Hameçonnage et ingénierie sociale : repérer la pression, puis vérifier

Quelle est la différence entre l’hameçonnage et l’ingénierie sociale ?

L’ingénierie sociale désigne toute tentative de manipuler une personne pour qu’elle divulgue des informations, verse de l’argent ou accorde un accès. L’hameçonnage en est la forme la plus courante, par courriel ou au moyen d’un faux site web. La CISA distingue aussi sa version vocale, l’hameçonnage téléphonique, et sa version par SMS, l’hameçonnage par SMS.

Imaginez un cabinet d’architecture fictif de 30 personnes, Calloway Partners. Un mardi, l’assistante comptable, Leah, reçoit trois choses. Un courriel du « directeur général », envoyé à 7.58am : « Leah, en réunion toute la journée, j’ai besoin que vous payiez aujourd’hui le fournisseur indiqué en pièce jointe, nouvelles coordonnées bancaires, gardez cela entre nous ». Un SMS : « Votre colis est retenu, payez ici £1.45 de frais de nouvelle livraison ». Et un appel d’une personne qui dit travailler chez le prestataire informatique du cabinet et lui demande de lire à voix haute un code à six chiffres qu’elle vient de lui envoyer « pour réparer votre messagerie ». En apparence, ces trois situations sont différentes. Elles reposent sur la même ruse.

Quelles tactiques de pression les messages d’hameçonnage utilisent-ils ?

Les messages d’hameçonnage utilisent cinq tactiques de pression courantes, que le NCSC classe ainsi : autorité, urgence, émotion, rareté et actualité. Repérer la tactique est plus fiable que repérer une faute de frappe.

Comment l’IA a-t-elle changé l’hameçonnage ?

L’IA a rendu les messages d’hameçonnage plus soignés : une orthographe et une grammaire correctes ne prouvent donc plus qu’un message est authentique. Les recommandations de la CISA le disent désormais explicitement. Les attaquants peuvent aussi adopter le ton d’un collègue, adapter un message à votre poste ou imiter une voix familière lors d’un appel. L’ancienne liste de vérification fondée sur les fautes d’orthographe et les salutations inhabituelles devient donc moins utile, tandis que la vérification de la demande elle-même prend davantage d’importance. Toute demande visant à transférer de l’argent, à modifier des coordonnées bancaires, à communiquer un code ou à contourner une procédure habituelle doit être vérifiée, aussi convaincante soit-elle.

Comment vérifier un message suspect étape par étape ?

Pour vérifier un message suspect, passez par un autre canal : n’utilisez jamais les liens, les numéros de téléphone ou l’adresse de réponse qu’il contient, et contactez la personne ou l’organisation à l’aide de coordonnées que vous savez déjà fiables.

À quoi ressemble une réponse insuffisante ou solide ?

Une mauvaise réaction consiste à se fier aux apparences. Leah voit le nom du directeur général, répond pour demander si le paiement est vraiment urgent, reçoit rapidement un 'oui, faites-le maintenant, s’il vous plaît' de la même fausse adresse, et paie. Elle ignore le SMS mais, voulant rendre service, lit le code à son interlocuteur, qui l’utilise pour se connecter à sa messagerie.

Une bonne réaction consiste à vérifier la demande. Leah repère la combinaison de l’autorité, de l’urgence et du secret, puis appelle le directeur général sur son portable, au numéro figurant dans l’annuaire du personnel ; il n’a rien envoyé. Elle supprime le SMS concernant le colis sans toucher au lien. Elle dit à son interlocuteur qu’elle va rappeler le prestataire informatique, raccroche, puis appelle le prestataire au numéro indiqué dans le contrat de l’entreprise ; il n’a passé aucun appel. Elle signale les trois tentatives au service informatique et transfère l’e-mail à l’adresse de signalement. Aucun paiement n’a été effectué et aucun code n’a été communiqué.

Que faire si vous avez déjà cliqué ou répondu ?

Si vous avez déjà cliqué, répondu ou partagé quelque chose, prévenez immédiatement votre contact informatique : agir vite limite les dégâts, et personne ne devrait être blâmé pour avoir signalé un incident. Depuis un autre appareil, changez le mot de passe de tout compte dont vous avez saisi les identifiants et activez l’authentification multifacteur. Si de l’argent ou des coordonnées bancaires sont en jeu, appelez immédiatement votre banque au numéro indiqué sur son site ou sur votre carte.

Quelles sont les erreurs courantes face à l’hameçonnage ?

L’erreur la plus courante consiste à répondre au message suspect pour le vérifier, ce qui revient simplement à demander à l’attaquant de confirmer. Autres erreurs : se fier au nom affiché ou au numéro de l’appelant, compter sur les fautes d’orthographe pour repérer une fraude, cliquer sur les liens de désabonnement, communiquer oralement des codes à usage unique et garder le silence après une erreur par embarras.

Où se situe cette leçon dans Tosheo.ai ?

Cette leçon appartient à la catégorie Cybersécurité et au cours de cybersécurité. Dans Tosheo.ai, l’exercice pratique vous fournit un ensemble de messages fictifs et vous demande de nommer la tactique utilisée dans chacun, de décrire l’étape de vérification et de rédiger un signalement. La grille d’évaluation indique les signaux d’alerte que vous avez manqués. Il s’agit d’une formation de sensibilisation pour les salariés et les responsables, et non d’un cours technique sur la sécurité des courriels.

Sources et périmètre

NCSC, comment repérer un e-mail, un SMS ou un appel frauduleux (vérifié le 19 October 2026) ↗

NCSC, signaler un e-mail frauduleux (vérifié le 19 October 2026) ↗

CISA, reconnaître et signaler l’hameçonnage (vérifié le 19 October 2026) ↗

CISA, éviter l’ingénierie sociale et les attaques par hameçonnage (vérifié le 19 October 2026) ↗