Ingénierie sociale en entreprise : techniques, exemples et protection
En entreprise, l’ingénierie sociale vise vos salariés plutôt que vos systèmes : un faux dirigeant, un faux fournisseur ou un faux technicien obtient un virement, un mot de passe ou un accès en jouant sur l’urgence et la hiérarchie. La parade la plus efficace est une procédure écrite de double vérification pour tout paiement, changement de RIB ou réinitialisation d’accès, appliquée sans exception. Elle doit s’accompagner d’une sensibilisation régulière des équipes et d’une consigne claire : signaler un doute ne coûte jamais rien.
Une seule personne manipulée suffit à faire perdre des dizaines de milliers d’euros ou à ouvrir la porte à un rançongiciel. Voici les techniques les plus utilisées contre les PME françaises et l’organisation à mettre en place pour y résister.
Vous êtes un particulier ? Consultez notre guide sur l’ingénierie sociale au quotidien.
Sommaire
- L’ingénierie sociale en entreprise, de quoi parle-t-on ?
- Les 7 techniques les plus utilisées contre les entreprises
- Les signaux qui doivent alerter vos équipes
- Mettre en place les bonnes procédures
- Sensibiliser et outiller vos salariés
- Un salarié s’est fait piéger : les premières actions
- Questions fréquentes
L’ingénierie sociale en entreprise, de quoi parle-t-on ?
L’ingénierie sociale regroupe les techniques de manipulation qui poussent un salarié à livrer une information, à accorder un accès ou à effectuer un paiement au profit d’un escroc. L’attaquant ne force aucun système : il obtient la clé de la main de quelqu’un qui l’avait légitimement.
Les PME sont des cibles privilégiées. Elles ont rarement des procédures écrites pour les paiements ou les accès, chacun s’y connaît et se fait confiance, et les dirigeants publient beaucoup d’informations sur LinkedIn ou le site de l’entreprise. Un escroc y trouve en quelques minutes l’organigramme, le nom du comptable, les fournisseurs habituels et les déplacements du patron. C’est l’une des raisons pour lesquelles la cybersécurité des PME et ETI commence par l’humain.
Les 7 techniques les plus utilisées contre les entreprises
L’hameçonnage ciblé
Contrairement au courriel envoyé en masse, l’hameçonnage ciblé (spear phishing) s’adresse à une personne précise avec un message sur mesure. Marie, assistante administrative, reçoit un courriel qui semble venir de son responsable financier et lui demande de valider un paiement urgent dans un portail. La page imite parfaitement l’outil interne et récupère ses identifiants. Notre article sur l’attaque par phishing en entreprise détaille les variantes.
La fraude au président
Un comptable reçoit un appel ou un courriel du « dirigeant », en déplacement, qui lui demande un virement confidentiel et urgent pour une acquisition ou un contrôle fiscal. L’escroc insiste sur le secret et flatte la confiance qu’il accorde à son interlocuteur. Le scénario complet et les parades sont décrits dans notre fiche sur l’arnaque au patron.
Le faux fournisseur et le changement de RIB
Un fournisseur habituel annonce par courriel un changement de coordonnées bancaires, souvent depuis une adresse quasi identique ou depuis sa vraie boîte piratée. Les factures suivantes partent sur le compte de l’escroc et la fraude n’est découverte qu’à la relance du vrai fournisseur. Voir notre article sur la cyberarnaque au RIB substitué.
L’appel du faux service informatique
Jean, technicien informatique, reçoit l’appel d’un prétendu cadre qui a oublié son mot de passe juste avant une réunion importante. Sous la pression, il le réinitialise et communique le nouveau. À l’inverse, un faux prestataire peut appeler un salarié pour proposer une « mise à jour gratuite » et lui faire installer un logiciel de prise en main à distance.
La voix ou la vidéo truquée par IA
L’intelligence artificielle permet désormais d’imiter la voix d’un dirigeant à partir d’une interview ou d’une vidéo publiée en ligne. En 2024, un salarié du groupe d’ingénierie Arup à Hong Kong a ainsi transféré environ 25 millions de dollars après une visioconférence où tous ses « collègues » étaient des imitations générées par IA. Une voix familière ne suffit plus à authentifier une demande.
L’appât physique
Sophie trouve une clé USB sur le parking, marquée « Salaires 2026 ». Curieuse, elle la branche sur son poste et installe sans le savoir un logiciel malveillant. Le même principe s’applique aux faux QR codes affichés dans les locaux ou envoyés par courrier, que nous décrivons dans notre article sur les arnaques au QR code.
L’intrusion physique
Un individu en tenue de livreur ou de technicien suit un salarié badgé et entre dans les locaux en prétextant avoir oublié son badge. Une fois à l’intérieur, il peut brancher un appareil sur le réseau, photographier des documents ou voler un ordinateur portable.
Les signaux qui doivent alerter vos équipes
| Signal | Exemple | Réaction attendue |
|---|---|---|
| Demande urgente et confidentielle | « Ne prévenez personne, c’est sensible » | Prévenir son responsable malgré la consigne |
| Changement de coordonnées bancaires | Nouveau RIB d’un fournisseur par courriel | Rappeler le fournisseur sur un numéro déjà connu |
| Contournement de la procédure | « Exceptionnellement, validez sans la signature habituelle » | Refuser et appliquer la procédure |
| Adresse d’expéditeur légèrement différente | Une lettre changée dans le nom de domaine | Vérifier l’adresse complète avant de répondre |
| Demande d’identifiants par téléphone | Un « technicien » réclame un mot de passe | Raccrocher et rappeler le support interne |
| Support inconnu | Clé USB trouvée, QR code inattendu | Ne pas brancher, ne pas scanner, remettre à l’informatique |
Mettre en place les bonnes procédures
La mesure la plus rentable ne coûte rien : rédiger une règle de rappel de contrôle. Tout virement inhabituel, tout changement de RIB et toute réinitialisation d’accès demandés par courriel ou téléphone doivent être confirmés par un appel sortant vers un numéro déjà connu, jamais vers celui fourni dans le message.
Ajoutez une double validation au delà d’un montant fixé, par exemple deux signatures pour tout virement supérieur à 5 000 euros. Le comptable peut alors répondre sans gêne au faux dirigeant que la procédure l’empêche d’agir seul.
Limitez les droits d’accès au strict nécessaire et formalisez la réinitialisation des mots de passe : le support ne communique jamais un nouveau mot de passe par téléphone sans vérifier l’identité de l’appelant. Ces règles s’intègrent dans une stratégie de cyberdéfense pour l’entreprise ou la collectivité, avec un référent identifié.
Sensibiliser et outiller vos salariés
Les procédures ne fonctionnent que si chacun les connaît. Le dispositif SensCyber de Cybermalveillance.gouv.fr propose une formation gratuite en ligne pour tous les salariés, présentée dans notre article sur SensCyber, et d’autres ressources de sensibilisation gratuites complètent ce socle.
Les simulations d’hameçonnage, où l’entreprise envoie elle même de faux courriels piégés à ses équipes, permettent de mesurer les progrès sans sanction. Côté technique, un filtrage de messagerie bloque une grande partie des tentatives avant qu’elles n’arrivent : notre comparatif des solutions de protection mail pour les entreprises et notre sélection d’outils de cybersécurité en entreprise vous aident à choisir.
Pour vérifier la résistance réelle de vos équipes, vous pouvez faire appel à un pentester qui mènera un test d’ingénierie sociale encadré par contrat : faux appels, faux courriels, tentative d’entrée dans les locaux.
Un salarié s’est fait piéger : les premières actions
Ne cherchez pas de coupable dans l’immédiat, cherchez la vitesse. En cas de virement frauduleux, appelez votre banque sans attendre pour demander le rappel des fonds : plus la demande est rapide, plus les chances de récupérer l’argent sont réelles.
Si des identifiants ont été donnés ou un logiciel installé, isolez le poste du réseau, changez les mots de passe concernés et activez la double authentification. Signalez les faits sur 17Cyber, qui oriente aussi les entreprises vers des prestataires de proximité, puis déposez plainte. Prévenez enfin votre assureur dans les délais prévus au contrat, comme nous l’expliquons dans notre guide pour choisir une assurance cyber en entreprise.
Questions fréquentes
Peut-on licencier un salarié victime d’une fraude au président ?
Pas automatiquement. Être victime d’une manipulation n’est pas en soi une faute. La question se pose surtout lorsque le salarié a ignoré une procédure écrite qu’il connaissait. C’est une raison de plus pour formaliser vos règles de paiement. En cas de litige, consultez un avocat en droit du travail.
La banque rembourse-t-elle un virement frauduleux ?
Un virement ordonné par l’entreprise elle même est considéré comme autorisé, la banque n’est donc pas tenue de le rembourser. Elle peut en revanche tenter un rappel des fonds auprès de la banque destinataire, et sa responsabilité peut être recherchée si elle a manqué à son devoir de vigilance face à une anomalie évidente.
L’assurance cyber couvre-t-elle l’ingénierie sociale ?
Pas toujours. De nombreux contrats excluent la fraude au virement ou la proposent en option, parfois dans une assurance fraude distincte. Vérifiez la clause précise et les conditions exigées, comme l’existence d’une procédure de double validation.
Faut-il former tous les salariés ou seulement la comptabilité ?
Tous les salariés. La comptabilité est la cible des fraudes au virement, mais l’accueil, les ressources humaines, le support informatique et la direction sont visés par les autres techniques. Une sensibilisation courte pour tous, complétée d’un module renforcé pour les fonctions exposées, donne les meilleurs résultats.
Sources
- Cybermalveillance.gouv.fr, fiches sur la fraude au président et l’hameçonnage
- ANSSI, guide d’hygiène informatique
- Banque de France, prévention des fraudes au virement
- Ministère de l’Intérieur, 17Cyber et dépôt de plainte
- CNN, février 2024, cas Arup à Hong Kong
