contournement oral sans trace. Toute exception d’authentification doit produire un ticket, une approbation nominative et une expiration courte. L’urgence est un contexte de risque, pas une autorisation permanente de sauter les contrôles.

Vérification hors canal et procédures de décision

Une vérification hors canal utilise un moyen de communication déjà connu et indépendant de la demande reçue. Pour un virement, un changement de coordonnées bancaires, une réinitialisation de compte privilégié ou l’enrôlement d’un nouveau facteur MFA, rappeler un numéro issu de l’annuaire interne ou du référentiel fournisseur. Ne jamais rappeler le numéro fourni dans le message litigieux. Cette distinction paraît triviale jusqu’au jour où elle finance le compte de quelqu’un d’autre.

Le contrôle doit être lié à l’objet exact de la demande. Confirmer qu’un fournisseur attend un paiement ne confirme pas ses nouvelles coordonnées bancaires. Confirmer qu’un dirigeant voyage ne confirme pas qu’il demande un achat de cartes cadeaux. La validation doit répéter le montant, le bénéficiaire, la devise, les coordonnées et la raison. Une approbation vague est une porte ouverte avec une formule de politesse.

Les prérequis de plateforme sont concrets :

un annuaire de contacts administré, avec numéros validés et propriétaires désignés ;
un processus de gestion des fournisseurs séparant la création du tiers et la modification bancaire ;
des comptes d’administration distincts des comptes bureautiques ;
un fournisseur d’identité capable d’imposer FIDO2, de journaliser les défis MFA et de révoquer les sessions ;
une journalisation centralisée des changements de bénéficiaires, délégations, règles de transfert et enrôlements MFA ;
une procédure d’incident qui permet de bloquer un compte, invalider ses sessions et retirer ses facteurs d’authentification.

La révocation d’un facteur MFA ne suffit pas toujours : les jetons de session déjà émis peuvent survivre jusqu’à leur expiration ou leur invalidation explicite. Une réponse à incident doit donc révoquer les sessions, réinitialiser les facteurs compromis, examiner les règles de messagerie et rechercher les consentements applicatifs ajoutés. Réinitialiser le mot de passe seul est le grand classique : beaucoup de mouvement, puis le même attaquant revient par la porte déjà ouverte.

Les contrôles de messagerie doivent également surveiller les règles de redirection externe, les délégations inhabituelles et les connexions depuis de nouveaux appareils. Une boîte compromise sert à observer les circuits de paiement avant de modifier une demande au moment où elle paraît normale. Pour la vision d’ensemble des vecteurs, voir la page menaces.

Simulation régulière et retour immédiat

La sensibilisation annuelle à base de diaporama et de faux courriel unique mesure surtout la capacité à mémoriser une règle le jour du test. Elle échoue à modifier un réflexe acquis sous charge. Un taux de clic isolé n’est pas une mesure de résilience, seulement une photo floue d’un comportement variable.

Une simulation efficace est régulière, ciblée par rôle et suivie d’un retour immédiat. Le retour doit expliquer le signal observé et la décision attendue : domaine ressemblant, demande hors procédure, lien vers une authentification ou modification bancaire. Punir les personnes qui signalent une simulation détruit le canal de remontée. C’est une stratégie étonnamment populaire pour transformer une alerte précoce en silence poli.

Les scénarios doivent couvrir les opérations réellement exposées : finance, support informatique, ressources humaines, achats et administration des identités. Une simulation sur une fausse livraison ne prépare pas à un appel qui exige l’approbation d’une connexion MFA au nom du support. La fréquence dépend du niveau d’exposition, mais le retour immédiat et la répétition comptent davantage que la sophistication théâtrale.

Mesurer au minimum quatre indicateurs : taux de signalement, délai de signalement, part des demandes sensibles vérifiées hors canal et temps de révocation après alerte. Le taux de clic seul pousse à cacher les erreurs plutôt qu’à signaler les messages suspects. Or une attaque signalée rapidement reste souvent un incident évitable.

Exemple de contrôle DMARC reproductible

La vérification d’un enregistrement DMARC ne valide pas le contenu d’un message, mais elle permet de vérifier que le domaine émetteur publie une politique exploitable. Cette vérification doit entrer dans l’inventaire des domaines et dans la supervision DNS (Domain Name System).

# Interroger l'enregistrement DMARC du domaine contrôlé.
# Remplacer example.org par le domaine à vérifier.
dig +short TXT _dmarc.example.org

# Résultat attendu : une politique explicite, par exemple :
# "v=DMARC1; p=reject; rua=mailto:dmarc-reports@example.org"
#
# p=none ne bloque rien ; p=quarantine dépend du comportement du destinataire.
# p=reject est le niveau à viser après analyse des rapports d'alignement.

Avant de passer à p=reject, inventorier les services qui envoient réellement au nom du domaine : plateforme de support, outil marketing, système de facturation, application métier et relais applicatifs. Un déploiement sans inventaire bloque les flux légitimes. Un déploiement qui reste indéfiniment à p=none produit des rapports, donc de la lecture pour les longues soirées d’hiver, mais aucune protection active.

🐝 Ce qui arrive si on s’en passe

Sans ces contrôles, la porte reste ouverte : une demande usurpée devient un ordre exécuté, et la détection n’intervient qu’au rapprochement bancaire ou à la réclamation du vrai fournisseur, quand le virement est déjà irrévocable. Faute de journalisation des enrôlements de facteurs, des délégations et des règles de redirection, la date d’entrée et le périmètre touché restent indéterminables : impossible de dire quelles conversations ont été lues avant la demande frauduleuse. Sans preuve d’authentification liée au site légitime, une session volée survit à la remise à zéro du mot de passe. Sans canal de signalement protégé ni mesure du délai d’alerte, les messages suspects remontent après la fenêtre utile, et la reprise se limite à constater les changements plutôt qu’à les annuler.

🦫 Explication de la marmotte 🍫

L’ingénierie sociale consiste à obtenir une action d’une personne en utilisant la confiance, la peur ou l’urgence. Un message ciblé peut sembler venir d’un dirigeant, d’un fournisseur ou du service informatique. Il demande souvent de se connecter, de transmettre un code, de modifier un compte bancaire ou de payer rapidement. La fraude au président vise surtout les décisions financières. L’appel téléphonique frauduleux cherche à rendre la demande plus crédible en parlant directement à la personne.

L’attaquant commence par recueillir des informations publiques ou par prendre le contrôle d’une boîte de messagerie. Il utilise ensuite ces informations pour écrire ou appeler avec des détails qui paraissent normaux. Si la cible donne son mot de passe, valide une demande de connexion ou suit une instruction financière, l’attaquant obtient un accès ou de l’argent.

Les protections techniques filtrent une partie des faux messages et empêchent certaines usurpations de nom de domaine. Elles échouent si le vrai compte d’un partenaire a été compromis, ou si une personne accepte une demande sous pression. Il faut donc confirmer toute action sensible par un autre moyen déjà connu, comme rappeler un numéro enregistré dans l’annuaire officiel.

La formation fonctionne mieux quand elle revient régulièrement et explique immédiatement l’erreur observée. En cas de doute, signaler le message, bloquer le compte concerné, fermer les connexions actives et vérifier les changements réalisés.

Pages voisines

La citent

Comment contrer le spear phishing et la fraude au président

Elle cite

Comment contrer le spear phishing et la fraude au président

Comment contrer le spear phishing et la fraude au président

Spear phishing et fraude au président : le compromis de confiance

Vishing et fatigue MFA : attaquer le moment de validation

Vérification hors canal et procédures de décision

Simulation régulière et retour immédiat

Exemple de contrôle DMARC reproductible

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines