Comment les cybercriminels exploitent-ils la confiance numérique des entreprises ?

Usurpation d’identité, hameçonnage, fausses factures, rançongiciels, la cybercriminalité progresse à mesure que les entreprises accélèrent leur transformation numérique, et elle prospère surtout là où la confiance est la plus forte. Messageries professionnelles, outils collaboratifs, achats en ligne, support informatique externalisé, tout repose sur des réflexes devenus automatiques : cliquer, répondre, valider, payer. Or, c’est précisément cette mécanique du quotidien que les attaquants détournent, en misant moins sur la prouesse technique que sur l’erreur humaine, la précipitation et l’illusion du “déjà connu”.

Le piège : se faire passer pour “le bon interlocuteur”

Un mail qui ressemble à s’y méprendre à celui du dirigeant, une demande “urgente” du service comptable, une notification de Microsoft 365 ou de Google Workspace, un message d’un prestataire habituel, la plupart des attaques efficaces commencent par une imitation crédible. Les cybercriminels l’ont compris : il est souvent plus rentable de copier les codes d’une organisation que d’attaquer frontalement ses défenses. Cette approche porte un nom, le “social engineering”, et elle s’appuie sur une réalité documentée : selon le Verizon Data Breach Investigations Report (DBIR) 2024, l’humain reste au cœur des compromissions, et l’ingénierie sociale figure parmi les moteurs récurrents des incidents, au même titre que l’exploitation d’identifiants volés et la fraude.

La confiance numérique se construit par couches, adresse d’expéditeur familière, signature cohérente, ton habituel, pièces jointes au bon format, et parfois même un historique de conversation récupéré après compromission d’une boîte mail. Dans les attaques dites BEC (Business Email Compromise), l’objectif n’est pas de “casser” un système, mais de pousser une entreprise à agir contre ses propres intérêts, en validant un virement, en changeant un RIB, en partageant un accès. Le FBI estime depuis plusieurs années que ces fraudes pèsent des milliards de dollars à l’échelle mondiale, et en France les services d’enquête et les assureurs observent une hausse continue des tentatives, y compris contre des structures modestes, parce que les processus y sont souvent moins formalisés et les contrôles croisés plus rares.

Ce qui rend ces attaques redoutables, c’est leur capacité à épouser le rythme de l’entreprise. Les fraudeurs savent qu’un vendredi soir, une veille de départ en congés, ou la période de clôture comptable, sont des fenêtres où l’on vérifie moins. Ils exploitent aussi les nouveaux usages : un SMS au lieu d’un mail, un message Teams ou Slack, un appel téléphonique simulant un support technique, et désormais des voix de synthèse capables d’imiter un dirigeant. La technologie n’est plus seulement un outil de piratage, elle devient un outil de mise en scène, et cette mise en scène vise un point précis : votre réflexe de confiance.

Pourquoi le téléphone redevient une faille majeure

On croyait le numéro de téléphone relégué au second plan, remplacé par les mots de passe complexes et les applications d’authentification, il revient pourtant au centre de nombreuses arnaques. Parce qu’il sert d’identifiant, de canal de récupération de compte, et parfois de second facteur. Dans la pratique, un numéro suffit souvent à lancer une chaîne d’actions : tenter une réinitialisation de mot de passe, envoyer un SMS de “vérification”, déclencher une campagne de smishing, ou orchestrer un SIM swapping, c’est-à-dire une prise de contrôle de la ligne via une fraude auprès de l’opérateur. Le résultat est connu : codes à usage unique interceptés, comptes compromis, et accès escaladés vers des outils sensibles.

Les chiffres confirment cette bascule. Dans son DBIR 2024, Verizon souligne le poids persistant des identifiants volés et l’importance des vecteurs d’accès liés à l’authentification, et si le rapport ne se limite pas au SMS, il illustre une tendance claire : l’attaque se concentre sur le parcours de connexion plutôt que sur l’infrastructure. Les entreprises ont multiplié les services en ligne, et chacune de ces portes a une procédure de secours, souvent basée sur un numéro. Pour les attaquants, il ne s’agit plus seulement de tromper un salarié, mais de reconstituer, morceau par morceau, l’identité numérique de la cible, numéro de mobile, fonction, organigramme, habitudes, puis de frapper au moment le plus plausible.

Cette exposition ne concerne pas uniquement les grandes entreprises. Les dirigeants de PME, les indépendants, les équipes commerciales, et même les services RH, laissent des traces partout, sur des annonces, des signatures d’e-mails, des formulaires, des marketplaces, ou des réseaux sociaux. Un numéro publié pour être joint “rapidement” devient une piste d’entrée, d’abord pour le harcèlement et la fraude, ensuite pour des attaques plus structurées. À ce titre, les risques associés au partage du numéro dans des contextes d’annonces en ligne sont régulièrement rappelés, et des ressources existent pour comprendre les scénarios d’escroquerie et les bons réflexes, comme DNS OK, qui détaille les dangers liés à l’exposition du numéro et les méthodes utilisées pour en tirer parti.

Le cloud a simplifié le travail… et l’attaque

La généralisation du cloud a fait gagner du temps, réduit certains coûts, et permis de travailler partout, mais elle a aussi standardisé les environnements, donc les attaques. Les cybercriminels n’ont plus besoin d’étudier une infrastructure sur-mesure : Microsoft 365, Google Workspace, Salesforce, Dropbox, ou les principaux outils de comptabilité en ligne, se retrouvent dans des milliers d’organisations. Cette homogénéité a un effet mécanique : une campagne de phishing bien conçue est réutilisable à grande échelle, et elle vise des écrans familiers, pages de connexion copiées, pop-up d’expiration de session, alertes de sécurité simulées. Là encore, la confiance est l’arme principale : si l’interface “ressemble”, on entre ses identifiants.

Le problème ne s’arrête pas au vol d’un mot de passe. Une fois un compte cloud compromis, l’attaquant se place au cœur des flux : lecture des e-mails, recherche de factures, observation des process, création de règles de transfert automatiques, et parfois ajout d’une application tierce malveillante via OAuth. Ce dernier point est souvent sous-estimé : l’utilisateur ne “donne” pas son mot de passe, il autorise une application, et l’autorisation peut suffire à aspirer des données ou à maintenir un accès discret. Les éditeurs de sécurité et les CERT rappellent régulièrement que les environnements cloud exigent une hygiène spécifique, revue des accès, contrôle des applications, durcissement des règles de partage, et supervision des connexions inhabituelles.

Cette industrialisation touche aussi les rançongiciels. Le schéma le plus fréquent, observé par de nombreux acteurs du secteur, est une intrusion initiale via identifiants volés, puis un mouvement latéral, ensuite l’exfiltration, et enfin le chiffrement. Les attaquants jouent sur une autre forme de confiance : celle que l’entreprise place dans la continuité de ses opérations. Plus l’activité dépend d’outils numériques, plus l’arrêt coûte cher, et plus la pression à payer monte. D’où l’importance, martelée par l’ANSSI dans ses recommandations, de segmenter les accès, de sauvegarder hors ligne ou de manière immuable, et de tester régulièrement la restauration, car la confiance dans une sauvegarde non vérifiée se transforme souvent en mauvaise surprise le jour de la crise.

Les réflexes qui font la différence, dès demain matin

Bonne nouvelle : si la confiance est la faille la plus exploitée, elle peut aussi devenir un levier de défense, à condition d’être encadrée par des réflexes simples et des règles non négociables. La première, c’est la vérification hors canal. Un changement de RIB, une demande de virement, un partage de données sensibles, même s’ils viennent d’un “bon” expéditeur, doivent déclencher un contrôle via un moyen indépendant : appel sur un numéro déjà connu, validation à deux personnes, ou ticket interne. Ce n’est pas une question de paranoïa, c’est une question de procédure, et les entreprises qui s’en sortent le mieux sont souvent celles qui ont institutionnalisé ces contrôles, sans culpabiliser les équipes.

La deuxième, c’est l’authentification forte, mais pas n’importe laquelle. Les SMS restent mieux que rien, toutefois ils exposent à des risques spécifiques, SIM swapping, interception, ingénierie sociale auprès des opérateurs. Les spécialistes recommandent de privilégier les applications d’authentification, et encore mieux, les clés de sécurité matérielles (FIDO2) pour les comptes les plus critiques, direction, finance, IT, RH. La troisième, c’est l’hygiène des accès : mots de passe uniques via gestionnaire, suppression des comptes dormants, moindre privilège, revue périodique des droits, et attention aux redirections de messagerie, qui sont un signe classique de compromission.

Enfin, la culture interne compte autant que les outils. Une sensibilisation efficace n’est pas un module annuel oublié, c’est un entraînement réaliste, avec des simulations de phishing, des retours d’expérience, et des consignes claires sur “quoi faire” quand on doute. Il faut aussi préparer l’après : qui appeler, comment isoler un poste, comment geler un virement, comment documenter. Les organisations qui disposent d’un plan de réponse à incident, même simple, gagnent un temps précieux. Et dans une cyberattaque, quelques minutes peuvent éviter des semaines d’arrêt, des données perdues, et une confiance client abîmée.

Dernière ligne droite : budget, aides, organisation

Avant d’investir, cartographiez vos risques, puis priorisez : messagerie, comptes finance, sauvegardes, et accès distants. Prévoyez un budget formation, ainsi qu’un audit ou un test d’intrusion ciblé. Les PME peuvent aussi se renseigner sur les dispositifs d’accompagnement publics et sectoriels, et réserver dès maintenant un créneau de revue des accès avec leur prestataire IT.