Exemples d'ingénierie sociale : 15 attaques et comment les contrer

L'ingénierie sociale est, selon les termes de l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA), une attaque où « Un attaquant utilise l'interaction humaine (compétences sociales) pour obtenir ou compromettre des informations sur une organisation ou ses systèmes informatiques. »Cela fonctionne car cela cible les personnes, et non les logiciels. Le rapport 2026 de Verizon sur les enquêtes relatives aux violations de données a révélé que… L'élément humain était présent dans 62 % des violations., contre 60 % l'année précédente.

Voici 15 exemples d'ingénierie sociale, répartis en 3 séries de 5. Chaque exemple est accompagné d'un signal d'alerte et d'une action corrective. La série 1 traite du phishing, la série 2 de l'usurpation d'identité et des prétextes fallacieux, et la série 3 des attaques physiques et du leurre. Chaque série se termine par une… Notre choix, l'exemple que nous entraînerions en premier, avec une raison en une ligne.

Toutes les entreprises, personnes et messages cités en exemple ci-dessous sont fictifs.

Série 1 : La famille du phishing

1. Hameçonnage par courriel. Un message semblant provenir d'une banque, d'un fournisseur ou de votre propre équipe informatique vous invite à cliquer sur un lien et à vous connecter. La CISA indique que les attaques de phishing utilisent des courriels ou des sites web malveillants pour… solliciter des renseignements personnels en se faisant passer pour une organisation digne de confiance. Drapeau rouge: une adresse d'expéditeur qui imite celle d'une véritable entreprise, une formule de salutation générique telle que « Cher client », ou un lien dont l'adresse ne correspond pas au texte affiché au survol de la souris. Stop: Ne cliquez pas. Accédez au site en saisissant vous-même l'adresse, ou signalez le message.
2. Hameçonnage ciblé. Le même stratagème, cette fois-ci visant une seule personne. L'expéditeur utilise votre nom, celui de votre responsable et un projet sur lequel vous travaillez réellement, informations qu'il est possible de reconstituer à partir de données publiques. Drapeau rouge: une demande étrangement précise et pourtant inhabituelle, comme « envoyez-moi le contrat Atlas aujourd'hui ». Stop: Demandez à l'expéditeur par un autre canal, par exemple en appelant un numéro que vous possédez déjà.
3. Frapper. Hameçonnage par SMS. La CISA décrit effrayer comme une technique d'ingénierie sociale qui exploite les messages SMS, avec des liens, des numéros ou des adresses qui ouvrent un navigateur ou passent un appel lorsqu'on clique dessus. Drapeau rouge: un message « colis en attente » ou « compte bloqué » accompagné d'un lien court. Stop: Supprimez-la et ouvrez vous-même la véritable application ou le site web.
4. Vishing. Hameçonnage vocal. La CISA prévient vishing Il utilise des appels vocaux et l'identification de l'appelant peut être falsifiée, donc un appel affichant un nom familier ne prouve rien. Drapeau rouge: un appelant qui exerce une pression et demande un code ou un mot de passe. Stop: Raccrochez et rappelez le numéro imprimé sur votre relevé ou sur le site web de l'entreprise.
5. Hameçonnage par code QR. Un code QR masque l'adresse vers laquelle il mène. Le FBI a mis en garde contre colis non sollicités contenant un code QR qui demande au destinataire des informations personnelles et financières ou installe un logiciel de vol de données. Drapeau rouge: Un code inattendu, sans information sur l'expéditeur. Stop: Ne scannez pas les codes QR provenant d'origine inconnue.

Notre choix : l'exemple 4, le vishing. Verizon a constaté que dans les simulations d'hameçonnage, le taux de clic médian dans Les vecteurs axés sur le mobile, tels que la messagerie vocale et textuelle, étaient 40 % plus élevés. que par courriel. Les gens ont appris à se méfier des courriels plus rapidement que des appels téléphoniques.

Série 2 : Prétextes et usurpation d'identité

Verizon définit le prétexte comme une tactique d'attaque dans laquelle Une relation de confiance se construit grâce à des scénarios élaborés. L'objectif est d'inciter l'utilisateur à commettre une action compromettant l'organisation, souvent par la voix, mais aussi par courriel ou SMS. Ce type d'escroquerie représentait 6 % de toutes les violations de données dans le rapport de 2026, contre 16 % pour le phishing.

6. Fraude au PDG et compromission de la messagerie professionnelle. Le Centre de plaintes pour la cybercriminalité (IC3) du FBI définit compromission de la messagerie professionnelle (BEC) Il s'agit d'une escroquerie ciblant les entreprises et utilisant des comptes de messagerie et autres moyens de communication compromis pour provoquer des transferts de fonds non autorisés. En 2025, l'IC3 a enregistré 24 768 plaintes pour escroquerie aux faux ordres de virement (BEC) et environ 3.05 milliards de dollars de pertes déclarées. Drapeau rouge: une demande urgente d'un cadre supérieur pour payer ou acheter des cartes-cadeaux, avec la mention « à ne dire à personne ». Stop: Veuillez confirmer toute demande de paiement par téléphone ou en personne.
7. Faux support informatique. Une personne prétendant travailler pour le service d'assistance demande votre mot de passe ou un accès à distance « pour résoudre un problème ». IC3 reçu 47 794 plaintes concernant le support technique en 2025, avec des pertes déclarées supérieures à 2.1 milliards de dollars. Drapeau rouge: Le service informatique vous contactera en premier et vous demandera un mot de passe ou un code à usage unique. Stop: Les véritables équipes informatiques n'ont pas besoin de votre mot de passe. Raccrochez et ouvrez un ticket d'assistance comme d'habitude.
8. Modification de la facture du fournisseur. Un courriel, provenant apparemment d'un fournisseur habituel, indique que ses coordonnées bancaires ont changé. La définition de l'IC3 concernant les escroqueries aux faux ordres de virement (BEC) couvre les fraudes qui ciblent entreprises travaillant avec des fournisseurs et effectuant régulièrement des virements bancaires. Drapeau rouge: nouvelles coordonnées bancaires avec une date limite de paiement. Stop: Avant de modifier quoi que ce soit, appelez le fournisseur au numéro déjà enregistré.
9. Faux recruteur. Un « recruteur » contacte un membre du personnel en lui proposant un poste qui ressemble à une promotion, puis lui demande des documents personnels ou un test nécessitant un téléchargement. IC3 a reçu 24 688 plaintes pour escroquerie à l'emploi en 2025. Drapeau rouge: une offre à laquelle vous n'avez pas postulé, avec des étapes qui s'enchaînent rapidement. Stop: Vérifiez le profil du recruteur sur la page carrières de l'entreprise et n'installez jamais de logiciel avant un entretien.
10. Voix truquée. Une voix clonée, ressemblant à celle de votre réalisateur, réclame un paiement urgent. IC3 dit Le clonage vocal peut être utilisé pour demander un virement bancaire. et que les entreprises ont déclaré des pertes de plus de 30 millions de dollars en 2025 à cause d'escroqueries BEC impliquant l'IA. Drapeau rouge: un message vocal ou un appel qui vous incite à agir avant même d'avoir pu vérifier. Stop: Il faut convenir d'un mot de code ou d'une règle de rappel pour les paiements ; une voix convaincante ne suffit donc pas.

Notre choix : l’exemple 6, fraude du PDG et BEC. Il s'agit de l'exemple le plus coûteux ici, devançant même les arnaques au support technique dans les chiffres de l'IC3 pour 2025, et l'action stoppeuse est peu coûteuse : un simple appel téléphonique à un numéro connu avant que l'argent ne soit transféré.

Série 3 : Attaques physiques et appâtage

Ces attaques ne nécessitent pas de clavier. Elles sont importantes car une personne étrangère présente dans le bâtiment peut accéder à ce qu'un pare-feu protège.

11. Talonnage. Quelqu'un vous suit à travers une porte sécurisée « parce qu'il a les mains pleines ». Drapeau rouge: une personne sans badge, détendue et amicale. Stop: Demandez-leur poliment de s'identifier eux-mêmes ou accompagnez-les jusqu'à la réception.
12. Appâtage avec des clés USB. Une clé USB étiquetée « Révision salariale 2027 » est laissée dans le parking ou le hall. Drapeau rouge: tout lecteur amovible que vous n'avez pas acheté. Stop: Ne branchez jamais un appareil trouvé. Remettez-le au service informatique, qui pourra l'inspecter en toute sécurité.
13. Surf sur les épaules. Quelqu'un lit votre écran ou vous observe taper un code PIN dans un train ou à un bureau partagé. Drapeau rouge: une personne se tenant trop près ou orientant son téléphone vers votre écran. Stop: Utilisez un filtre de confidentialité, verrouillez votre écran lorsque vous vous éloignez et asseyez-vous dos au mur.
14. Fouiller les poubelles. Des courriels imprimés, des organigrammes et des comptes rendus de réunion jetés dans une poubelle ordinaire fournissent à un attaquant des noms, des numéros de téléphone et des titres de projets pour son prochain appel. Drapeau rouge: papier avec des noms ou des numéros dans une poubelle ouverte. Stop: Utilisez un destructeur de documents ou une poubelle verrouillée, et ayez l'habitude de garder votre bureau rangé.
15. Fausse livraison. Un coursier portant une veste de marque demande à passer devant la réception ou à déposer un colis dans la salle des serveurs. Drapeau rouge: une livraison que personne n'a commandée, ou une livraison qui ne peut pas être acheminée à la réception. Stop: Récupérez-le à la réception et faites vérifier les colis inattendus auprès de la personne dont le nom figure sur l'étiquette.

Notre choix : l'exemple 11, le tailgate. Cela ne requiert aucune compétence particulière et ne coûte rien ; le bon sens est la clé du succès. Fournissez au personnel un guide de communication courtois afin que contester quelqu’un paraisse naturel et non impoli.

Comment arrêter les 15

Ces 15 exemples ont un point commun : ils vous incitent à agir vite et seul. Trois habitudes permettent de rompre ce schéma.

1. Vérifiez par un deuxième canal. Si une demande concerne de l'argent, un mot de passe, un code ou un accès, confirmez-la par un autre moyen, en utilisant les coordonnées dont vous disposez déjà. La CISA recommande, en cas de doute sur la légitimité d'une demande, Vérifiez-le en contactant directement l'entreprise.et non avec les coordonnées fournies dans le message.
2. Signalez-le. Les conseils de la CISA en cas de suspicion d'hameçonnage sont les suivants : Signaler le message puis supprimez-le. Faites du signalement un réflexe simple et sans jugement : la première personne qui repère un problème avertit tout le monde.
3. Ralentissez. Listes CISA langage urgent ou émotionnellement attirant Parmi les signes courants d'hameçonnage, la CISA souligne également qu'une grammaire parfaite n'est plus une garantie de sécurité, car certains courriels affichent désormais une orthographe irréprochable grâce à l'intelligence artificielle. Lorsqu'un message insiste sur la rapidité, c'est le signal d'une pause.

L'entraînement est essentiel pour ancrer les bonnes habitudes. L'élément humain est présent dans 62 % des violations de sécurité, selon Rapport 2026 de VerizonUne équipe qui s'est entraînée à repérer ces 15 exemples constitue un élément essentiel de votre défense. Pour un programme plus complet, consultez notre guide sur formation de sensibilisation à la cybersécurité.

Façons d'organiser une session d'ingénierie sociale avec AhaSlides

Exécutez les 15 exemples en direct, dans une salle ou lors d'un appel vidéo, avec les réponses affichées à l'écran au fur et à mesure que les participants répondent.

1. Choisissez une réponse : « Vrai ou arnaque ? » Pour chaque exemple, affichez un message fictif et demandez s'il est authentique. Révélez l'élément suspect et discutez-en.
2. Nuage de mots : « L'arnaque la plus courante ». Le mot le plus important indique ce qu'il faut pratiquer en premier.
3. Échelle d'évaluation : « Dans quelle mesure êtes-vous sûr de pouvoir repérer un faux ? » Demandez une note de 1 à 5 avant et après la séance, et comparez les moyennes.
4. Question ouverte : « Un message suspect que j'ai reçu ». Recueillez des exemples réels, en supprimant les noms, et utilisez le meilleur comme scénario pour le tour suivant.

Le modèle de cours sur le phishing et l'ingénierie sociale vous propose des diapositives prêtes à l'emploi à adapter, et le modèle de sensibilisation aux menaces internes constitue un bon complément pour toute l'équipe.

Foire aux questions

Quels sont des exemples d'ingénierie sociale ?

L'hameçonnage, le prétexte, l'appâtage et le harcèlement sont les principales techniques. Cet article en recense 15, allant de l'hameçonnage par courriel et du vishing à la fausse assistance informatique, en passant par l'appâtage de clés USB et les fausses livraisons.

Quel est le type d'ingénierie sociale le plus courant ?

Hameçonnage. Le rapport 2026 de Verizon indique que l'hameçonnage représente 16 % de toutes les violations de données, contre 6 % pour le prétexte, et IC3 a reçu 191 561 plaintes pour hameçonnage et usurpation d'identité en 2025.

Comment se prémunir contre l'ingénierie sociale ?

Vérifiez les requêtes via un second canal et signalez celles qui vous semblent suspectes. Prévoyez des formations courtes et régulières, car les attaques évoluent plus vite que n'importe quelle formation ponctuelle.

Qu'est-ce que le prétexte ?

Une histoire inventée de toutes pièces pour obtenir des informations ou un accès. L'attaquant gagne la confiance de son interlocuteur grâce à un scénario crédible, comme un appel à un service d'assistance, puis demande un mot de passe, un paiement ou qu'on lui tienne la porte.

Par où commencer

Choisissez un exemple et présentez-le lors de votre prochaine réunion d'équipe. Si vous n'avez le temps que pour un seul exemple, prenez le vishing, puis demandez à chacun ce qu'il ferait lors du prochain appel inattendu.