Ingénierie sociale : comprendre les arnaques qui visent l’humain, et s’en protéger

Un appel de votre « conseiller bancaire » qui a repéré une opération suspecte. Un mail de votre « directeur » qui demande un virement urgent et confidentiel. Un fournisseur qui vous transmet son « nouveau RIB ». Aucune de ces attaques ne force un mot de passe ni n’exploite une faille technique : elles s’en prennent à la personne. C’est ce qu’on appelle l’ingénierie sociale.

C’est aujourd’hui l’une des premières portes d’entrée des cyberattaques, pour les particuliers comme pour les entreprises et les administrations. Dans cet article, on explique ce que c’est, pourquoi ça marche, quelles sont les techniques les plus courantes, et comment s’en protéger, chiffres et sources à l’appui.

L’ingénierie sociale, qu’est-ce que c’est ?

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) la définit ainsi : une « manipulation consistant à obtenir un bien ou une information, en exploitant la confiance, l’ignorance ou la crédulité de tierces personnes ». Elle ajoute qu’il s’agit d’exploiter le facteur humain, qui peut être considéré dans certains cas comme un maillon faible de la sécurité (ANSSI, CyberDico).

Concrètement, l’attaquant ne cherche pas à « pirater » un ordinateur : il cherche à obtenir que vous fassiez vous-même ce qu’il veut. Cliquer sur un lien, saisir un mot de passe, communiquer un code reçu par SMS, valider un virement, ouvrir une pièce jointe. Pour y parvenir, il s’appuie sur quelques ressorts psychologiques très efficaces :

• L’urgence : « votre compte va être bloqué », « le virement doit partir avant midi ».
• L’autorité : il se fait passer pour un dirigeant, une banque, une administration, un service informatique.
• La confiance : il connaît votre nom, votre banque, vos collègues, parfois grâce à des données issues de fuites précédentes ou des réseaux sociaux.
• La peur ou l’appât du gain : une fraude à bloquer, un remboursement à recevoir, un colis en attente.
• Le secret : « n’en parlez à personne, c’est confidentiel ».

Pourquoi c’est devenu la première porte d’entrée

Les chiffres sont sans ambiguïté. Dans son rapport 2025, qui analyse plus de 12 000 violations de données confirmées, l’opérateur Verizon estime que l’implication du facteur humain reste stable, « autour de 60 % ». L’utilisation d’identifiants volés y reste le premier moyen d’accès initial, et le texte généré par intelligence artificielle dans les mails malveillants a doublé en deux ans (Verizon, DBIR 2025).

En France, Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, a accompagné plus de 500 000 victimes en 2025, soit 20 % de plus qu’en 2024. L’hameçonnage reste la première menace (+70 %), avec des vagues d’hameçonnage par SMS, par mail ou même par appel audio, de plus en plus personnalisées. Les faux conseillers bancaires progressent de 159 %, les fraudes au virement de 170 % et l’usurpation de numéro de téléphone de 517 % (Cybermalveillance.gouv.fr, 26 mars 2026).

Pour les entreprises et associations, le piratage de compte est devenu la première demande d’assistance (21 %), devant l’hameçonnage (16 %) et les faux ordres de virement (13,5 %) (Le Monde Informatique, 27 mars 2026).

Aux États-Unis, le FBI fait le même constat : l’hameçonnage et l’usurpation d’identité sont les infractions les plus signalées en 2024 (193 407 plaintes), et les fraudes par compromission de messagerie professionnelle ont coûté près de 2,8 milliards de dollars aux victimes (Nacha, d’après le rapport IC3 2024 du FBI).

Les techniques les plus courantes

L’hameçonnage (phishing)

C’est la technique la plus répandue. L’ANSSI le décrit comme le vol d’identifiants ou d’informations confidentielles « par subterfuge » : un faux site imite une page de connexion, et l’attaquant convainc la victime de s’y connecter. Le message arrive par mail, mais aussi par SMS ou par appel. Avec l’IA générative, ces messages sont désormais sans fautes et de plus en plus personnalisés : la vieille règle « méfiez-vous des fautes d’orthographe » ne suffit plus.

Le faux conseiller bancaire

L’escroc appelle en se présentant comme conseiller ou agent du service anti-fraude, en usurpant parfois le numéro de la banque. Il dispose souvent d’informations sur la victime pour paraître crédible, annonce des opérations suspectes et propose de les « bloquer en urgence ». Il demande alors des codes reçus par SMS ou de confirmer des actions dans l’application bancaire, ce qui lui permet en réalité de valider ses propres virements. Cybermalveillance.gouv.fr le rappelle : « Jamais un conseiller de votre banque ne vous demandera de lui communiquer votre mot de passe » (fiche réflexe Faux conseiller bancaire).

La fraude au président et le faux RIB

L’escroc usurpe l’identité d’un dirigeant et demande un virement « urgent et confidentiel ». Variantes : un faux fournisseur qui transmet de nouvelles coordonnées bancaires, ou un faux salarié qui demande de changer le compte sur lequel est versé son salaire. Ces fraudes suivent souvent le piratage d’une messagerie, ce qui rend les messages d’autant plus crédibles (fiche réflexe Faux ordres de virement).

Les hypertrucages (deepfakes)

L’IA permet désormais d’imiter une voix ou un visage. En 2024, l’entreprise d’ingénierie britannique Arup a confirmé avoir perdu l’équivalent de 25 millions de dollars à Hong Kong : un employé du service financier, d’abord méfiant face à un mail, a été convaincu lors d’une visioconférence avec de faux collègues et un faux directeur financier, entièrement générés. L’entreprise a confirmé que de « fake voices and images » avaient été utilisées (CNN, 16 mai 2024).

Des cas réels, en France aussi

• France Travail : au premier trimestre 2024, des attaquants ont pris le contrôle de comptes de conseillers Cap emploi par ingénierie sociale, puis accédé aux données des personnes inscrites ou l’ayant été au cours des vingt dernières années (numéros de sécurité sociale, adresses, téléphones). La CNIL a infligé une amende de 5 millions d’euros en janvier 2026, en pointant notamment des modes d’authentification pas assez robustes (CNIL).
• Tchap : en juin 2026, un attaquant a utilisé le compte compromis d’un agent pour parcourir les salons publics de la messagerie de l’État. Les conversations privées, chiffrées, sont restées protégées. Nous revenons sur cet épisode dans notre article sur La Suite numérique de l’État.

Dans les deux cas, la technologie n’a pas cédé : c’est un compte, et donc une personne, qui a servi de porte d’entrée.

Les signaux d’alerte à reconnaître

Quelle que soit la technique, on retrouve presque toujours les mêmes signaux. Méfiez-vous dès qu’un message ou un appel :

• vous presse d’agir immédiatement, sans vous laisser le temps de vérifier ;
• vous demande de garder le secret ou de ne pas passer par les circuits habituels ;
• vous demande un mot de passe, un code reçu par SMS ou de valider une opération dans votre application ;
• annonce un changement de coordonnées bancaires ou de procédure ;
• arrive par un canal inhabituel, même s’il semble venir d’une personne que vous connaissez.

Comment se protéger

Pour chacun

• Vérifiez par vous-même : raccrochez et rappelez votre banque, votre collègue ou votre fournisseur avec un numéro que vous connaissez déjà, jamais celui donné dans le message.
• Ne communiquez jamais un code ou un mot de passe, et ne validez aucune opération dont vous n’êtes pas à l’origine, même « pour l’annuler ».
• Activez la double authentification sur votre messagerie et vos comptes importants, et utilisez des mots de passe robustes et différents.
• Limitez ce que vous publiez : organigramme, fonctions, habitudes, tout ce qui aide à construire un scénario crédible.

Pour une entreprise

• Écrivez des procédures claires pour les virements et les changements de RIB, avec une validation hiérarchique que l’on ne contourne jamais, quelle que soit l’urgence invoquée. C’est la recommandation de Cybermalveillance.gouv.fr.
• Donnez à chacun les accès dont il a besoin, pas plus : chez France Travail, des habilitations trop larges ont aggravé la fuite.
• Formez régulièrement les équipes, y compris aux nouvelles formes d’attaque utilisant l’IA, et instaurez une culture où l’on peut dire « je vérifie d’abord » sans être mal vu, même face à un dirigeant.

Vous êtes victime ? Les bons réflexes

• 17Cyber : depuis le 17 décembre 2024, ce dispositif commun à Cybermalveillance.gouv.fr, à la gendarmerie et à la police nationales propose un diagnostic, des conseils et, selon les cas, un échange avec un gendarme ou un policier formé au cyber (Gendarmerie nationale).
• Carte bancaire : faites opposition sans délai auprès de votre banque ou du serveur interbancaire au 0 892 705 705 (numéro surtaxé), puis signalez la fraude sur la plateforme Perceval.
• Info Escroqueries : 0 805 805 817 (gratuit, du lundi au vendredi), et France Victimes au 116 006 pour être accompagné.
• Conservez les preuves (messages, numéros, ordres de virement) et déposez plainte.

Conclusion : la sécurité, c’est aussi une affaire d’humains

Pare-feu, antivirus, chiffrement : ces protections sont indispensables, mais elles ne servent à rien si quelqu’un donne lui-même la clé. L’ingénierie sociale réussit parce qu’elle exploite des réflexes normaux : vouloir aider, obéir à un supérieur, réagir vite face à un danger. La bonne nouvelle, c’est que ces réflexes s’apprennent aussi dans l’autre sens : prendre le temps, vérifier par un autre canal, ne jamais partager un code. Ce sont des gestes simples, qui protègent bien plus que n’importe quel logiciel.

Sources

• ANSSI, CyberDico, définitions « Ingénierie sociale » et « Hameçonnage ».
• Verizon, 2025 Data Breach Investigations Report, Executive Summary, avril 2025.
• Cybermalveillance.gouv.fr, communiqué du rapport d’activité 2025, 26 mars 2026.
• Le Monde Informatique, Les demandes d’aide face aux cybermenaces explosent en France, 27 mars 2026.
• Nacha, FBI’s IC3 finds almost $8.5 billion lost to business email compromise, 24 avril 2025.
• Cybermalveillance.gouv.fr, fiche réflexe Fraude au faux conseiller bancaire.
• Cybermalveillance.gouv.fr, fiche réflexe Fraude aux faux ordres de virement.
• CNN, Arup revealed as victim of $25 million deepfake scam, 16 mai 2024.
• CNIL, Violation de données : sanction de 5 millions d’euros à l’encontre de France Travail, 29 janvier 2026.
• Gendarmerie nationale, « 17Cyber » : la nouvelle plateforme de lutte contre la cybercriminalité est en ligne, 18 décembre 2024.