Hameçonnage (phishing) et ingénierie sociale

L'hameçonnage (phishing) est une technique d'escroquerie qui consiste à envoyer un faux message, en se faisant passer pour un organisme ou une personne de confiance, pour pousser la victime à cliquer sur un lien, ouvrir une pièce jointe, donner ses identifiants ou faire un virement. C'est une forme d'ingénierie sociale : l'attaquant manipule une personne plutôt que de forcer une machine. Ce chapitre décrit les variantes de l'hameçonnage, les leviers psychologiques qu'il exploite, la façon de reconnaître un message piégé et les protections techniques et organisationnelles.

Pourquoi l'hameçonnage marche si bien

Dans son rapport d'activité 2025, publié en mars 2026, Cybermalveillance.gouv.fr classe l'hameçonnage au premier rang des menaces pour les particuliers (près d'un tiers des demandes d'assistance). Il arrive deuxième pour les entreprises (16 %) et les collectivités (19,2 %), juste derrière le piratage de compte, qui commence lui-même très souvent par un hameçonnage. Il ne coûte presque rien à l'attaquant, s'envoie à des milliers de personnes, et il suffit d'une seule victime pour ouvrir la porte d'une organisation.

Il fonctionne parce qu'il s'adresse à des réflexes humains, pas à des failles techniques. Les leviers sont toujours les mêmes :

Les variantes de l'hameçonnage et de l'ingénierie sociale

Les outils d'intelligence artificielle générative permettent maintenant d'écrire des messages sans faute, dans un français naturel, adaptés à chaque victime. L'ancien conseil « repère les fautes d'orthographe » ne suffit plus.

Comment reconnaître un mail de phishing ?

Voici un message reçu par une assistante de Soléane :

De : Service Informatique Soléane <support@soleane-it.com>

Objet : [URGENT] Boîte mail pleine à 98 %

Bonjour,

Votre boîte aux lettres a atteint sa limite de stockage. Pour éviter la suppression de vos messages, validez votre compte dans les 2 heures.

[ Valider mon compte ] (un bouton ; au survol, le navigateur affiche l'adresse https://soleane-medical.fr.account-verify.example/login)

Le service informatique

Les indices :

1. L'adresse de l'expéditeur. Le nom affiché dit « Service Informatique Soléane », mais l'adresse vient de soleane-it.com, un domaine qui n'appartient pas à Soléane (soleane-medical.fr).
2. L'urgence : 2 heures, sinon perte des messages.
3. Le lien. Un nom de domaine se lit de droite à gauche, en partant du premier / qui suit https:// : dans soleane-medical.fr.account-verify.example, le vrai domaine est account-verify.example. soleane-medical.fr n'est qu'un sous-domaine choisi pour tromper. Survole le lien (ou appuie longuement dessus sur un téléphone) pour voir l'adresse réelle avant de cliquer.
4. La demande : saisir son mot de passe sur une page web. Un service informatique ne demande jamais ton mot de passe.
5. Le canal. Ce genre d'alerte arrive normalement par une notification du logiciel de messagerie, pas par un courriel envoyé de l'extérieur.

Autres pièges courants dans les domaines : une lettre remplacée (so1eane-medical.fr avec le chiffre 1), une lettre ajoutée (soleanne-medical.fr), une autre extension (soleane-medical.co), des caractères d'autres alphabets qui ressemblent aux lettres latines.

SPF, DKIM et DMARC : authentifier l'expéditeur

Le protocole de messagerie SMTP permet d'écrire n'importe quelle adresse dans le champ « De ». Trois mécanismes, publiés dans le DNS du domaine, permettent au serveur qui reçoit un message de vérifier qu'il vient bien du domaine annoncé.

La politique DMARC p= vaut none (observer seulement), quarantine (mettre en indésirables) ou reject (refuser). En publiant p=reject, Soléane empêche quiconque d'envoyer des courriels qui affichent une adresse en @soleane-medical.fr sans passer par ses serveurs : c'est une protection de son identité numérique (chapitre 9).

Attention : ces mécanismes protègent le domaine exact. Ils n'empêchent pas un escroc d'acheter soleane-it.com et d'y configurer un SPF parfait. Le message de l'exemple passerait SPF, DKIM et DMARC… pour soleane-it.com.

Dans les en-têtes complets d'un message, la ligne Authentication-Results résume ces contrôles :

Authentication-Results: mx.soleane-medical.fr;
  spf=fail smtp.mailfrom=soleane-medical.fr;
  dkim=none;
  dmarc=fail (p=REJECT) header.from=soleane-medical.fr

Ici, un message affiche une adresse @soleane-medical.fr mais vient d'un serveur non autorisé, sans signature : la politique DMARC de Soléane demande de le rejeter.

Que faire face à un message suspect ?

Si tu n'as pas cliqué : ne réponds pas, ne clique pas, et signale le message. En entreprise, utilise le bouton « Signaler » de la messagerie ou transfère-le au support, qui pourra bloquer l'expéditeur pour tout le monde. Les particuliers peuvent signaler les courriels sur signal-spam.fr et les SMS en les transférant gratuitement au 33700.

Si tu as cliqué ou saisi des informations : préviens immédiatement le support informatique, sans honte, car chaque minute compte. Change le mot de passe concerné (et partout où il était réutilisé), vérifie que l'authentification multifacteur est active. Si une pièce jointe a été ouverte, débranche le poste du réseau et laisse le support l'analyser. Si des coordonnées bancaires ont été données, appelle la banque pour faire opposition.

Les protections de l'organisation

Le même raisonnement en SLAM et en SISR

En SLAM, une application peut servir d'appât si elle est mal conçue. Une redirection ouverte (/redirect?url=https://site-pirate.example) permet de fabriquer un lien qui commence par le vrai domaine de Soléane et mène ailleurs : on n'autorise que des destinations internes. Les courriels envoyés par l'application (réinitialisation de mot de passe, confirmation de commande) doivent partir d'un serveur autorisé par le SPF et être signés DKIM, sinon ils finissent en indésirables ou ressemblent à de l'hameçonnage. Et une application ne demande jamais un mot de passe par courriel : la réinitialisation passe par un lien à usage unique et à durée limitée.

En SISR, le technicien publie les enregistrements SPF, DKIM et DMARC dans la zone DNS (cours Services réseau), configure la passerelle de messagerie (filtrage, mise en quarantaine des pièces jointes à risque, bannière externe), et analyse les en-têtes des messages signalés pour bloquer un expéditeur ou un domaine sur toute l'organisation.

Pour aller plus loin. SPF, DKIM et DMARC reposent sur des signatures numériques : le chapitre HMAC et signature numérique du cours Cryptographie explique le mécanisme.

Exercices