Ingénierie sociale : définition, techniques et exemples types

L'ingénierie sociale est l'art de manipuler une personne pour obtenir d'elle une information, un accès ou une action qu'elle n'accorderait pas à froid. L'attaquant ne casse pas un système : il convainc quelqu'un de lui ouvrir la porte. Cela passe par un e-mail, un SMS, un appel, ou une visite en personne.

Cet article donne la définition, les principales techniques, des exemples types, les leviers psychologiques à connaître, les signes qui alertent et la façon d'entraîner une équipe. Il prolonge notre dossier sur la sensibilisation cybersécurité et l'entraînement au vishing.

Ingénierie sociale : définition

Le NIST, l'organisme américain de normalisation, la définit comme l'acte de tromper une personne pour qu'elle révèle des informations sensibles, obtienne un accès non autorisé ou commette une fraude, en gagnant sa confiance. La CISA, l'agence américaine de cybersécurité, parle d'une attaque où l'auteur utilise l'interaction humaine pour obtenir ou compromettre des informations sur une organisation.

L'expression anglaise est social engineering. Le mot « ingénierie » prête à confusion : il n'y a rien de technique dans la cible. Ce qui est visé, c'est la décision d'un humain, prise vite, sous pression, avec de bonnes intentions.

C'est ce qui rend ces attaques efficaces. Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, plus de 500 000 demandes d'assistance ont été enregistrées, en hausse de 20 % par rapport à 2024. Un pare-feu ne protège pas d'un salarié qui dicte un code de bonne foi.

Les principales techniques d'ingénierie sociale

Les techniques varient par le canal et par le prétexte. Le principe reste le même : fabriquer une situation où la personne obéit.

• Le pretexting (prétexte) : l'attaquant invente un rôle et un scénario crédibles, par exemple un auditeur, un fournisseur ou un nouveau collègue, pour obtenir des informations.
• Le phishing (hameçonnage) : un e-mail ou un faux site qui imite un organisme de confiance pour récupérer des identifiants ou faire cliquer. Notre article sur la définition du phishing détaille ce cas.
• Le vishing : la même manœuvre par la voix, au téléphone. Voir la définition du vishing. La CISA note que le numéro affiché peut être usurpé.
• Le smishing : le phishing par SMS, avec un lien ou un numéro à rappeler.
• Le baiting (appât) : l'attaquant laisse un appât, comme une clé USB « perdue » dans un parking ou une offre trop belle, pour pousser la personne à l'utiliser.
• Le tailgating (filature) : quelqu'un entre dans un bâtiment en suivant un salarié qui tient la porte, souvent un colis ou un café à la main.
• Le quid pro quo : un « service » contre une information. Un faux technicien propose de résoudre un problème informatique en échange d'un mot de passe.
• L'usurpation d'identité d'un service d'assistance ou d'un dirigeant : l'attaquant se fait passer pour le help desk, la direction ou la banque. Voir la fraude au président et l'ingénierie sociale visant le service desk.

Exemples d'ingénierie sociale (scénarios types)

Les trois situations ci-dessous sont des scénarios illustratifs, construits pour l'article. Ils ne décrivent pas des cas réels.

Le faux technicien du support

Imaginons un appel à une assistante de direction. Un homme se présente comme le support informatique et signale une alerte sur son poste. Pour « corriger » le problème, il lui demande son mot de passe, puis le code reçu par SMS. Le prétexte est plausible, le service existe vraiment, et l'aide est offerte sans qu'elle l'ait demandée.

Le faux dirigeant

Un gestionnaire de trésorerie reçoit un message puis un appel de la « directrice financière ». Une acquisition confidentielle exige un virement dans l'heure, et il ne doit en parler à personne. Chaque élément pousse à ne pas vérifier : l'autorité, l'urgence, le secret.

Le faux conseiller bancaire

Un responsable de PME est appelé par un prétendu conseiller de sa banque. Une opération suspecte est en cours, il faut la bloquer maintenant, et pour cela valider un code reçu par SMS. Le code ne bloque rien : il valide le virement de l'attaquant. Notre article sur le mode opératoire du faux conseiller bancaire reprend cette séquence pas à pas.

Les leviers psychologiques derrière ces attaques

Le psychologue Robert Cialdini décrit dans Influence six principes qui orientent nos décisions : la réciprocité, l'engagement et la cohérence, la preuve sociale, l'autorité, la sympathie et la rareté. Les fraudeurs les appliquent à une conversation courte, avec un script écrit à l'avance. Au téléphone, six leviers reviennent presque toujours.

• L'urgence : « Il faut agir dans les dix minutes. » Toute échéance imposée par l'appelant est suspecte. Réponse : « Je vérifie et je vous rappelle dans cinq minutes. »
• L'autorité : un titre, un service, un matricule. Un titre se prononce en une seconde et ne prouve rien. Réponse : « Je rappelle par le numéro officiel. »
• La culpabilité : « C'est vous qui bloquez toute l'équipe. » Ne pas se justifier : « Je comprends. La procédure s'applique quand même. »
• La réciprocité : une aide que vous n'avez pas demandée, suivie d'une demande. Un vrai service de sécurité ne réclame pas de contrepartie.
• La demande réduite : une suite de petites étapes anodines dont la dernière suffit à valider un paiement. Jugez la finalité de la demande, pas la taille de chaque étape.
• L'isolement : « N'en parlez à personne. » C'est le signal le plus fiable : aucun service légitime ne vous interdit de vérifier auprès de vos collègues.

Un appel frauduleux en combine souvent trois ou quatre en moins de deux minutes. Nommer les leviers dans sa tête, un par un, rompt l'effet de pression.

Comment reconnaître une tentative d'ingénierie sociale

Quel que soit le canal, quelques signes reviennent. Aucun ne suffit seul, mais deux ou trois ensemble justifient de s'arrêter.

• Une demande inhabituelle : un code, un mot de passe, un virement, un accès, hors de la procédure habituelle.
• Une pression de temps imposée par l'interlocuteur.
• Une consigne de discrétion : ne pas en parler, ne pas rappeler.
• Un canal qui change : on passe de l'e-mail au téléphone, ou d'un numéro à un autre.
• Un détail exact qui rassure à tort : un nom, un service, un numéro de dossier. Ces éléments viennent souvent de sources publiques et ne prouvent pas l'identité.

La CISA recommande, en cas de doute, de contacter l'organisation directement avec des coordonnées issues d'un document antérieur, jamais celles du message. C'est le principe du contre-appel par un canal indépendant. Pour les questions à poser avant de rappeler, voir comment vérifier l'identité d'un appelant.

Comment entraîner les équipes à y résister

Connaître la liste des techniques est utile. Cela ne garantit pas de les reconnaître en direct : au téléphone, le cerveau est occupé par la conversation, par l'envie d'être poli et par la peur de mal faire. Le comportement le plus facile, qui est d'obéir, prend le dessus.

Un réflexe se construit comme tout geste : en le répétant dans des conditions proches du réel. C'est le principe du jeu de rôle. L'apprenant parle à voix haute, subit la pression, essaie une formulation, se trompe, recommence. Notre article sur la façon de dire non au téléphone sous pression développe les formulations qui tiennent.

Avec Face Up, un formateur écrit un scénario à partir d'un appel réel vécu dans son organisation. Un persona joué par une IA tient le rôle de l'appelant, enchaîne les leviers et réagit aux réponses de l'apprenant, à la voix ou en vidéo. Après la session, un débriefing indique ce qui a été tenu, ce qui a cédé, et cite les phrases prononcées. L'apprenant peut rejouer. Pour comprendre le principe, voir notre explication du jeu de rôle par IA.

Questions fréquentes

Qu'est-ce que l'ingénierie sociale, en une phrase ?

C'est l'ensemble des techniques de manipulation qui poussent une personne à divulguer une information, donner un accès ou effectuer une action, en exploitant la confiance et la pression plutôt qu'une faille technique.

L'ingénierie sociale concerne-t-elle seulement les appels ?

Non. Elle existe par e-mail, SMS, messagerie, et en face à face (tailgating, faux prestataire). Le téléphone lui donne toutefois un avantage : la voix inspire confiance, et le rythme de l'échange empêche de vérifier.

Quelle différence entre ingénierie sociale et phishing ?

L'ingénierie sociale est la famille, le phishing est l'une de ses techniques. Le phishing passe par un message écrit ou un faux site, le vishing par la voix, le smishing par SMS.

Comment réagir si j'ai déjà cédé ?

Il faut agir tout de suite : prévenir le service concerné, bloquer ce qui peut l'être et noter les détails de l'échange. Se sentir fautif ne doit pas retarder le signalement. Notez l'heure, le numéro affiché et les phrases entendues.

Pour entraîner vos équipes à repérer ces techniques à l'oral, découvrez les jeux de rôle Face Up ou réservez une démonstration avec nos équipes.