Comment les attaquants manipulent les personnes
Les leviers psychologiques derrière le phishing, l’appel téléphonique et la visite à la porte, et la seule habitude qui les neutralise tous.
Les attaquants exploitent les émotions plutôt que les failles de sécurité : curiosité, peur, urgence, autorité, serviabilité, confiance. Le plus dangereux est le pilote automatique, quand on clique machinalement entre deux tâches. La règle inverse : une émotion forte est le signal d’alerte. D’abord marquer une pause, ensuite agir.
Chapitre A · Pourquoi tout dépend de vous
Les attaques visant les personnes s’appellent ingénierie sociale : quelqu’un vous amène à faire quelque chose que vous ne feriez jamais à tête reposée. Cela fonctionne par e-mail, au téléphone, dans une messagerie et même à la porte du bureau, car les leviers sont toujours les mêmes.
Les leviers
- L’urgence : « avant midi », « sinon le compte sera bloqué ». Le stress bloque l’esprit critique.
- L’autorité : le message semble venir de la direction, de la banque, de la police ou du service informatique. Qui ose contredire le patron ?
- La peur et la menace : relance, amende, perte de données, mise en demeure.
- La curiosité : « Grille des salaires 2026 », « Photos de la fête de Noël », un avis de livraison inattendu.
- La serviabilité : un « technicien » aimable a besoin un instant de votre accès, une collègue de l’agence « a oublié son mot de passe ».
- La confiance : le message cite de vrais noms, de vrais projets, fait référence à une vraie conversation.
- L’appât du gain : gain, remboursement, bon d’achat.
L’état le plus dangereux : le pilote automatique
Il y a une grande différence entre s’attendre à un e-mail suspect pendant une formation et traiter cinquante e-mails le lundi matin entre deux appels. Les attaquants misent précisément sur cet automatisme : ils envoient de préférence juste avant la fin de la journée, le vendredi après-midi ou avant les jours fériés, quand tout le monde veut vite terminer.
Si un message, un appel ou une personne à la porte déclenche chez vous une émotion forte, comme l’urgence, la peur, la curiosité ou l’envie d’aider, c’est précisément cela le signal d’alerte. Marquez une pause avant d’agir.
La préparation ne se voit pas
Les bonnes attaques sont préparées. Grâce aux mentions légales, aux profils professionnels et aux offres d’emploi, les attaquants savent qui valide les factures, quels logiciels vous utilisez et qui est en congé. Avec des outils d’IA, ces éléments deviennent en quelques minutes un message crédible et sans faute. Nous y reviendrons au chapitre E.
Une question aide presque toujours : Cette demande s’écarte-t-elle de la procédure habituelle ? Un virement sans commande, un mot de passe au téléphone, un visiteur non annoncé. Écart plus pression : c’est le schéma de presque toutes les attaques.
À quoi reconnaissez-vous le plus sûrement une tentative d’ingénierie sociale ?
Plusieurs réponses peuvent être justes.
Les fautes de langue ne sont plus un critère fiable, et les vrais noms se trouvent facilement. Ce qui reste, c’est le schéma : pression, émotion et écart par rapport à la procédure habituelle.