Fiche concept 4.2.2¶

📌 4.2.2 Vulnérabilités comportementales et Ingénierie sociale¶

#VulnérabilitésComportementales #IngénierieSociale #ErreursHumaines #Vigilance #Sensibilisation #Formation #CultureCollective #MotDePasse #Phishing #Hameçonnage #MiseÀJour #Accès #Configuration #PartageExcessif #Oversharing #Périphérique #Sécurisation #Protection #Wi-Fi #ManipulationÉmotionnelle #Escroquerie #Fraude #IA #Deepfake #Données #Sécurité #FacteurHumain #Prévention #Simulation #Signaler #Vérifier #RésilienceNumérique

Résumé

Le facteur humain est à l’origine de 90% des cyberattaques : mettre l’humain au cœur de la cybersécurité permet de réduire la menace.
La lutte contre les attaques par ingénierie sociale implique le développement d’une culture collective.
Sensibilisation et formation : identifier, vérifier, se protéger, prévenir pour développer des réflexes de sécurité (mots de passe uniques et robustes, mises à jour, paramétrages, vigilance…).
Phishing et escroqueries : phishing/smishing/vishing/quishing et broutage exploitent la confiance/négligence et des techniques de manipulation émotionnelle jouent sur la curiosité, la peur, l’urgence ou le désir d’aider pour assurer leur réussite (vol de données, fraude financière, espionnage…). Escroqueries courantes : sentimentales, fraude au président, BEC, fausses convocations judiciaires, fausses annonces…
Avec l’IA générative, l’ingénierie sociale devient plus dangereuse et difficile à repérer : les attaques automatisées et amplifiées par les deepfakes sont plus crédibles.
Mesures préventives : sensibilisation et formation aux bonnes pratiques, simulations de phishing pour apprendre à reconnaître les indices et développer la vigilance, et autres actions de sensibilisation pour tous les types de publics.
Résilience numérique : combinaison de mesures techniques, comportementales et organisationnelles.

90% des cyberattaques impliquent une erreur humaine¹ : elles exploitent des vulnérabilités comportementales plutôt que techniques. C’est par négligence et souvent par méconnaissance des mécanismes informatiques et numériques que nous nous mettons en danger et que nous faisons courir des risques à notre entourage.
La cybersécurité n’est pas qu’une affaire de technologies : elle repose aussi sur la vigilance, la formation et la responsabilité collective. Nous sommes tous concernés : particuliers, entreprises et associations, administrations et collectivités, indépendants... Connaître les risques est crucial pour savoir s'en protéger.

→ Vulnérabilités comportementales, de quoi parle-t-on ? ¶

Définition : "Vulnérabilité comportementale"

Une vulnérabilité comportementale, par opposition à une vulnérabilité technique ou physique, est une faille de sécurité liée aux actions, habitudes ou décisions humaines, qui peut être exploitée par des cyberattaquants pour accéder à des informations sensibles, infecter un système ou nuire à une organisation.

De nombreuses publications (guides, panoramas de la menace ou articles, par exemple²) de l’ANSSI mettent en lumière les risques liés au facteur humain en insistant sur les dangers de l'ingénierie sociale et l'importance de la sensibilisation des utilisateurs et des bonnes pratiques individuelles à integrer chez soi comme au travail. En effet, les vulnérabilités comportementales³ sont des portes d’entrée ouvrant une voie royale aux cyberattaquants : il est pourtant souvent assez simple de se protéger en développant des réflexes et en appliquant des règles de sécurité à la portée de tous.

Le schéma ci-dessous présente les principales vulnérabilités comportementales, tous publics confondus :

Les 10 principales vulnérabilités comportementales en cybersécurité

1. Mauvaise gestion des mots de passe 2. Communication des données personnelles via liens / appels malveillants : phishing 3. Téléchargement des pièces jointes suspectes 4. Négligence des mises à jour 5. Erreurs de configuration 6. Mauvaise gestion des droits d’accès 7. Partage de nombreuses informations précises sur les réseaux sociaux 8. Aucune / mauvaise sécurisation des périphériques 9. Utilisation d' un Wi-Fi public non sécurisé 10. Sessions personnelles non verrouillées

Pour chacune de ces 10 vulnérabilités, nous verrons :

Quelques-uns des risques encourus
Quelques exemples d'impacts en cas de réussite
Les bonnes pratiques à adopter en prévention

Mauvaise gestion des mots de passe¶

Les mots de passe constituent la première ligne de défense contre les accès non autorisés. Pourtant, beaucoup d’utilisateurs privilégient la simplicité à la sécurité : mots de passe courts, prévisibles⁴ (ex : 123456, azerty, password123, admin) ou réutilisés sur plusieurs services.
Par facilité, manque de temps ou négligence, nous adoptons des pratiques à risque qui nous exposent aux attaques⁵. Comme par exemple réutiliser un même mot de passe. Si un seul de nos comptes est piraté, c'est la sécurité de tous les autres qui s'effondre (voir Partie 4 : Terminaux > Fiche Concept 4.1.2).

Quelques-uns des risques encourus Cliquez pour afficher la solution

Compromission de comptes (messagerie, VPN, applications), fuites de données (personnelles, bancaires, professionnelles), usurpation d’identité, accès non autorisés.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Accès à des données confidentielles, piratage de comptes, fraude bancaire, perte de contrôle de l’identité numérique, chantage (dont ransomware(1)), compromission en cascade, blocage ou interruption des services, élévation de privilèges(2), dégradation de l’image de l’entreprise.

🔎 Définition : Programme malveillant dont le but est d’obtenir de la victime le paiement d’une rançon.
🔎 Définition : Une élévation de privilèges (privilege escalation ) est une attaque où un pirate exploite des failles (mots de passe faibles, erreurs de configuration, etc.) pour obtenir des droits supérieurs à ceux d'un compte initialement compromis. Cela lui permet, par exemple, de passer d’utilisateur standard à administrateur. Ainsi, il peut accéder à des données sensibles, modifier des paramètres système ou installer des logiciels malveillants, souvent sans être détecté.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution⁶^,⁷

Créer des mots de passe robustes⁸(1).
1. 🔎 Définition : Pour être robuste, un mot de passe doit être complexe, afin que personne ne puisse le deviner. Il doit comporter au minimum 12 caractères mélangeant les majuscules, les minuscules, des chiffres et des caractères spéciaux. Il convient d'éviter toutes les informations qui vous concernent et qui sont facilement accessibles (sur vos réseaux sociaux par exemple) comme les dates de naissance de vos proches, les noms de vos proches, ceux de vos animaux de compagnie, etc.
Utiliser un mot de passe différent par compte.
Utiliser un gestionnaire de mots de passe⁹.
Activer l'authentification multifacteur(1) (2FA)¹⁰.
1. 🔎 Définition : L’authentification multifacteur, Multi-Factor Authentication (MFA) en anglais, est une méthode de sécurité qui demande au moins deux preuves d’identité avant d’autoriser l’accès à un compte ou à un système. En plus du couple identifiant / mot de passe, d'autres facteurs sont requis, comme un code reçu par SMS ou via une application, une clé de sécurité ou une reconnaissance biométrique. Cette méthode renforce la sécurité car elle rend beaucoup plus difficile l’accès non autorisé, même si un mot de passe est volé ou compromis. L'authentification à deux facteurs, Two-Factor Authentication (2FA) en anglais, est un cas particulier de MFA.

Un cas à relever

Mi-janvier 2026, une base de données de plus de six milliards d’identifiants a été découverte sur le dark web, issue de fuites multiples[P42_FC_F2_011_zataz]. Son analyse illustre la réutilisation massive et la faiblesse des mots de passe utilisés par plusieurs milliers d'utilisateurs. Mi-janvier 2026, une base de données de plus de six milliards d’identifiants a été découverte sur le dark web, issue de fuites multiples. Son analyse illustre la réutilisation massive et la faiblesse des mots de passe.

Source : Un fichier de 6 milliards d’identifiants refait surface, Zataz.

Divulgation de données personnelles¶

Nous sommes régulièrement sollicités par des emails, des SMS ou des appels téléphoniques qui nous invitent, par exemple, à souscrire à des offres promotionnelles exceptionnelles, à payer des frais de port pour récupérer un colis bloqué, à régler un péage avant majoration ou encore à mettre à jour notre carte vitale. Ces attaques par phishing (hameçonnage) imitent des organismes de confiance et partagent des caractéristiques communes : l'exigence d'un délai de réponse très court et la demande d'informations confidentielles (identifiants, données bancaires, coordonnées). Les cybercriminels exploitent ainsi des leviers psychologiques puissants comme la curiosité, la confiance, la peur ou le sentiment d’urgence pour inciter l’utilisateur à divulguer ses données¹².

Quelques-uns des risques encourus Cliquez pour afficher la solution

Vol d’identifiants, fraude bancaire, usurpation d’identité, compromission de comptes personnels et professionnels, installation de malwares/ransomware/spyware.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Pertes financières, piratage de comptes, vol d’identité, chantage, infection des communications réseaux, accès au système d'information (SI), fuite de données, propagation d’attaques combinées, interruption d’activité, espionnage.

Les bonnes pratiques à adopter en prévention¹³ Cliquez pour afficher la solution

Vérifier l'adresse réelle de l'expéditeur, l'URL du site et la cohérence globale du message.
Saisir soi-même l'adresse officielle d'un site dans le navigateur plutôt que de cliquer sur un lien reçu.
Appliquer la règle du "Rappel officiel" : en cas de doute ou de demande sensible, raccrocher immédiatement et rappeler l'organisme en utilisant le numéro officiel, jamais celui fourni par l'appelant.
Repérer la pression psychologique en se méfiant notamment des appels exigeant une action immédiate (caractère urgent, alarmant ou offre trop alléchante).
Ne jamais transmettre d'informations hautement sensibles (mots de passe, codes confidentiels, coordonnées bancaires).
Activer l'authentification à deux facteurs pour bloquer les pirates, même s'ils réussissent à voler les identifiants.
Refuser les installations de logiciels de prise en main à distance à la demande d'un correspondant téléphonique non sollicité.

Un cas à relever

Mi-mars 2025, une campagne de cyberespionnage a été dévoilée¹⁴. Elle avait débuté par des emails de phishing savamment personnalisés : un simple clic sur un lien (aucun téléchargement, aucune installation requise) suffisait à déclencher l’enchaînement de l’attaque en compromettant le système de la victime.

Source : Chrome sous attaque : une faille critique exploitée dans une campagne de cyber espionnage, Data Security Breach.

Téléchargement de pièces jointes suspectes¶

Les pièces jointes malveillantes (documents Office, PDF, archives…) sont souvent utilisées pour infecter un système via des emails ou messages frauduleux. Par confiance ou curiosité, l’utilisateur ouvre un fichier sans vérifier sa provenance ou son extension. Ce faisant, il peut exécuter un contenu malveillant¹⁵.

Quelques-uns des risques encourus Cliquez pour afficher la solution

Infection par malware, ransomware, spyware, attaque par macro (à l'ouverture d'un fichier sur Office), vol de données, prise de contrôle du poste.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Chiffrement(1) des fichiers personnels et des données de l'entreprise, blocage du système, perte ou fuite de données, pertes financières, utilisation de l’appareil pour des attaques en réseau, propagation du malware aux autres ordinateurs connectés, arrêt des services, compromission du SI, fuite de données.

🔎 Définition : Le chiffrement des données est une méthode qui consiste à protéger les données en les rendant illisibles à toute personne ne détenant pas la clé de déchiffrement.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution

Ne pas ouvrir de pièces jointes non sollicitées.
Vérifier l’adresse réelle de l'expéditeur et le contexte de l'envoi.
Vérifier le nom et l’extension du fichier.
Désactiver les macros inutiles.

Un cas à relever

En 2016, le ransomware Locky¹⁶ s’est propagé via des pièces jointes Word infectées, chiffrant les fichiers de milliers d’utilisateurs et d’entreprises, entraînant des pertes financières et des interruptions d’activité en masse.

Source : Bulletin d'alerte du CERT-FR - Objet: Campagne de messages électroniques non sollicités de type Locky, cert.ssi.gouv.fr.

Absence ou négligence de mises à jour¶

Les mises à jour servent souvent à corriger des failles de sécurité des systèmes et des logiciels qui ne sont identifiées qu'après leur mise sur le marché. Or, les utilisateurs sous-estiment souvent l’importance des mises à jour (perçues comme contraignantes ou inutiles). Par négligence ou manque de temps, ils les reportent laissant alors tout le temps aux attaquants d'exploiter des failles de sécurité connues (voir Partie 4 : Terminaux > Fiche Concept 4.1.3).

Quelques-uns des risques encourus Cliquez pour afficher la solution

Exploitation des vulnérabilités connues pour : une infection par malware, des accès non autorisés, une prise de contrôle à distance…

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Vol ou chiffrement des données, compromission du système, utilisation de l’appareil pour des attaques en réseau, intrusion dans le SI, blocage ou interruption des services, chômage technique d'une partie du personnel, coûts de remédiation élevés.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution

Activer les mises à jour automatiques sur tous les appareils.
Vérifier régulièrement les mises à jour disponibles.
Mettre à jour régulièrement systèmes et logiciels.
Supprimer les logiciels obsolètes.

Un cas à relever

En 2017, le ransomware WannaCry, l’une des pires cyberattaques mondiales, a ciblé les ordinateurs sous Windows en exploitant une vulnérabilité connue de ce système d'exploitation¹⁷. WannaCry a touché environ 230 000 ordinateurs à l'échelle mondiale. Microsoft avait pourtant publié un correctif de sécurité près de deux mois avant l'attaque.

Source : Ransomware WannaCry : tout ce que vous devez savoir, Kaspersky.

Mauvaise gestion des droits d’accès¶

Attribution excessive ou inadaptée des permissions aux utilisateurs, par exemple un accès administrateur (niveau d’autorisation élevé permettant de modifier, configurer ou contrôler un système informatique) accordé à tous. Par facilité ou manque de contrôle, les accès sont accordés trop largement ou non révisés. Cela augmente la surface d’attaque car l’accès excessif aux données augmente le risque d’actions non autorisées (volontaires ou non).

Quelques-uns des risques encourus Cliquez pour afficher la solution

Accès non autorisé, fuite, altération ou suppression de données, sabotage, élévation de privilèges, exposition des données¹⁸.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Exposition des données personnelles… de tout le personnel, modification ou suppression de fichiers partagés, vol ou modification de données stratégiques, sabotage des systèmes, atteinte à la confidentialité, incidents internes.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution

Appliquer le principe du moindre privilège.
Réviser régulièrement les droits d’accès.
Supprimer les accès inutilisés/obsolètes.

Erreurs de configuration¶

Les erreurs de configuration concernent un mauvais paramétrage des systèmes, logiciels ou services (ex : ports ouverts, accès publics non sécurisés). Par manque de vigilance ou de compétences, des configurations par défaut ou incorrectes sont laissées en place.

Quelques-uns des risques encourus Cliquez pour afficher la solution

Fuite de données, exposition de services, exploitation de failles, attaques par injection(1), accès non autorisés.

🔎 Définition : Une attaque par injection (injection attack) consiste à introduire des commandes ou du code malveillant dans une application afin de modifier son comportement. L'attaquant peut ainsi accéder à des données, modifier une base de données, contourner des protections ou prendre le contrôle de certaines fonctions. Les injections SQL sont parmi les exemples les plus connus de ce type d’attaque.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Vol de données, intrusion, fuite massive d’informations, compromission du système, utilisation du système comme point d’attaque, atteinte à la sécurité globale.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution

Vérifier les configurations.
Désactiver les services inutiles.
Réaliser des audits réguliers.

Partage excessif et imprudent d’informations¶

Le partage d’informations personnelles et professionnelles sur les réseaux sociaux permet de construire des attaques ciblées crédibles. Par manque de prudence ou volonté de partager, l’utilisateur divulgue des informations exploitables directement ou par recoupement (possiblement réalisé de façon automatisée).

Quelques-uns des risques encourus Cliquez pour afficher la solution

Usurpation d’identité, accès non autorisés, exposition d’informations sensibles, préparation d’attaques ciblées.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Harcèlement, chantage, vol d’identité, escroqueries personnalisées, piratage de comptes, attaques ciblées (spear phishing contre un dirigeant, un employé), atteinte à l’image de l’entreprise.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution

Limiter les informations publiées.
Paramétrer la confidentialité.
Sensibiliser aux risques du partage excessif (oversharing).

Sécurisation insuffisante ou inexistante des périphériques¶

Les périphériques (clés USB¹⁹, imprimantes, souris, claviers, disques externes…) peuvent constituer des vecteurs d’attaque ou de fuite de données s’ils sont utilisés sans contrôle de sécurité (voir Partie 4 : Terminaux > Fiche Concept 4.1.1). Par négligence ou méconnaissance, l’utilisateur branche ou utilise des périphériques non vérifiés ou non sécurisés.

Quelques-uns des risques encourus Cliquez pour afficher la solution

Infection par malware, vol ou fuite de données, introduction d’un dispositif malveillant.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Perte ou compromission de données, infection du SI, exfiltration d’informations, incidents de sécurité.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution

Ne pas utiliser un périphérique de stockage inconnu²⁰.
Chiffrer les périphériques de stockage, les protéger par mot de passe et désactiver la fonctionnalité "autorun" si c’est possible²¹.
Mettre à jour les périphériques lorsqu’un correctif est disponible.

Utilisation d’un Wi-Fi non sécurisé¶

Par commodité ou méconnaissance, l’utilisateur se connecte à des réseaux non fiables sans vérifier leur sécurité. Pourtant, les réseaux Wi-Fi publics ou mal sécurisés (absence de mot de passe ou de chiffrement) permettent à des attaquants d’intercepter les communications ou d’infiltrer les appareils connectés²² (voir Partie 4 : Terminaux > Fiche Concept 4.1.4).

Quelques-uns des risques encourus Cliquez pour afficher la solution

Interception des données (identifiants, emails), attaques de type Man-in-the-middle(1), redirection vers des sites frauduleux, infection du terminal.

🔎 Définition : Une attaque de type Man-in-the-middle - MitM ("Homme du milieu" en français), survient quand un attaquant s'insère entre deux parties communiquant entre elles, comme un utilisateur et un site web ou deux interlocuteurs échangeant des emails. L'attaquant agit comme un relais invisible, interceptant et relayant les messages à l'insu de l’expéditeur et du destinataire. L’objectif est de capter, lire ou même modifier les données transitant entre les deux parties pour voler des identifiants, des données sensibles ou des secrets professionnels.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Vol d’identifiants, compromission de comptes, atteinte à la vie privée, fuite de données, compromission des communications, accès non autorisé au SI.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution

Sécuriser son réseau Wi-Fi domestique²³.
Éviter les réseaux Wi-Fi publics non sécurisés si c’est possible²⁴^,²⁵, a minima vérifier le réseau avant de se connecter (nom, légitimité) et privilégier les connexions sécurisées (HTTPS).
Utiliser un VPN fiable²⁶.
Désactiver la connexion automatique aux réseaux Wi-Fi.

Ne pas verrouiller ses sessions¶

Une session laissée ouverte permet à un tiers d’accéder directement à un système ou à des données sans authentification. Par oubli ou négligence, l’utilisateur ne verrouille pas son poste ou ne déconnecte pas ses comptes après utilisation, mais ce comportement acceptable à domicile, est particulièrement risqué sur des appareils partagés ou dans des espaces publics, voire même en entreprise.

Quelques-uns des risques encourus Cliquez pour afficher la solution

Accès non autorisé à des contenus confidentiels, actions malveillantes, vol d’informations.

Quelques exemples d'impacts en cas de réussite Cliquez pour afficher la solution

Vol/modification/suppression de données, accès aux comptes et au réseau, actions frauduleuses internes, compromission du SI.

Les bonnes pratiques à adopter en prévention Cliquez pour afficher la solution

Verrouiller son poste systématiquement.
Activer le verrouillage automatique.
Se déconnecter de ses comptes (comme la messagerie électrronique ou des services) après utilisation.

La liste ci-dessus est loin d’être exhaustive, mais dans tous les cas, les vulnérabilités comportementales doivent être prises en compte dans toute démarche de cybersécurité.

Nota bene : ces vulnérabilités augmentent considérablement la surface d'attaque. La négligence, l'excès de confiance ou le manque de connaissances font souvent le jeu des attaquants, en particulier dans deux contextes :

L’utilisation d’appareils personnels pour des tâches professionnelles (BYOD – Bring Your Own Device) expose les entreprises à des risques accrus²⁷, notamment parce que l'usage de ces terminaux échappe en partie aux règles de sécurité internes.
La mobilité fait également peser des risques sur la sécurité des données : le vol ou la perte d’équipements, mais aussi les menaces liées aux lieux publics (Wi-Fi ouverts, connexions Bluetooth, ports de recharge USB piégés, interactions suspectes, etc.) sont autant de facteurs de risques²⁸^,²⁹ (voir Partie 4 : Terminaux > Fiche Concept 4.1.1).

La sensibilisation aux risques et la formation des utilisateurs constituent des mesures essentielles pour développer une culture cyber partagée. Elles permettent d'ancrer les bonnes pratiques et les réflexes dont dépendent la sécurité individuelleainsi que celle du collectif au sein de l’entreprise³⁰.

Depuis 2020, la plateforme Cybermalveillance.gouv.fr met à disposition un kit pédagogique destiné à sensibiliser tous les utilisateurs aux enjeux de la sécurité numérique, à diffuser les bonnes pratiques dans les usages personnels et à favoriser l’adoption de comportements plus sûrs dans le cadre professionnel³¹ (voir Partie 4 : Terminaux > Fiche Concept 4.2.4).

→ Et l’ingénierie sociale, c'est quoi ? ¶

L’ingénierie sociale désigne une action volontaire et malveillante fondée sur la tromperie et la mise en confiance. Elle prend des formes variées, principalement axées sur une communication trompeuse (voir Partie 1 : Enjeux > Fiche Concept 1.1.4).

Ces attaques reposent toutes sur un levier psychologique : la manipulation émotionnelle, la pression ou l'urgence. Les attaquants adaptent leur scénario au contexte de la victime (personnel ou professionnel) pour paraître crédibles. Leur objectif est d'amener une personne à divulguer des informations confidentielles, à accorder un accès ou à réaliser une action qui compromet la sécurité.

Voici les principales techniques utilisées :

Le phishing (hameçonnage) sous toutes ses formes : qu'il s'agisse d'emails ou de faux sites web (phishing), de SMS (smishing), d'appels téléphoniques (vishing) ou de QR codes frauduleux (quishing). Ce vecteur d'attaque particulièrement répandu menace aussi bien les particuliers que les organisations³²^,³³^,³⁴. Même des utilisateurs avertis peuvent être piégés par des messages très ciblés et particulièrement bien conçus.

Vous retrouverez dans ce schéma les éléments principaux liés au phishing :

Comprendre le hameçonnage en 4 points — Comprendre le phishing en 4 points

- Point 1 - Vulnérabilités comportementales : manque de vigilance, curiosité ou urgence ressentie, confiance excessive, absence de vérification technique. - Point 2 - Risques : vol d’identifiants, vol de données personnelles, escroquerie financière, installation de malware / ransomware. - Point 3 - Impacts : accès non autorisés aux comptes, violations de données personnelles, pertes financières, infections par malware/déploiements de ransomware. - Point 4 - Prévention : vérifier l’expéditeur (adresse email, grammaire suspecte), ne jamais cliquer directement sur un lien suspect, aller sur le site officiel en tapant l’adresse, activer l’authentification à deux facteurs (2FA), se méfier des messages urgents ou alarmants, mettre à jour régulièrement logiciels et antivirus.

Dans la vie personnelle¶

Le broutage : des escrocs opérant souvent sur les réseaux sociaux et les plateformes de seconde main (comme LeBonCoin ou Vinted³⁵) cherchent à soutirer de l’argent ou des données à leurs victimes. Ils utilisent pour cela des arnaques sentimentales, du chantage à la webcam, de fausses annonces immobilières ou de biens à vendre, ainsi que de fausses alertes bancaires ou convocations judiciaires³⁶^, ³⁷.

Dans le cadre professionnel¶

En entreprise, les attaques d’ingénierie sociale visent généralement à obtenir des accès au réseau, à dérober des données ou à détourner des flux financiers.

Phishing ciblé (spear phishing) : messages personnalisés visant un collaborateur précis.
BEC (Business Email Compromise ou compromission de messagerie professionnelle) : piratage ou usurpation de l’adresse email d’un interlocuteur légitime (dirigeant, fournisseur, partenaire) pour envoyer un message crédible demandant une action urgente (virement, changement d’IBAN, envoi de documents confidentiels)³⁸^,³⁹. Parfaitement rédigé et conforme aux habitudes de l’entreprise, le message semble authentique. La fraude au Président est une variante du BEC où l'escroc usurpe spécifiquement l'identité du dirigeant pour exiger un virement financier immédiat⁴⁰.
Le tailgating (talonnage) : entrée physique dans des locaux sécurisés en suivant de près un employé autorisé. L'attaquant mise sur la politesse ou la distraction humaine (par exemple en feignant d’avoir les bras chargés) pour contourner les contrôles d'accès et s'introduire dans des zones restreintes (bureaux, salle des serveurs, etc.)⁴¹.
La clé USB piégée (USB drop): dépôt volontaire de clés USB infectées dans des espaces stratégiques ou communs de l’entreprise (parking, hall, cafétéria), en comptant sur la curiosité des employés pour qu'ils les branchent sur leur ordinateur professionnel.

→ Et l'IA, ça change quelque chose ?¶

Les attaquants étudient leurs cibles, qu’il s’agisse d’entreprises ou d’individus, pour créer des attaques très personnalisées et efficaces. Ils ont toujours trouvé la plupart des informations en ligne et en toute légalité (via l'OSINT(1)) mais désormais l’IA augmente considérablement le succès des attaques d’ingénierie sociale en automatisant, personnalisant et rendant plus crédibles les techniques de manipulation. Grâce aux IA génératives et aux moteurs de recherche, un cybercriminel peut très rapidement recouper des informations publiques pour générer des messages convaincants (et sans fautes de grammaire ou d'orthographe), adaptés au contexte, et produire des scénarios crédibles⁴²^,⁴³.

🔎 Définition : Le terme Open Source INTelligence, ou "renseignement en sources ouvertes" (ROSO) en français, désigne l’exploitation de sources d’information accessibles à tout un chacun (journaux, sites web, conférences…) à des fins de renseignement. L’essentiel de ces informations existe désormais sous une forme numérique, et les systèmes informatiques permettent leur découverte et leur traitement de manière automatique et massive. Dans le domaine de la cybersécurité, l’OSINT permet notamment aux attaquants de mener des reconnaissances efficaces contre leurs victimes, les informations collectées contribuant par la suite à rendre plus crédible l’escroquerie.

Les cyberattaquants utilisent l'IA générative pour les performances suivantes :

Capacité à déduire des informations¶

Les IA peuvent analyser des traces numériques dispersées (réseaux sociaux, sites web, articles, communiqués de presse, médias, offres d’emploi…) pour effectuer des recoupements et faire émerger des informations utiles : habitudes de l’entreprise, relations hiérarchiques, outils utilisés, noms des prestataires…

Ces technologies – conçues à l’origine pour résumer, reformuler ou générer du contenu – sont également capables de déduire des informations implicites, à partir de simples indices disponibles en ligne. Une étude, relayée par Sciences et Avenir (n°932, octobre 2024), montre que certaines IA peuvent deviner l’identité, le genre ou le lieu de résidence d’un individu à partir de publications pourtant anonymes⁴⁴.

Face à ces risques, la CNIL a publié un plan d’action visant à encadrer le développement et le déploiement de ces systèmes, afin de garantir le respect des droits des personnes et de la vie privée⁴⁵.

Capacité à générer des interactions, des scénarios… et des deepfakes¶

Les IA sont capables de créer des deepfakes, c’est-à-dire des contenus audio ou vidéo hyperréalistes imitant la voix ou l’apparence d’une personne réelle. En 2021, par exemple, des cybercriminels ont utilisé un deepfake vocal imitant un dirigeant d’entreprise pour convaincre un employé d’autoriser un virement frauduleux de 35 millions de dollars⁴⁶.

Ce type d’attaque est d’autant plus redoutable que l’IA permet de combiner des informations contextuelles réelles avec des contenus fabriqués⁴⁷.

Avec l’essor de l’IA générative, il devient difficile de repérer à coup sûr des menaces toujours plus sophistiquées⁴⁸ et les données implicites, recoupées ou déduites sont désormais un levier central des cyberattaques. Associées à la puissance des deepfakes, elles contribuent à rendre les attaques plus rapides, plus précises et plus crédibles.

Un cas à relever : Interview de Stephanie Carruthers, Chief People Hacker for IBM X-Force Red

"Avec l’IA générative, l’ingénierie sociale devient plus dangereuse et plus difficile à repérer."
Voici les principaux point soulignés par Mme Carruthers⁴⁹ :

Risques accrus
- Messages plus crédibles : l’IA supprime les fautes de grammaire, d'orthographe et les tournures maladroites, rendant les tentatives de phishing quasi indétectables.
- Gain de temps et d’efficacité : un email de phishing peut être généré en 5 minutes par l’IA, contre 16 heures pour une équipe humaine (recherche de cibles incluse).
- Deepfakes : l’IA en créant de fausses images, audios et vidéos, renforce la crédibilité des fraudes.
Signaux d’alerte persistants
- Émotions fortes : messages suscitant curiosité, peur, urgence ou désir d’aider.
- Intrigues recyclées : scénarios répétés (faux fournisseur informatique, faux agent des forces de l’ordre, problème de livraison, offre exceptionnelle).
Comment se protéger ?
- Repérer les signaux d’alerte : former les employés à identifier les émotions manipulatoires et les scénarios classiques.
- Limiter l’exposition en ligne : moins d’informations publiques = moins de données pour personnaliser les attaques, même avec l’IA.
- Ne pas sous-estimer les informations non confidentielles : des détails anodins sont exploités pour rendre les attaques plus convaincantes.
Puissance de l’IA : un outil à double tranchant
- Atout pour les attaquants : capacité à analyser et exploiter de grands volumes de données pour des attaques ultra-personnalisées.
- Limite : sans données sur la cible, même l’IA ne peut pas concevoir d’attaques efficaces.

Source : L’IA générative rend l’ingénierie sociale plus dangereuse et plus difficile à détecter, IBM, Matthew Kosinski et Stephanie Carruthers.

→ Que faire face aux menaces ?¶

Pour se protéger des risques liés à l’ingénierie sociale et aux usages malveillants de l’IA, la vigilance de chacun est essentielle.

Les outils de sécurité informatiques (comme antivirus, pare-feux ou filtres) ne suffisent pas à eux seuls.
La lutte doit nécessairement s’appuyer sur le facteur humain et c’est pourquoi il est indispensable d’apprendre à identifier les tentatives de manipulation.

Des mesures préventives peuvent et doivent être mises en place :

Former tous les utilisateurs à repérer les signes de phishing et à vérifier les demandes inhabituelles (par exemple en appelant directement la personne ou l’organisme demandeur pour confirmation).
Faire des simulations d’attaques pour tester la vigilance. L’Opération Cactus (Phishing Cactus)⁵⁰^,⁵¹, par exemple, est une campagne de sensibilisation au phishing dans les ENT. Testée en 2024 et renouvelée en 2025 et 2026, elle s’adresse aux élèves de 11-18 ans – cible particulièrement visée par la menace –, à leurs parents, ainsi qu’aux équipes éducatives. L’initiative est portée par plusieurs acteurs majeurs (ministères de l’Éducation nationale et de la Justice, COMCYBER, Cybermalveillance.gouv.fr, CNIL, France Télévisions, UNAF, association e-Enfance…) (voir Partie 1 : Enjeux > Fiche Concept 1.2.4)
Mettre en place des vérifications systématiques : authentification multifacteur, double validation pour les virements, contrôle des IBAN par un autre canal, appel direct à l’émetteur.
Signaler les incidents : particuliers, entreprises et collectivités doivent adopter le réflexe cyber avec le site 17Cyber.gouv.fr, portail officiel qui permet de diagnostiquer rapidement un problème de cybersécurité, de recevoir des recommandations et assistance personnalisée⁵².
Signaler les vulnérabilités chez autrui. En cas de découverte d'une fuite de données, une faille, une vulnérabilité ou un incident affectant un système, un logiciel ou un matériel, il est important de le déclarer au CERT-FR⁵³.

→ Qu'est-ce qu'on peut conclure ? ¶

La sécurité numérique ne repose pas uniquement sur des experts ou des solutions techniques, mais avant tout sur la vigilance et les comportements de chacun au quotidien. L’humain doit être au cœur de la cybersécurité : la sensibilisation devient donc un enjeu majeur dans un contexte où les cyberattaques sont de plus en plus sophistiquées et amplifiées par l’intelligence artificielle. Développer des réflexes simples – vérifier une information, questionner une demande inhabituelle, protéger ses accès, signaler un doute – constitue un levier essentiel pour réduire les risques.

1. PRÉVENIR pour réduire le risque avant un incident - Se former (savoir identifier les menaces et s'en protéger, appliquer les bonnes pratiques numériques) - Mettre en place des procédures (vérifications, sauvegardes régulières, mises à jour) - Tester ses compétences et ses outils (simulations d’attaques et exercices de gestion de crise) 2. SIGNALER les incidents pour limiter l’impact et protéger les autres - Portail national : 17Cyber.gouv.fr (Diagnostic rapide, recommandations personnalisées, orientation vers assistance) - Coordination technique : CERT-FR (fuites de données, failles de sécurité, incidents majeurs) 3. SENSIBILISER à la cybersécurité pour installer une culture cyber durable - Multiplier les campagnes pédagogiques - Intégrer la cybersécurité dès l’école - Responsabiliser les usagers, les constructeurs, les fournisseurs de services… - Encourager la remontée d’incidents - Créer une culture partagée

Formation, entraînement et responsabilisation doivent compléter la sensibilisation pour installer une culture collective de cybersécurité, où chacun se sent concerné et acteur de la protection des données et des systèmes. Cette approche permet non seulement de prévenir les incidents, mais aussi d’en limiter les impacts lorsqu’ils surviennent.

Face à des menaces en constante évolution, la résilience numérique repose sur un équilibre entre technologies, comportements humains et organisation. C’est en combinant ces dimensions que l’on peut construire durablement des environnements numériques plus sûrs.

Qu’avez-vous pensé de ce contenu ? Clair : Utile :

Si vous souhaitez nous faire part de vos suggestions d'amélioration contactez-nous !

Envoyer un email à cyberclass@class-code.fr

¶

Pour aller plus loin ?¶

Fiches concepts liées¶

Ressources complémentaires¶

Titre : Fraude : sur Internet, attention aux "sites miroirs" de marques célèbres ; origine : France Info ; auteur(s) : E.Bonnasse, O.Gardette, D.Brignand, R.Chapelard, Y.Madec, E.Stervinou, J.Fantauzzo ; date de publication : 30 janvier 2024 ; date de consultation : 27 mars 2026.

Licence¶

🎯 Attribution : Une réalisation collective produite par Class’Code dans le cadre du programme TalCyb. Ce travail a bénéficié d’une aide de l’État gérée par l’Agence nationale de la recherche au titre de France 2030 portant la référence ANR-23-CMAS-0020.

Cette ressource éducative a été produite sous licence CC BY-SA Class’Code 4.0 FR (1) - Publication : mars 2026 ; Dernière mise à jour : juin 2026.

Creative Commons - Attribution obligatoire et crédit à l’auteur - Liberté d’utilisation et d’adaptation - Pas de restriction spécifique

Sources¶

Titre : Évaluation de l'USB, Partie 1 : En quoi les clés USB présentent-elles un risque pour la sécurité ? ; origine : ManageEngine ; auteur(s) : Safaa D, Deepshika Kailash ; date de publication : 2024 ; date de consultation : 27 mars 2026. ↩

Titre : Les périphériques USB, vecteurs d’attaques et de danger ; origine : Oppens ; auteur(s) : Claire ; date de publication : 5 mai 2020 ; date de consultation : 27 mars 2026. ↩

Titre : Stockage et sauvegardes ; origine : Pensez cybersécurité ; date de publication : [s.d.] ; mise à jour : 27 octobre 2021 ; date de consultation : 27 mars 2026. ↩

Titre : Comment naviguer en toute sécurité sur un réseau Wi-Fi public ; origine : AVG ; auteur(s) : Elle Poole Sidell ; date de publication : 17 février 2022 ; date de consultation : 27 mars 2026. ↩

Titre : Réseaux Wi-Fi : sécurité, mot de passe, fonctionnement ; origine : HSC ; auteur(s) : Frédéric ; date de publication : 10 décembre 2022 ; mise à jour : 7 juillet 2024 ; date de consultation : 27 mars 2026. ↩

Titre : Utiliser un Wi-Fi public ? Voici 4 précautions à prendre… ; origine : cnil.fr - Commission Nationale de l'Informatique et des Libertés ; date de publication : 25 octobre 2017 ; date de consultation : 27 mars 2026. ↩

Titre : 5 choses à ne pas faire si vous utilisez un Wi-Fi public ; origine : BDM ; auteur(s) : José Billon ; date de publication : 2 novembre 2023 ; date de consultation : 27 mars 2026. ↩

Titre : Qu’est-ce qu’un VPN et comment s’en servir ? ; origine : Esiea ; date de publication : 18 novembre 2024 ; mise à jour : 26 mars 2025 ; date de consultation : 27 mars 2026. ↩

Titre : BYOD : quelles sont les bonnes pratiques ? ; origine : cnil.fr - Commission Nationale de l'Informatique et des Libertés ; date de publication : 19 février 2015 ; date de consultation : 27 mars 2026. ↩

Titre : Guide des bonnes pratiques de l’informatique ; type de média : guide ou fiche ; origine : messervices.cyber.gouv.fr - Mes services Cyber, Innovation ANSSI ; date de publication : 19 janvier 2017 ; date de consultation : 27 mars 2026. ↩

Titre : Data theft during smartphone charging ; origine : Kaspersky daily ; auteur(s) : Stan Kaminsky ; date de publication : 27 mai 2025 ; date de consultation : 27 mars 2026. ↩

Titre : Les bonnes pratiques ; origine : cybermalveillance.gouv.fr - Assistance aux victimes de cybermalveillance et prévention en sécurité numérique ; date de publication : [s.d.] ; date de consultation : 27 mars 2026. ↩

Titre : Kit de sensibilisation ; type de média : ressources ; origine : cybermalveillance.gouv.fr - Assistance aux victimes de cybermalveillance et prévention en sécurité numérique ; date de publication : 21 janvier 2020 ; mise à jour : 17 octobre 2023 ; date de consultation : 27 mars 2026. ↩

Titre : Phishing, smishing et vishing : 6 différences essentielles ; origine : SentinelOne ; auteur(s) : SentinelOne ; date de publication : 9 juillet 2025 ; date de consultation : 27 mars 2026. ↩

Titre : Phishing, Smshing, Quishing : les reconnaître pour les éviter ; origine : Les clés de la banque ; date de publication : 15 février 2026 ; date de consultation : 27 mars 2026. ↩

Titre : Phishing, Quishing, Smishing, Vishing,... Comment s'en protéger ? ; origine : Police Locale Hesbaye-Ouest ; date de publication : 12 mai 2025 ; date de consultation : 27 mars 2026. ↩

Titre : L’arnaque grandissante sur Vinted et Leboncoin – Nos conseils pour vous protéger ; origine : Café Babel ; auteur(s) : Laura Julien ; date de publication : 14 février 2025 ; date de consultation : 27 mars 2026. ↩

Titre : Comprendre le phénomène des "Brouteurs" : Cyber-escroquerie et manipulation sentimentale ; origine : Prévention internet et réseaux sociaux ; date de publication : [s.d.] ; date de consultation : 27 mars 2026. ↩

Titre : Arnaques aux faux conseillers bancaires : comment les éviter ? ; origine : inc-conso.fr - Institut national de la consommation ; auteur(s) : Corinne Lamoussière-Pouvreau ; date de publication : 2 décembre 2024 ; date de consultation : 27 mars 2026. ↩

Titre : Qu'est-ce qu'un (BEC) Business Email Compromise ? ; origine : Mail in black ; auteur(s) : Juliette Pierre ; date de publication : 30 avril 2022 ; date de consultation : 27 mars 2026. ↩

Titre : Fraude à la fausse facture : comment l'identifier et s'en prémunir ? ; origine : SisID ; date de publication : 2023 ; date de consultation : 27 mars 2026. ↩

Titre : Méfiez-vous de la fraude au dirigeant ! ; origine : CIC ; date de publication : avril 2025 ; date de consultation : 27 mars 2026. ↩

Titre : Tailgating : définition et explication ; origine : IONOS ; auteur(s) : l'équipe édi¬to¬riale IONOS ; date de publication : 12 juillet 2024 ; date de consultation : 27 mars 2026. ↩

Titre : Quatre façons dont l’IA générative transforme l’ingénierie sociale ; origine : Proofpoint ; auteur(s) : Sara Pan ; date de publication : 23 août 2024 ; date de consultation : 27 mars 2026. ↩

Titre : Phishing, fausses factures, web skimming : l’IA redéfinit le paysage de la cyberfraude ; origine : Solutions Numeriques & Cybersécurité ; date de publication : 29 octobre 2025 ; date de consultation : 27 mars 2026. ↩

Titre : Quand ChatGPT se prend pour un détective privé ; origine : Yahoo News ; auteur(s) : Sciences et Avenir ; date de publication : 29 septembre 2024 ; date de consultation : 27 mars 2026. ↩

Titre : Intelligence artificielle : le plan d’action de la CNIL ; origine : cnil.fr - Commission Nationale de l'Informatique et des Libertés ; date de publication : 16 mai 2023 ; date de consultation : 27 mars 2026. ↩

Titre : Fraudsters Cloned Company Director’s Voice In $35 Million Heist, Police Find ; origine : Forbes ; auteur(s) : Thomas Brewster, Forbes Staff ; date de publication : 14 octobre 2021 ; mise à jour : 2 mai 2023, ; date de consultation : 27 mars 2026. ↩

Titre : Les deepfakes, un jeu d'enfant pour les cybercriminels ; origine : Sciences et Avenir ; auteur(s) : Arnaud Devillard ; date de publication : 28 janvier 2025 ; date de consultation : 27 mars 2026. ↩

Titre : Phishing 2025 : pourquoi les e-mails deviennent (presque) impossibles à reconnaître ; origine : CyberHack ; date de publication : 7 octobre 2025 ; date de consultation : 27 mars 2026. ↩

Titre : L’IA générative rend l’ingénierie sociale plus dangereuse et plus difficile à détecter ; origine : IBM ; auteur(s) : Matthew Kosinski et Stephanie Carruthers ; date de publication : 2025 ; date de consultation : 27 mars 2026. ↩

Titre : Opération Cactus : lancement national de la campagne de sensibilisation à l'hameçonnage dans les espaces numériques de travail ; origine : cybermalveillance.gouv.fr - Assistance aux victimes de cybermalveillance et prévention en sécurité numérique ; date de publication : 24 mars 2025 ; mise à jour : 25 février 2026 ; date de consultation : 27 mars 2026. ↩

Titre : Opération Cactus : sensibiliser à l'hameçonnage sur les espaces numériques de travail ; origine : education.gouv.fr - Ministère de l'Éducation nationale ; date de publication : 30 janvier 2025 ; date de consultation : 27 mars 2026. ↩

Titre : 17Cyber - Victime de cybermalveillance ? Nous vous guidons pour agir. ; origine : cybermalveillance.gouv.fr - Assistance aux victimes de cybermalveillance et prévention en sécurité numérique ; date de publication : [s.d.] ; date de consultation : 27 mars 2026. ↩

Titre : CERT-FR, Qui sommes-nous ? ; origine : cyber.gouv.fr - Agence nationale de la sécurité des systèmes d’informations ; date de publication : [s.d.] ; date de consultation : 27 mars 2026. l'Éducation nationale ; date de publication : 30 janvier 2025 ; date de consultation : 27 mars 2026](https://www.education.gouv.fr/operation-cactus-sensibiliser-l-hameconnage-sur-les-espaces-numeriques-de-travail-416607){:target="_blank"}. ↩

Titre : 17Cyber - Victime de cybermalveillance ? Nous vous guidons pour agir. ; origine : cybermalveillance.gouv.fr - Assistance aux victimes de cybermalveillance et prévention en sécurité numérique ; date de publication : [s.d.] ; date de consultation : 27 mars 2026. ↩

Titre : CERT-FR, Qui sommes-nous ? ; origine : cyber.gouv.fr - Agence nationale de la sécurité des systèmes d’informations ; date de publication : [s.d.] ; date de consultation : 27 mars 2026. ↩

Voir la fiche dans le portail