Hameçonnage & ingénierie sociale

Avant de commencer

Pourquoi l'humain est la cible n°1

On peut blinder un système ; convaincre une personne de cliquer reste plus facile. La grande majorité des cyberattaques en entreprise commencent par un hameçonnage : un message qui te pousse à agir contre ton intérêt. Pas besoin de compétences techniques pointues côté attaquant : juste de la psychologie. Savoir repérer ces pièges est un réflexe vital — pour toi, et pour les utilisateurs que tu protégeras en tant que futur informaticien.

Ce que tu sauras faire à la fin

0. Le mail qui a piégé Karim

Karim est gestionnaire chez GSB (le laboratoire pharmaceutique fil rouge). Un matin, il reçoit ce message. Revoyons-le : c'est notre pièce à conviction de toute la séance.

Karim a cliqué, saisi son identifiant et son mot de passe sur une page qui ressemblait à l'intranet GSB. Trente minutes plus tard, un inconnu se connectait avec ses identifiants et accédait à la base patients. Le message avait l'air officiel et pressant — pourtant tout y est suspect. On va apprendre à voir ce que Karim n'a pas vu.

1. L'ingénierie sociale

L'ingénierie sociale, c'est l'art de manipuler une personne pour qu'elle révèle une information ou réalise une action (cliquer, payer, ouvrir une porte, donner un code). On n'attaque pas la machine : on attaque la confiance et les émotions. L'hameçonnage est la forme écrite de cette manipulation.

Les 5 leviers qui nous font tomber

Les chiffres qui donnent l'échelle

Comment ça marche : la mécanique du piège

Un message d'hameçonnage suit presque toujours la même chaîne. La comprendre, c'est savoir où l'interrompre.

2. Anatomie d'un mail piégé

Un message d'hameçonnage n'est pas un bloc magique : c'est un assemblage de zones, et chacune peut te trahir le piège. Apprends à les regarder une par une, comme un mécanicien regarde un moteur.

1 Expéditeur — l'adresse après le @ n'est pas le vrai domaine de GSB.
2 Objet — urgence et menace : on veut court-circuiter ta réflexion.
3 Salutation — « Cher utilisateur » : un vrai service connaît ton nom.
4 Lien — le bouton dit « Réactiver », mais l'URL réelle (au survol) pointe ailleurs.

La checklist du détective

Pour chaque mail douteux, passe ces 6 signaux en revue. Un seul suffit à se méfier ; plusieurs = certitude.

3. Décortiquer une URL trompeuse

Le cœur du piège, c'est presque toujours le lien. Savoir lire une URL, c'est la compétence n°1 anti-phishing. La bonne nouvelle : il y a une règle mécanique, sans avis ni intuition.

Le geste qui sauve : survoler avant de cliquer

La règle pour trouver le VRAI domaine

Une URL se lit de gauche à droite, mais le vrai propriétaire du site se trouve juste avant le premier « / », sur les deux derniers blocs séparés par un point. Tout ce qu'il y a avant n'est que du décor (des sous-domaines) que l'attaquant écrit comme il veut.

Ici gsb.fr n'est qu'un sous-domaine de connexion-secure.ru : le site appartient à .ru, pas à GSB. On lit donc de droite à gauche les deux blocs juste avant le premier / : c'est eux le propriétaire.

Les 3 pièges classiques sur les URL

Anatomie complète d'une URL : les 6 parties

4. La fausse page de connexion

Karim n'a pas donné son mot de passe dans le mail : il a cliqué, puis l'a saisi sur une page sosie de l'intranet GSB. C'est l'étape la plus piégeuse, parce que la page paraît parfaite — logo, couleurs, formulaire identiques. La copie visuelle est facile ; ce qu'on ne peut pas copier, c'est l'adresse.

5. Les pièces jointes piégées

Tous les pièges ne sont pas des liens. Parfois, c'est la pièce jointe qui contient l'attaque : l'ouvrir exécute un programme malveillant (virus, rançongiciel, vol de mot de passe). Karim aurait pu être piégé par un faux « bordereau de livraison ».

6. Les variantes de l'hameçonnage

Le phishing ne se limite pas au mail. Mêmes leviers psychologiques, autres canaux. Le principe ne change pas : seul le support change.

Le whaling : la fraude au président et au RIB

Le whaling (« chasse à la baleine ») est un spear phishing visant la direction ou la comptabilité, avec un enjeu financier direct. Deux formes très courantes en entreprise :

Le quishing en détail

Le quishing (QR + phishing) profite de deux choses : un QR code est illisible à l'œil (tu ne vois pas l'URL avant de scanner), et on scanne avec son téléphone perso (souvent moins protégé que le poste de travail). On en trouve sur de faux parcmètres, dans des mails (« scannez pour valider »), sur des affiches truquées.

Le vishing : la voix qui rassure (et qui ment)

Chiffres par variante — l'ampleur réelle

7. Que faire face à un message suspect

Un message arrive et te met le doute ? Déroule cette grille de 4 questions, dans l'ordre. À la moindre réponse qui cloche, tu t'arrêtes.

Les bons réflexes, selon la situation

Ce qu'on ne fait JAMAIS

8. Côté défenseur

Un professionnel de l'informatique ne fait pas que se protéger : il protège les utilisateurs. La défense s'organise en couches — aucune n'est parfaite seule.

Comment ça marche : SPF, DKIM, DMARC

Ce trio sert à répondre à une question : « ce mail vient-il vraiment du domaine qu'il prétend ? ». Il rend l'usurpation d'un domaine beaucoup plus difficile.

À quoi ressemblent SPF, DKIM et DMARC en pratique

Ces trois mécanismes sont configurés dans les enregistrements DNS du domaine (les mêmes qui font pointer un nom vers une IP). Voici une zone DNS bien configurée :

; SPF — liste des serveurs autorisés à envoyer pour ce domaine
gsb.fr.  IN TXT  "v=spf1 include:_spf.google.com ip4:185.10.20.30 -all"
;                  ^ version  ^ sources autorisées             ^ tout le reste = REJET

; DKIM — clé publique pour vérifier la signature cryptographique du mail
mail._domainkey.gsb.fr.  IN TXT  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb..."
;  ^ sélecteur                    ^ clé publique RSA (2048 bits recommandé)

; DMARC — la politique : que faire si SPF ou DKIM échouent ?
_dmarc.gsb.fr.  IN TXT  "v=DMARC1; p=reject; rua=mailto:dmarc@gsb.fr; pct=100"
;                          ^ politique ^ adresse de rapport     ^ 100 % des mails

La 2FA : toutes les méthodes ne se valent pas

Même si le mot de passe est volé par hameçonnage, la double authentification exige un second facteur. Mais certaines méthodes 2FA restent contournables :

9. Côté développeur (SLAM)

Tu seras développeur : tes applis envoient des mails (inscription, mot de passe oublié, facture). Mal conçues, elles facilitent le travail des escrocs et habituent tes utilisateurs aux mauvais réflexes. Bien conçues, elles le compliquent. Trois principes concrets.

1. Authentifier les mails que TON appli envoie

Configure SPF, DKIM et DMARC sur le domaine d'envoi de ton application. Deux bénéfices : tes mails légitimes n'atterrissent pas en spam, et un escroc ne peut pas facilement usurper ton domaine pour piéger tes clients en ton nom.

2. Ne jamais demander ni afficher d'info sensible dans un mail

3. Des liens signés et vers TON domaine

Pour un lien d'action (réinitialiser un mot de passe, valider une adresse), n'envoie pas un lien « nu ». Mets un jeton signé et à durée de vie courte, et fais-le pointer vers ton domaine officiel, jamais un domaine tiers.

https://gsb-ordonnances.fr/reset?token=3f9a...&exp=900

Comment signer un jeton de réinitialisation (sans bibliothèque magique)

Un jeton « sécurisé » n'est pas un nombre au hasard stocké en base sans précaution : c'est une valeur signée ou imprévisible, à durée de vie courte, à usage unique.

Limiter les tentatives de connexion (rate limiting)

Un formulaire de login sans limite d'essais est vulnérable au brute force — mais c'est aussi une porte d'entrée pour tester en masse les identifiants volés par hameçonnage. La règle : bloquer après quelques tentatives échouées.

// Express — avec express-rate-limit (npm i express-rate-limit)
import rateLimit from 'express-rate-limit';

const loginLimiter = rateLimit({
  windowMs: 15 * 60 * 1000,  // fenêtre glissante de 15 minutes
  max: 5,                     // max 5 tentatives par IP dans la fenêtre
  message: { error: 'Trop de tentatives. Réessaie dans 15 min.' },
  standardHeaders: true,      // renvoie X-RateLimit-* dans les headers
});

app.post('/api/login', loginLimiter, handleLogin);

HTTP 429 Too Many Requests
{ "error": "Trop de tentatives. Réessaie dans 15 min." }

Ainsi, même intercepté, le lien expire vite et ne peut pas être réutilisé. Et comme il pointe vers ton vrai domaine, l'utilisateur formé (chapitre 3 !) peut le vérifier. C'est exactement ce qu'on met en place dans GSB Ordonnances pour le « mot de passe oublié ».

4. Le piège de la redirection ouverte (à éviter)

Beaucoup d'applis ont une URL qui renvoie l'utilisateur ailleurs après une action (« reviens à la page d'où tu venais »). Si tu rediriges sans vérifier la destination, un escroc peut s'en servir pour piéger tes utilisateurs en utilisant TON domaine de confiance. Regarde ce bout de code de l'API GSB :

app.get("/go", (req, res) => {
  res.redirect(req.query.url);   // redirige vers ce qu'on lui passe
});

Un attaquant forge alors : https://gsb-ordonnances.fr/go?url=http://site-piege.ru. Le lien commence par ton vrai domaine — l'utilisateur formé le vérifie, le trouve correct, clique… et atterrit sur le site piège. C'est une redirection ouverte (open redirect).

10. Atelier : repère les pièges

Place à l'entraînement. Voici un nouveau mail (différent de celui de Karim). Applique tout ce que tu as appris : anatomie (ch. 2), lecture d'URL (ch. 3), fausse page (ch. 4), pièces jointes (ch. 5), leviers (ch. 1).

Deuxième cas : le mail « interne » (spear phishing)

Le précédent était du phishing de masse, facile une fois entraîné. Voici plus retors : un message qui se fait passer pour un collègue. Aucune faute grossière, un prétexte crédible — c'est exactement le piège qui marche en entreprise.

Mini-projet : la campagne de sensibilisation GSB

La DSI de GSB te charge de sensibiliser les employés après l'incident de Karim. Tu produis un mini-support de prévention — exactement le rôle prévention d'un service informatique.

1. Une affiche / fiche « 5 réflexes anti-hameçonnage » claire et mémorable.
2. L'analyse annotée du mail de Karim (les zones suspectes entourées et expliquées, comme le schéma du chapitre 2 mais avec tes mots).
3. La conduite à tenir en cas de doute : qui contacter chez GSB, comment signaler, ce qu'on ne fait jamais.

11. Entraînement express

Avant la synthèse, un dernier tour de chauffe. Cinq situations courtes : pour chacune, ton cerveau doit produire en 5 secondes un verdict (piège ou légitime ?) et une action. C'est ce réflexe-là qui te protège dans la vraie vie.

Pour finir

Synthèse : où l'attaque de Karim pouvait être stoppée

Chaque étape de l'attaque avait sa parade. Un seul réflexe appliqué et le piège échouait.

Ton antisèche (les 5 réflexes)

Vérifie tes acquis

1. Qu'est-ce que l'ingénierie sociale ?
2. Cite 3 leviers psychologiques utilisés en hameçonnage.
3. Dans https://gsb.fr.login-secure.ru/compte, quel est le vrai domaine ?
4. Le cadenas HTTPS prouve-t-il qu'un site est de confiance ? Pourquoi ?
5. Pourquoi n'ouvre-t-on jamais un fichier .exe reçu par mail ?
6. Différence entre phishing, smishing, vishing et quishing ?
7. Cite 3 choses qu'on ne fait JAMAIS face à un message suspect.
8. Tu as cliqué et saisi ton mot de passe : que fais-tu ?
9. À quoi servent SPF, DKIM et DMARC ?

Corrigé du quiz

Vérifie tes réponses. Si tu as juste sans avoir relu, tu as intégré l'essentiel.

Glossaire