Le facteur humain : pourquoi c'est l'utilisateur qu'on attaque

Dans les années 2000, les attaquants exploitaient massivement les défauts techniques : failles des systèmes d'exploitation, des navigateurs, des serveurs web. Les éditeurs ont progressivement durci leurs produits — mises à jour automatiques, cloisonnement des processus, authentification multifacteur activée par défaut sur les services en ligne.

Le résultat n'est pas que les failles ont disparu — le chapitre précédent montre le contraire — mais que le coût d'une attaque purement technique a fortement augmenté, tandis que le coût d'une attaque visant l'utilisateur est resté proche de zéro. Envoyer cent mille emails ne coûte quasiment rien ; les rédiger dans un français impeccable non plus depuis la généralisation des modèles de langage. Il suffit qu'une poignée de destinataires répondent pour que l'opération soit rentable.

C'est cette asymétrie économique, et non une faiblesse supposée des utilisateurs, qui explique le déplacement des attaques vers l'ingénierie sociale. Un salarié qui se fait piéger par un message bien construit n'est pas « le maillon faible » : il est la cible d'une opération conçue précisément pour fonctionner sur n'importe qui.

L'ingénierie sociale s'appuie sur des mécanismes de décision rapide que nous utilisons tous, et qui sont utiles dans la vie ordinaire : sans eux, il faudrait analyser rationnellement chaque email reçu. Les principaux ressorts mobilisés :

• L'autorité : on discute moins une demande venant d'un dirigeant, d'un service technique ou d'une administration.
• L'urgence : la pression temporelle court-circuite l'examen. « Avant la fin de la matinée » est une consigne, pas une information.
• La réciprocité : on rend volontiers service à qui nous en a rendu un, même très modestement.
• La preuve sociale : « vos collègues l'ont déjà fait » réduit l'hésitation, même quand le chiffre est inventé.
• La sympathie : on accorde davantage à quelqu'un qui nous ressemble ou partage nos centres d'intérêt.
• L'engagement : avoir accepté une petite chose rend la suivante plus difficile à refuser — la technique dite du « pied dans la porte ».

Ces six leviers sont ceux formalisés par le psychologue Robert Cialdini dans Influence: The Psychology of Persuasion (1984), ouvrage de référence qu'on retrouve derrière l'essentiel des formations à l'ingénierie sociale. Ils sont détaillés, exemples à l'appui, au chapitre 2.3.

Ces mécanismes ne sont pas des défauts à corriger. Ils deviennent des vulnérabilités uniquement quand quelqu'un les active délibérément. En avoir conscience suffit souvent à reprendre la main : quand une demande coche plusieurs cases à la fois — autorité et urgence et confidentialité — c'est le signal qu'il faut ralentir.

Au-delà de l'hameçonnage, cinq situations reviennent constamment dans les incidents traités :

La question mérite d'être posée sans complaisance : former les utilisateurs, est-ce que ça marche ? La mesure la plus documentée est le taux de clic sur des campagnes d'hameçonnage simulées, suivi avant et après un programme de sensibilisation.

Le référentiel le plus large publié sur ce point porte sur plusieurs millions d'utilisateurs : le taux de clic moyen avant tout programme y est de l'ordre de 33 %, il descend autour de 4 % après douze mois de sensibilisation et de simulations répétées, avec l'essentiel du gain acquis dès les trois premiers mois.

Le second effet, moins mesurable mais au moins aussi important, est le taux de signalement. Un utilisateur formé ne se contente pas de ne pas cliquer : il prévient, ce qui permet de bloquer la campagne pour tous les autres. C'est précisément ce que traite le module 5.

Une organisation où la sécurité fonctionne se reconnaît à des signes concrets, indépendamment des outils déployés :

• Le signalement n'est pas puni. Quelqu'un qui annonce avoir cliqué par erreur est remercié, pas convoqué. C'est la condition pour que les incidents remontent vite.
• La direction s'applique les règles. Une exception accordée au comité de direction est un message reçu par tout le monde.
• L'information circule. Alerte sur une campagne en cours, retour sur un incident évité : le sujet est vivant, pas annuel.
• La sensibilisation est dans l'accueil. Pas une ligne du livret, une séquence du premier jour.
• Les procédures sont éprouvées. Exercices de crise pour les équipes techniques et la direction, simulations d'hameçonnage suivies d'un débriefing pédagogique et non punitif.

Ces marqueurs recoupent ce que demandent l'ANSSI dans ses guides et l'ISO/IEC 27001 dans son exigence de sensibilisation (clause 7.3). Ils n'exigent pas de budget : ils relèvent d'une décision de management.

1. Avant de cliquer : survoler le lien, lire l'adresse réelle, vérifier qu'elle correspond à ce qui est annoncé. En cas de doute, on ne clique pas.
2. Avant de virer, partager ou divulguer : si la demande sort de l'ordinaire, vérifier par un canal indépendant — un numéro de téléphone connu, jamais celui qui figure dans le message.
3. Pour chaque compte : un mot de passe unique, généré par un gestionnaire, et l'authentification multifacteur activée (module 3).
4. En cas de doute : signaler tout de suite, sans attendre d'être sûr. Un faux positif ne coûte rien ; un signalement tardif coûte cher.
5. Au quotidien : verrouiller son poste dès qu'on s'en éloigne, ne pas laisser de document sensible visible, ne pas traiter de sujets confidentiels dans un lieu public.