L’ingénierie sociale désigne l’ensemble des techniques de manipulation psychologique utilisées pour amener une personne à divulguer des informations confidentielles ou à exécuter une action compromettant la sécurité d’un réseau. Contrairement aux attaques exploitant des failles logicielles, ces méthodes ciblent directement les utilisateurs et leurs réflexes de confiance. Les réseaux privés d’entreprise, protégés par des couches techniques solides, restent vulnérables dès qu’un collaborateur installe un logiciel piégé ou transmet un identifiant VPN à un faux technicien.
Faux entretiens d’embauche et VPN piégés : un vecteur récent contre les réseaux privés
Les concurrents traitent souvent l’ingénierie sociale comme un catalogue de techniques classiques (phishing, prétexte, appât). Un angle moins couvert mérite l’attention : l’utilisation de faux processus de recrutement pour infiltrer directement un réseau privé.
Le groupe lié à Sandworm, identifié sous le nom UAC-0145, a mis en place un scénario précis. L’attaquant contacte la cible via une offre d’emploi crédible, conduit un entretien, puis demande à la victime d’installer un client VPN présenté comme obligatoire pour le poste. Ce logiciel, en apparence légitime, crée un tunnel persistant vers l’infrastructure de commande et contrôle de l’attaquant.
Aucune vulnérabilité logicielle n’est exploitée. L’infection repose exclusivement sur la manipulation : la victime installe elle-même l’outil d’accès distant, convaincue qu’il s’agit d’une exigence professionnelle. Une fois le tunnel actif, l’attaquant peut exécuter des commandes à distance sur le poste, puis pivoter vers le réseau privé de l’entreprise.
Ce type de scénario illustre un point technique souvent sous-estimé : un VPN peut devenir le vecteur d’intrusion lui-même quand l’utilisateur est amené à installer une version falsifiée. Les pare-feu et antivirus ne détectent rien d’anormal, puisque le logiciel a été volontairement installé par un compte légitime.
Vishing et deepfakes audio : la voix comme outil de compromission SSO
Le phishing par email reste répandu, mais les attaques vocales (vishing) montent en puissance au point de devenir, dans certaines entreprises de services managés, le premier vecteur de phishing traité en réponse à incident. La raison tient à l’efficacité du canal vocal pour créer un sentiment d’urgence.
Le schéma observé depuis fin 2024 combine deux éléments :
- L’usurpation de l’identité d’un responsable IT ou d’un manager, parfois renforcée par un deepfake audio reproduisant la voix du dirigeant
- Une demande en temps réel de reset MFA, de validation d’une session SSO ou de transmission d’un code d’accès VPN
- L’exploitation immédiate de l’accès obtenu pour entrer dans le réseau privé, avant que la victime ne réalise la supercherie
L’affaire LastPass de 2024 a montré qu’un deepfake vocal imitant la voix du CEO pouvait tromper un employé expérimenté. La qualité des synthèses vocales générées par intelligence artificielle rend la détection par l’oreille humaine de plus en plus difficile.
Sur le plan technique, la compromission d’une session SSO donne à l’attaquant un accès authentifié à l’ensemble des applications connectées au réseau privé. Le vol d’identifiants valides remplace l’exploitation de failles logicielles dans une proportion croissante des incidents analysés.
Identifiants volés et canaux légitimes : pourquoi les défenses périmétriques ne suffisent pas
Les analyses d’incidents récentes convergent sur un constat : les acteurs malveillants privilégient l’usage d’identifiants valides et de canaux légitimes (VPN, applications d’accès distant autorisées) plutôt que l’exploitation de vulnérabilités techniques. Les techniques visant les VPN, qu’il s’agisse de vol d’identifiants, d’abus de sessions ou d’installation d’outils d’accès distant sous couvert de support, apparaissent dans près d’un quart des incidents documentés.
Cette réalité a une conséquence directe sur l’architecture de sécurité des réseaux privés. Un pare-feu ne bloque pas une connexion VPN établie avec des identifiants légitimes. Un système de détection d’intrusion ne signale pas un comportement anormal quand l’utilisateur authentifié effectue des actions qui ressemblent à de l’administration courante.
Les cadres réglementaires européens récents (NIS2 et DORA) imposent désormais aux entreprises concernées de traiter le risque humain comme composante à part entière de la cybersécurité. Ces textes exigent des programmes de sensibilisation documentés et des tests réguliers de résistance à l’ingénierie sociale, pas uniquement des audits techniques.
Réduire l’exposition des réseaux privés aux attaques par manipulation
La protection contre l’ingénierie sociale ne repose pas sur un outil unique. Elle demande une combinaison de mesures techniques et organisationnelles ciblées sur les vecteurs réels d’attaque.
- Vérification systématique par un canal séparé de toute demande de reset MFA ou d’accès VPN, y compris quand la demande semble provenir d’un supérieur hiérarchique
- Restriction de l’installation de logiciels VPN aux seuls packages signés et distribués par l’IT interne, avec blocage de tout client non référencé
- Simulations régulières de vishing et de phishing ciblé, adaptées aux scénarios réels documentés (faux recrutement, faux support technique)
- Segmentation des accès réseau après authentification VPN, pour limiter le périmètre accessible en cas de compromission d’un compte
La segmentation post-authentification reste la mesure la plus sous-déployée. Un utilisateur légitime connecté au VPN n’a pas besoin d’accéder à l’ensemble du réseau privé. Limiter chaque session aux ressources strictement nécessaires réduit considérablement l’impact d’un identifiant volé.
L’ingénierie sociale exploite la confiance et les automatismes, deux éléments qu’aucun logiciel ne corrige seul. La combinaison de contrôles techniques stricts sur les accès VPN et de formations ancrées dans des scénarios concrets (deepfakes vocaux, faux processus de recrutement) reste la seule approche qui adresse les deux faces du problème.