Reconnais les mécanismes d'ingénierie sociale et de phishing

L’idée reçue

« Un message sans faute et avec le bon logo est légitime. »

Une identité visuelle, un nom d’affichage ou un ton professionnel peuvent être copiés. La confiance vient du contexte, du canal et d’une vérification indépendante.

01Comprends le mécanisme

L’ingénierie sociale cherche à provoquer une action avant que la personne ne vérifie.

Créer une apparence de confiance
→ introduire urgence, autorité, peur ou opportunité
→ demander une action inhabituelle
→ empêcher ou décourager la vérification

Le support peut changer : email, SMS, appel, messagerie instantanée, QR code, notification MFA ou réseau social.

02Sépare l’identité affichée de l’identité vérifiée

Nom affiché : « Support SORIA »
Adresse réelle : domaine différent
Lien visible : portail officiel
Destination réelle : autre domaine
Contexte : aucune opération annoncée
Demande : saisir un mot de passe immédiatement

Le nom affiché n’est qu’une donnée du message. Il ne prouve pas l’origine.

03Repère les familles de signaux

Signal

Question

Réflexe

Urgence

Pourquoi faut-il agir avant de vérifier ?

ralentir

Secret demandé

le service demanderait-il ce secret par ce canal ?

ne rien transmettre

Paiement inhabituel

la procédure normale est-elle respectée ?

contre-appel connu

Lien ou QR code

qui contrôle réellement la destination ?

ne pas ouvrir ni scanner

Pièce jointe inattendue

l’envoi était-il attendu et confirmé ?

ne pas l’ouvrir

Demande push

ai-je initié cette connexion ?

refuser et signaler

Un seul signal ne suffit pas toujours. Plusieurs signaux cohérents imposent une action prudente.

04Observe les messages synthétiques

lab=/tmp/soria-cyber-threats-identity-$USER
bash module2-cyber-threats-identity.sh setup "$lab"
bash module2-cyber-threats-identity.sh run "$lab"
column -s, -t "$lab/output/message-triage.csv"

Le lab n’ouvre rien. Il utilise exclusivement des domaines .invalid.

MSG-001 → PHISHING_SUSPECTED → DO_NOT_INTERACT_REPORT
MSG-005 → PHISHING_SUSPECTED → DO_NOT_SCAN_REPORT_VERIFY
MSG-007 → AUTH_PROMPT_ABUSE → DENY_AND_REPORT

05Vérifie par un canal indépendant

Message reçu par email
≠ répondre à cet email

SMS avec numéro de téléphone
≠ appeler ce numéro

Demande du dirigeant
→ appeler le numéro déjà connu dans l'annuaire interne

Alerte de banque
→ ouvrir l'application connue ou utiliser le numéro officiel déjà enregistré

Le canal de vérification ne doit pas être fourni par la sollicitation suspecte.

06Ne transforme pas le score en verdict automatique

Le lab additionne des signaux pour apprendre à prioriser. Dans la réalité :

score élevé → prudence et signalement
score faible → vérification normale
score seul → jamais une preuve judiciaire ou technique définitive

Un message légitime peut être inhabituel. Un message malveillant peut être très bien rédigé.

07Conserve la situation sans propager le risque

À conserver
- message original
- heure et canal
- identité affichée
- adresse ou numéro
- action déjà réalisée
- capture si la procédure interne l'autorise

À éviter
- transférer la pièce jointe à plusieurs personnes
- cliquer pour « tester »
- répondre à l'expéditeur
- scanner le QR code

Mission

Trie huit sollicitations

Exécute le lab, justifie les six messages nécessitant prudence et explique pourquoi les deux messages de routine doivent tout de même être vérifiés par leur contexte.

✓À retenir

Le bon réflexe n’est pas de devenir détective dans le canal suspect. Il consiste à ralentir, ne pas interagir, vérifier par un moyen connu et signaler avec les éléments disponibles.