Baiting (appât)
En clair
On vous offre quelque chose que vous voulez — un fichier, un logiciel payant devenu gratuit, une clé USB trouvée, un cadeau contre un questionnaire. C'est vous qui allez le chercher, et c'est ce qui rend l'attaque efficace.
Ce que cherche l'attaquant : prendre le contrôle d'un appareil.
Définition
Le baiting propose une contrepartie désirable — un contenu, un logiciel, un objet ou un avantage — dont l'obtention exige une action de la victime : ouvrir un fichier, installer un programme, brancher un support, ou fournir une information en échange.
Comment ça fonctionne
L'appât inverse la relation habituelle : la victime n'est pas sollicitée, elle est à l'initiative. Un support de stockage abandonné dans un lieu de passage sera branché par curiosité, et cette curiosité est prévisible. Un logiciel payant proposé gratuitement sera téléchargé et installé volontairement, avec les autorisations que cela suppose. Un contenu convoité — un document, un enregistrement, une série — justifie de désactiver un avertissement de sécurité. Comme l'action vient de la personne, les protections ne sont pas contournées techniquement : elles sont autorisées. La variante dite du quid pro quo échange l'appât contre un service : une assistance informatique offerte, un cadeau contre un questionnaire, un accès contre un renseignement.
Pourquoi ça marche
On se méfie de ce qui nous sollicite, beaucoup moins de ce que l'on a trouvé ou choisi soi-même. La curiosité et l'envie d'une bonne affaire font le reste : la personne agit avant de se demander d'où vient l'objet.
Sur quoi cette attaque s'appuie
Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.
Signaux d'alerte
- Contenu payant ou rare proposé gratuitement, sans explication de la gratuité
- Support de stockage trouvé, reçu par courrier ou remis sans provenance claire
- Installation qui demande de désactiver une protection ou d'ignorer un avertissement
- Contrepartie offerte en échange d'une information ou d'un accès
- Fichier dont l'extension ne correspond pas à ce qu'il prétend être
- Sentiment d'avoir trouvé une bonne affaire, avant toute vérification
Exemple
Exemple fictif — aucune organisation ni adresse réelle
Clé USB trouvée sur le parking de l'entreprise, avec une étiquette manuscrite.
Étiquette : Salaires 2026 — confidentiel
Ce qui le trahit
- Personne n'égare un fichier de salaires sur un parking.
- L'étiquette est faite pour donner envie de regarder.
- Le propriétaire n'est pas identifiable.
Comment vérifier
Posez la question qui manque : pourquoi est-ce gratuit, et qui paie ? Un logiciel a un éditeur et un site officiel, un contenu a un diffuseur, et un support de stockage a un propriétaire identifiable. En l'absence de réponse, l'appât est le produit et vous êtes ce qui est acheté.
Les questions à se poser, dans l'ordre
L'objet ou le fichier vient-il d'une source que vous ne pouvez pas identifier ?
Si oui : Ne le branchez pas et ne l'ouvrez pas : remettez-le au service informatique ou à l'accueil.
Un logiciel ou un contenu payant vous est-il proposé gratuitement ?
Si oui : Passez par le site de l'éditeur, ou renoncez.
Avez-vous branché le support ou lancé le fichier ?
Si oui : Déconnectez l'appareil du réseau et prévenez le service informatique avant toute autre manipulation.
Que faire
Ne branchez jamais un support de stockage dont vous ne connaissez pas l'origine — remettez-le au service concerné plutôt que de l'examiner vous-même. N'installez de logiciel que depuis le site de son éditeur, et ne désactivez jamais une protection pour faire aboutir une installation.
Si c'est déjà arrivé
Déconnectez l'appareil du réseau et faites-le analyser par un outil de sécurité à jour. Depuis un autre appareil sain, changez les mots de passe des comptes sensibles en commençant par la messagerie. Si l'appareil appartient à une organisation, prévenez le service informatique avant toute manipulation : les traces sont utiles.
Pour que ça ne se reproduise pas
- Ne branchez aucun support de stockage dont vous ne connaissez pas le propriétaire.
- Téléchargez les logiciels uniquement depuis le site de leur éditeur.
- Ne désactivez jamais une protection pour faire aboutir une installation.
Les gestes qui déjouent cette attaque
Testez-vous
Une clé USB traîne dans le hall, étiquetée « Salaires 2026 ».
Lancer la simulation « Baiting (appât) »Questions fréquentes
- Brancher une clé USB pour voir ce qu'elle contient est-il risqué ?
- Oui, et davantage qu'il n'y paraît : un support peut se présenter au système comme un clavier et saisir des commandes sans que vous ouvriez le moindre fichier. Regarder le contenu n'est donc pas une précaution suffisante.
- J'ai installé un logiciel gratuit trouvé en ligne, que vérifier ?
- Désinstallez-le, lancez une analyse complète, puis vérifiez ce qui est le plus souvent modifié : extensions du navigateur, programmes lancés au démarrage, et règles de transfert de votre messagerie. Changez ensuite vos mots de passe depuis un autre appareil.
Attaques liées
Sources officielles
Aussi appelée : appât, hameçonnage par appât, quid pro quo, clé USB piégée.
Cette fiche fait partie de la famille Ingénierie sociale. Mise à jour : 2026-09-02.