Ingénierie sociale
Les attaques qui visent la personne plutôt que la machine : un message ou un appel vous pousse à agir vous-même contre votre intérêt.
Ce que ces attaques ont en commun
Aucune de ces techniques n'exploite une faille logicielle. Elles exploitent une réaction humaine normale — l'urgence, le respect de l'autorité, l'envie d'aider — et c'est la victime qui exécute l'action. La défense est donc la même partout : ralentir, et vérifier par un canal que l'on a choisi soi-même.
Techniques de cette catégorie
- Arnaque sentimentaleUne relation qui se construit pendant des semaines en ligne, puis une première demande d'argent présentée comme exceptionnelle. La rencontre est toujours repoussée, et les demandes se répètent.Ce que cherche l'attaquant : obtenir un paiement · Canal principal : Réseaux sociaux
- Baiting (appât)On vous offre quelque chose que vous voulez — un fichier, un logiciel payant devenu gratuit, une clé USB trouvée, un cadeau contre un questionnaire. C'est vous qui allez le chercher, et c'est ce qui rend l'attaque efficace.Ce que cherche l'attaquant : prendre le contrôle d'un appareil · Canal principal : Pièce jointe
- Faux agent administratifUn appel ou un message se présentant comme les impôts, la sécurité sociale, la police ou un service public. L'autorité invoquée pousse à répondre vite, et à ne pas demander de vérification.Ce que cherche l'attaquant : obtenir un paiement · Canal principal : Téléphone
- Faux support techniqueUne alerte plein écran annonce que votre ordinateur est infecté et affiche un numéro à appeler. Au bout du fil, un faux technicien vous fait installer un logiciel qui lui donne la main sur votre machine.Ce que cherche l'attaquant : prendre le contrôle d'un appareil · Canal principal : Téléphone
- Offre d'emploi frauduleuseUne offre de travail bien payée, à distance, avec un recrutement anormalement rapide et sans entretien vidéo. Ce qui est recruté n'est pas votre travail : ce sont vos documents d'identité, votre compte bancaire, ou votre argent.Ce que cherche l'attaquant : collecter des données personnelles · Canal principal : Réseaux sociaux
- Phishing (hameçonnage)Un email qui a l'air de venir de votre banque, des impôts ou d'un service que vous utilisez vous demande de vous connecter. Le lien mène à une copie du site, et ce que vous y tapez part chez l'escroc.Ce que cherche l'attaquant : voler des identifiants · Canal principal : Email
- Prétexting (scénario fabriqué)L'attaquant se construit d'abord un rôle crédible — nouveau prestataire, stagiaire, technicien, collègue d'un autre service — et ne demande rien avant que ce rôle soit accepté. La demande, quand elle vient, paraît alors normale.Ce que cherche l'attaquant : collecter des données personnelles · Canal principal : Téléphone
- Smishing (hameçonnage par SMS)Le même piège que l'hameçonnage, mais par SMS. Le message paraît venir de votre banque et le lien mène à une fausse page. Sur un téléphone, l'adresse est tronquée : c'est ce qui rend le SMS plus efficace qu'un email.Ce que cherche l'attaquant : voler des identifiants · Canal principal : SMS
- Usurpation d'identitéQuelqu'un se fait passer pour une personne ou un organisme que vous connaissez, le temps d'un échange, afin d'obtenir de vous quelque chose que vous n'accorderiez pas à un inconnu.Ce que cherche l'attaquant : collecter des données personnelles · Canal principal : Email
- Usurpation d'un proche par messagerieUn message d'un numéro inconnu : « c'est moi, j'ai changé de numéro ». Suit une facture urgente à régler à sa place. La personne refuse toujours d'appeler, et pour cause : ce n'est pas votre proche.Ce que cherche l'attaquant : obtenir un paiement · Canal principal : Messagerie instantanée
- Vishing (hameçonnage par téléphone)Le hameçonnage par la voix. Rien n'est écrit, rien ne peut être relu, et l'interlocuteur avance à son rythme pendant que vous devez répondre au vôtre. C'est ce déséquilibre qui fait tout.Ce que cherche l'attaquant : voler des identifiants · Canal principal : Téléphone
Comment les distinguer
Ces attaques de la famille sont souvent confondues. Le critère qui les sépare :
Le smishing n'est pas une autre arnaque : c'est l'hameçonnage par SMS. Ce qui change, c'est ce que vous pouvez vérifier sur un téléphone.
- Phishing (hameçonnage)
- Le principe : un message qui imite un expéditeur légitime pour obtenir vos identifiants ou vos données bancaires, le plus souvent par email.
- Smishing (hameçonnage par SMS)
- La même méthode par SMS, sur un écran où l'adresse du lien s'affiche souvent tronquée.
Un appel n'a pas de lien à inspecter : la seule vérification possible est de raccrocher et de rappeler l'organisme par un numéro que vous connaissez déjà.
- Phishing (hameçonnage)
- Le principe, le plus souvent par écrit : un message, un lien, une page à inspecter.
- Vishing (hameçonnage par téléphone)
- La même méthode à l'oral : rien n'est écrit, rien ne peut être relu, et l'interlocuteur impose son rythme.
Les ressorts qu'elles exploitent
Nombre d'attaques de la famille, sur 11, qui s'appuient sur chaque levier psychologique.
- L'urgence7 sur 11
- L'autorité7 sur 11
- La confiance5 sur 11
- La peur4 sur 11
- La pression sociale3 sur 11
- La récompense2 sur 11
- L'appât du gain2 sur 11
- La curiosité1 sur 11
Ce qu'elles cherchent à obtenir
- Obtenir un paiement3 sur 11
- Collecter des données personnelles3 sur 11
- Voler des identifiants3 sur 11
- Prendre le contrôle d'un appareil2 sur 11
Si c'est déjà arrivé
Les gestes dépendent de ce que vous avez fait ou donné.
- L'assistant « J'ai cliqué » : les gestes dans l'ordre, selon votre situation
- Vérifier un lien avant de cliquer
- Vérifier à qui vous parlez vraiment
- Comment un mot de passe est réellement volé
- Que faire dans l'heure qui suit un paiement frauduleux
- J'ai saisi mon mot de passe sur un faux site : que faire
- J'ai donné mes coordonnées bancaires ou un code : que faire
- J'ai laissé quelqu'un prendre la main sur mon appareil : que faire
- La checklist d'urgence, à imprimer
S'entraîner sur ces attaques
- Simulation : Arnaque sentimentaleAprès trois mois d'échanges quotidiens, une première demande d'argent arrive.
- Simulation : Baiting (appât)Une clé USB traîne dans le hall, étiquetée « Salaires 2026 ».
- Simulation : Faux agent administratifUn avis de régularisation, avec un numéro de dossier et un délai de 48 heures.
- Simulation : Faux support techniqueUne alerte plein écran annonce une infection et affiche un numéro d'assistance.
- Simulation : Offre d'emploi frauduleusePoste accepté sans entretien. Il ne reste qu'un dossier à compléter.
- Simulation : Phishing (hameçonnage)Un email soigné vous demande de « revalider » votre accès avant la fermeture de votre compte.
- Simulation : Prétexting (scénario fabriqué)Troisième échange courtois avec un auditeur. Cette fois il demande l'annuaire.
- Simulation : Smishing (hameçonnage par SMS)Un SMS annonce que votre carte est bloquée et vous laisse trente minutes pour réagir.
- Simulation : Usurpation d'un proche par messagerie« C'est moi, j'ai changé de numéro » — suivi d'une facture à régler d'urgence.
- Simulation : Vishing (hameçonnage par téléphone)Un conseiller du service fraude vous appelle. Il ne demande aucun mot de passe.
Autres catégories
- Attaques de sites et navigateurs
- Fraudes financières
- Identifiants et comptes
- Logiciels malveillants
- Téléphones et objets connectés
- Réseaux et Wi-Fi
- Données et identité numérique
- IA et contenus synthétiques
- Chantage, harcèlement et atteintes à la personne
Retrouvez l'ensemble des techniques documentées dans l'encyclopédie des attaques, ou entraînez-vous directement avec les simulations disponibles.