Phishing et ingénierie sociale : comprendre et se protéger

Le phishing (hameçonnage) est l'une des principales portes d'entrée des cyberattaques : au lieu de forcer une machine, l'attaquant manipule une personne pour qu'elle ouvre la porte elle-même. L'ENISA lui attribue 77,8 % des cas d'ingénierie sociale recensés en 2025. Cette page explique ce qu'est le phishing et l'ingénierie sociale, pourquoi ces attaques fonctionnent si bien, leurs formes (du mail de masse au smishing par SMS), la fraude et l'usurpation (fraude au virement, ClickFix) avec les chiffres de l'ENISA pour 2025, et surtout comment vous en protéger, côté technique et côté humain. Elle s'adresse à toute personne qui veut comprendre ce vecteur d'attaque, sans prérequis technique.

Ce que vous allez apprendre

L'ingénierie sociale exploite une faille qu'aucun correctif ne comble : l'humain. Le phishing en est la forme la plus répandue selon l'ENISA (77,8 % des cas d'ingénierie sociale recensés en 2025), loin devant le courrier indésirable piégé. Concrètement, vous saurez :

• Définir le phishing et l'ingénierie sociale, et voir en quoi ils diffèrent.
• Comprendre les ressorts psychologiques qui rendent ces attaques efficaces.
• Reconnaître les formes courantes : spear phishing, whaling, smishing, vishing, quishing, fraude au président (BEC).
• Distinguer la fraude au virement (BEC), ClickFix et le smishing, et dire ce que l'ENISA en observe en 2025.
• Déployer des défenses concrètes : MFA résistante au phishing, authentification des e-mails (SPF, DKIM, DMARC), filtrage, sensibilisation.
• Relier ce vecteur au modèle de menaces SOCLE, où le phishing sert souvent de première marche vers une compromission de la chaîne logicielle.

Qu'est-ce que le phishing et l'ingénierie sociale

L'ingénierie sociale désigne toute manipulation qui pousse une personne à agir contre son intérêt : divulguer un mot de passe, valider un paiement, installer un logiciel. Elle ne vise pas une faille technique, mais un comportement humain. Le phishing en est la déclinaison la plus courante : un message frauduleux qui se fait passer pour une source de confiance afin de récupérer des informations ou de faire cliquer sur un lien piégé.

Le phishing ne s'attaque à aucune faille technique : il vise la personne qui détient l'accès. L'attaquant se fait passer pour un interlocuteur légitime, service informatique, banque, fournisseur, et obtient de la victime qu'elle saisisse elle-même ses identifiants ou ouvre une pièce jointe. Aucun contrôle n'a été forcé, tous ont été franchis avec une autorisation valide, ce qui rend l'intrusion indiscernable d'une connexion normale dans les journaux.

Ce vecteur domine parce qu'il est peu coûteux et rentable : envoyer un million d'e-mails ne coûte presque rien, et il suffit qu'une poignée de destinataires morde. Dans le référentiel MITRE ATT&CK, le phishing porte l'identifiant T1566, rangé dans la tactique d'accès initial.

Pourquoi ces attaques fonctionnent

Le phishing ne mise pas sur la naïveté, mais sur des réflexes normaux que l'attaquant détourne. Comprendre ces leviers, c'est déjà savoir résister.

• Autorité : un message qui semble venir d'un dirigeant, de la banque ou du service informatique désactive l'esprit critique. On obéit à une figure d'autorité.
• Urgence et peur : « votre compte sera suspendu dans 24 h » pousse à agir vite, donc sans réfléchir. La précipitation est l'alliée de l'attaquant.
• Confiance et habitude : un message imitant un outil que vous utilisez tous les jours (messagerie, service de paie) passe sous le radar.
• Curiosité et appât du gain : une fausse facture, un colis en attente, une prime inattendue incitent à cliquer pour en savoir plus.

Ces ressorts expliquent pourquoi la formation seule ne suffit pas : sous pression ou fatigue, n'importe qui peut se faire piéger. La défense doit donc combiner barrières techniques et vigilance humaine.

Les formes de phishing

Le phishing s'est spécialisé. Distinguer ses formes aide à repérer l'attaque et à calibrer la parade.

Forme	Canal	Cible	Particularité
Phishing de masse	E-mail	Tout le monde	Volume élevé, peu personnalisé
Spear phishing	E-mail	Personne précise	Message sur mesure, très crédible
Whaling	E-mail	Dirigeants	Vise les « gros poissons » à fort pouvoir
BEC (fraude au président)	E-mail	Finance, RH	Ordre de virement ou de données urgent
Smishing	SMS	Mobile	Faux colis, faux impôts, faux support
Vishing	Téléphone	Voix	Faux conseiller, pression en direct
Quishing	QR code	Mobile	Le lien piégé se cache dans un QR code
ClickFix	Page web	Tout utilisateur	Un faux message d'erreur ou de vérification fait copier-coller une commande

Glissez pour voir

Le spear phishing et le BEC sont les plus dangereux en entreprise : très ciblés, ils s'appuient sur des informations réelles (organigramme, projet en cours) collectées pendant la phase de reconnaissance. Un e-mail qui reprend le nom de votre responsable et un dossier réel est difficile à distinguer d'un vrai.

Fraude et usurpation : BEC, ClickFix, smishing

La fraude désigne une tromperie à but financier, et l'usurpation le fait de se faire passer pour une personne ou une organisation de confiance. L'ENISA Threat Landscape 2026 (publié le 22 septembre 2026, période 2025) en fait l'une des trois menaces clés de la cybercriminalité, avec les fuites de données et les rançongiciels. Les fraudes visent d'abord les fournisseurs numériques (16,6 %), l'administration publique (13,4 %) et la banque-finance (12,5 %). Par pays, l'Italie (7,5 %), l'Espagne (6,3 %) et la France (4,7 %) arrivent en tête, mais l'ENISA précise que la fraude est surtout documentée à l'échelle régionale : l'Europe, Union comprise, pèse à elle seule 24,7 %. Ces parts sont donc des repères, pas un classement fin des pays. Le panorama complet est dans la leçon sur le paysage des menaces en 2026.

La fraude au président ou fraude au virement porte le nom technique de BEC (Business Email Compromise). Un attaquant imite par courriel un dirigeant, un fournisseur ou un prestataire pour obtenir un virement ou un changement de coordonnées bancaires. Il n'y a en général ni malware ni lien piégé : l'arme principale est un message crédible, parfois envoyé depuis une vraie boîte compromise. L'ENISA classe le BEC parmi les techniques d'hameçonnage observées en 2025. La parade est organisationnelle : une vérification hors bande et une double validation pour tout virement ou changement de RIB.

ClickFix est une technique d'ingénierie sociale que l'ENISA décrit comme « abusant la victime pour qu'elle 'répare' un problème ». Une page web affiche un faux message d'erreur ou une fausse vérification (un faux CAPTCHA), puis demande à la victime de copier-coller une commande dans la boîte Exécuter (la fenêtre Windows, ouverte par les touches Windows + R, qui lance une commande saisie) ou dans PowerShell (l'interpréteur de commandes de Windows). La commande est déjà dans le presse-papiers. La victime lance donc elle-même le code malveillant, ce qui contourne la passerelle de messagerie (le filtre qui inspecte les courriels entrants). L'ENISA cite ClickFix comme vecteur d'accès initial du groupe de rançongiciel Qilin et de voleurs d'identifiants, et mentionne une variante nommée FileFix.

Le smishing est l'hameçonnage par SMS. Le rapport cite le groupe Smishing Triad, basé en Chine d'après les sources de l'agence, actif depuis au moins 2024, qui envoie des SMS de masse (faux suivi de colis, faux services publics) et monétise les données volées. L'ENISA rapporte, au conditionnel, que ce groupe gérerait environ 25 000 domaines de phishing actifs sur toute période de huit jours, une estimation issue de rapports de tiers et non d'une mesure de l'agence. Le vishing (appel téléphonique) sert aussi à l'usurpation : des campagnes se font passer pour le service informatique afin de dérober des identifiants d'authentification unique.

Ce que l'IA change, et ce qu'elle ne change pas

L'ENISA indique que l'IA générative facilite la personnalisation des messages et accélère le rythme des arnaques, et que des vidéos truquées (deepfakes) servent à imiter un contact de confiance. Le rapport ne chiffre pas la part de ces usages. Conséquence pratique : l'absence de fautes n'est plus un signe de fiabilité, et une demande d'argent reste suspecte même appuyée par une voix ou un visage connu. La vérification par un autre canal reste la parade.

Anatomie d'une campagne

Une attaque de phishing suit un schéma constant, ce qui donne autant de points d'interruption.

Trois maillons s'enchaînent : l'appât (le prétexte crédible), le leurre (le lien ou la pièce jointe piégée) et la collecte (le vol d'identifiants ou l'exécution du code). Sur le schéma, regardez lequel la MFA résistante au phishing neutralise.

Couper un seul des trois maillons fait échouer l'attaque. La MFA résistante au phishing neutralise la collecte : l'identifiant volé devient inutilisable. Source · SVG

Échap pour fermer, + et − pour zoomer, défilement pour se déplacer. 100 % − Ajuster + Fermer

Le message arrive lors de la phase de livraison de la kill chain. S'il aboutit à une saisie d'identifiants sur une fausse page, l'attaquant récupère un accès valide et enchaîne, sans avoir eu à exploiter la moindre vulnérabilité logicielle. C'est ce qui rend le phishing si efficace : il saute les défenses périmétriques en passant par un utilisateur légitime.

Comment se protéger

Aucune mesure unique ne suffit. Une défense solide empile des contrôles techniques et une culture de vigilance.

Barrières techniques

• MFA résistante au phishing : c'est la parade la plus efficace contre le vol d'identifiants. Les passkeys et WebAuthn/FIDO2 lient l'authentification au site légitime : même si l'utilisateur saisit ses identifiants sur une fausse page, l'attaquant ne peut pas rejouer la connexion. À l'inverse, un code à usage unique, reçu par SMS ou affiché dans une application, se relaie (voir l'incident plus bas).
• Authentification des e-mails : les enregistrements SPF, DKIM et DMARC permettent de vérifier qu'un message provient bien du domaine annoncé et de rejeter les usurpations. Voir les fondamentaux de l'e-mail.
• Filtrage et isolation : passerelle de messagerie qui bloque les pièces jointes exécutables, proxy web qui filtre les domaines connus, isolation du navigateur pour ouvrir les liens douteux dans un bac à sable.

Barrière humaine

• Sensibilisation régulière et concrète, ancrée sur des exemples réels plutôt que sur des règles abstraites.
• Simulations de phishing (avec des outils comme GoPhish) pour mesurer l'exposition et entraîner les réflexes, sans culpabiliser les personnes qui cliquent.
• Culture du signalement : un bouton « signaler un e-mail » qui permet de remonter un doute en un clic vaut mieux qu'une personne qui se tait par peur d'avoir mal agi.
• Réflexes face à ClickFix : ne jamais coller dans une fenêtre de commande ce qu'une page web demande de copier. Réserver PowerShell aux comptes qui en ont besoin réduit aussi l'exposition.
• Signaler le smishing : en France, transférer le SMS au 33700 et, en cas de doute, consulter cybermalveillance.gouv.fr.
• Vérification hors bande pour tout ordre sensible (virement, changement de RIB) : rappeler la personne sur un numéro connu. C'est la parade directe contre le BEC.

Le réflexe qui sauve

Devant toute demande urgente et inhabituelle touchant à l'argent, aux identifiants ou aux données, ralentissez et vérifiez par un autre canal. L'urgence est le principal outil de l'attaquant : lui refuser la précipitation désamorce la plupart des campagnes.

Reconnaître un message de phishing

Aucun signe n'est infaillible, mais leur accumulation doit alerter.

• Expéditeur dont l'adresse réelle ne correspond pas au nom affiché.
• Ton jouant sur l'urgence, la menace ou une récompense.
• Lien dont l'URL réelle (au survol) diffère du texte affiché.
• Demande inhabituelle : identifiants, virement, installation d'un logiciel.
• Pièce jointe inattendue, surtout un fichier exécutable ou une macro.
• Incohérences de langue, de logo ou de mise en forme, de plus en plus rares avec les outils d'IA générative qui produisent des messages soignés.

Phishing et supply chain

Le phishing n'est pas qu'une menace pour le grand public : c'est souvent la première marche vers une attaque de la chaîne logicielle. Compromettre le compte d'un mainteneur de paquet open source par hameçonnage permet ensuite de publier une version piégée, distribuée à des milliers de projets.

Deux incidents réels du référentiel l'illustrent. Chez Retool, un phishing par SMS, suivi d'un appel à la voix imitée d'un employé, a permis d'obtenir un code à usage unique ; la synchronisation dans le cloud de l'application d'authentification a aggravé l'exposition et ouvert l'accès à des comptes clients. Côté écosystème, plusieurs vagues de paquets npm compromis ont commencé par le hameçonnage de mainteneurs. C'est pourquoi le modèle de menaces SOCLE traite le compte de développeur et le poste de travail comme des cibles de premier plan.

À retenir

1. Le phishing exploite l'humain, pas la machine : il contourne les défenses techniques en passant par un utilisateur légitime.

2. Il joue sur des réflexes normaux, autorité, urgence, confiance : n'importe qui peut se faire piéger, la formation seule ne suffit pas.

3. Ses formes se sont spécialisées, du spear phishing ciblé au smishing, au vishing et à la fraude au président (BEC).

4. La MFA résistante au phishing est la meilleure parade contre le vol d'identifiants : avec une passkey, un identifiant saisi sur un faux site reste inutilisable, alors qu'un code à usage unique (SMS ou application) se relaie.

5. La défense empile technique et humain : SPF/DKIM/DMARC, filtrage, sensibilisation, signalement, et vérification hors bande contre le BEC.

6. Fraude et usurpation sont une menace clé en 2025 : BEC, ClickFix et smishing sont observés par l'ENISA.

7. Point d'entrée vers la supply chain : le hameçonnage d'un mainteneur ouvre la voie à un paquet piégé. Le modèle de menaces SOCLE relie ce vecteur aux contrôles qui le neutralisent.

Contrôle de connaissances

Six questions tirées sur huit : hameçonnage, fraude au président, ClickFix, smishing et les bons réflexes.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →