Ingénierie sociale : hameçonnage ciblé, vishing et intrusion physique
Mesurer ce qu’un inconnu obtient avec un bon prétexte et un peu d’aplomb.
Réponse courte
Ingénierie sociale : de quoi s’agit-il, pour qui, à quel prix ?
Tests d’ingénierie sociale sous autorisation écrite : hameçonnage ciblé, appels téléphoniques (vishing) et intrusion physique dans les locaux. Public concerné : organisations qui ont déjà sensibilisé leurs équipes et veulent vérifier l’effet sur les processus. Durée indicative : 3 à 10 jours, répartis sur plusieurs semaines. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Une campagne de sensibilisation envoie le même message à tous et mesure un taux de clic. Un test d’ingénierie sociale : définition joue le rôle d’un attaquant qui vise votre organisation avec un prétexte crédible : il se renseigne sur les sources ouvertes, choisit un rôle à imiter, puis tente d’obtenir un accès, un mot de passe ou une action. La question n’est pas qui a cliqué, mais ce que votre organisation a prévu quand quelqu’un téléphone au support en se faisant passer pour un directeur.
Le cadre éthique est la condition de la mission. Elle ne démarre qu’avec une autorisation écrite signée par la direction, un contact informé qui peut arrêter le test à tout moment, et des règles fixées d’avance : pas de vie privée, pas de comptes personnels, pas de pression sur une personne en difficulté. Les résultats sont présentés par processus et par vecteur, sans nommer les personnes. Selon votre contexte, une information du comité social et économique et un avis juridique sont à prévoir avant le lancement.
Les scénarios sont choisis avec vous parmi les vecteurs réalistes pour votre activité : hameçonnage : définition ciblé vers une équipe précise, appels vers le support informatique ou la comptabilité, et, si vous le décidez, tentative d’entrée dans les locaux (accueil, badge, accompagnement par un salarié, poste laissé ouvert). Chaque tentative note ce qui a fonctionné, ce qui a été signalé, et en combien de temps.
En résumé
- Durée indicative
- 3 à 10 jours, répartis sur plusieurs semaines
- Prix
- sur devissur devis après cadrage : le prix dépend des vecteurs retenus (messages, appels, présence sur site) et du nombre de sites
- Référentiels appliqués
- MITRE ATT&CK (accès initial)PTESNIST SP 800-115ANSSI, guide d’hygiène informatique
Mission conduite sous autorisation écrite, avec accord de confidentialité et clause d’arrêt immédiat.
Réponse à toute demande sous 24 h ouvrées.
Ingénierie sociale : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Reconnaissance et sources ouvertes
Ce qu’un attaquant apprend sur votre organisation depuis des sources publiques : organigrammes, messages d’entreprise, partenaires, outils utilisés. Limité à l’activité professionnelle.
Hameçonnage ciblé
Messages écrits pour un rôle précis (comptabilité, support, direction), avec un prétexte réaliste. Mesure de ce qui est ouvert, signalé, bloqué par les filtres.
Appels téléphoniques (vishing)
Appels vers le support, le standard ou les équipes financières, avec un prétexte plausible : réinitialisation d’accès, vérification d’un virement, demande d’information.
Intrusion physique
Si vous le décidez : accès à l’accueil, passage derrière un salarié, usage d’un badge copié, postes laissés sans verrouillage, informations visibles. Toujours avec lettre d’autorisation.
Détection et signalement
Qui a signalé la tentative, à qui, en combien de temps, et ce que l’organisation en a fait. C’est souvent la partie la plus instructive.
Processus de vérification
Procédures de rappel, double validation des virements, contrôle des identités au support, accueil des visiteurs : ce qui existe sur le papier et ce qui se passe en pratique.
Ingénierie sociale : que livre la mission ?
- Rapport par scénario : prétexte, déroulé, résultat, durée, signalement
- Analyse des processus défaillants, sans désignation de personnes
- Chronologie de la détection et du signalement, à comparer à celle de vos équipes
- Recommandations organisationnelles et techniques (procédures de rappel, filtrage, accueil)
- Éléments de pédagogie pour la restitution aux équipes concernées
- Lettre d’autorisation et règles d’engagement conservées avec le dossier
Qu’est-ce que cela change pour vous ?
- Une mesure réaliste de la résistance de vos processus, pas seulement du taux de clic
- Des procédures de vérification corrigées là où elles échouent en pratique
- Des équipes qui retiennent la leçon sans que personne soit exposé
Vérification des correctifs incluse
Une passe de contrôle rejoue les preuves d’origine jusqu’à trois mois après le rapport, et produit une attestation de correction.
Ingénierie sociale : pour qui est-ce utile ?
- Organisations qui ont déjà sensibilisé leurs équipes et veulent vérifier l’effet sur les processus
- Entreprises exposées à la fraude au président ou aux faux ordres de virement
- Structures dont le support informatique réinitialise des accès par téléphone ou par messagerie
- Sites accueillant du public, des livreurs ou des intérimaires, avec des zones à accès restreint
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Ingénierie sociale : combien de temps dure la mission ?
Durée indicative : 3 à 10 jours, répartis sur plusieurs semaines. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Définir ce qui est testé, ce qui est exclu, et ce qu’une réussite signifierait pour vous.
- 02
Autorisation et règles d’engagement
Aucune requête n’est émise avant une autorisation écrite nominative sur un périmètre explicite.
- 03
Reconnaissance et cartographie
Établir la surface réelle, presque toujours plus large que l’inventaire fourni.
- 04
Tests et exploitation
Vérifier les vulnérabilités connues, puis chercher ce qu’aucun outil ne trouve.
- 05
Rapport et restitution
Deux lectures : une synthèse de décision, un rapport technique actionnable.
- 06
Vérification des correctifs
Vérifier que ce qui a été corrigé l’est bien, sans régression.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Autorisation écrite avant toute requêteNominative, sur un périmètre et une période écrits. Hors périmètre, rien n’est sondé.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Arrêt immédiat sur simple demandeUn contact que vous désignez peut interrompre la mission par un seul message, sans justification.
- Chaque constat est reproduitCe qui ne peut pas être reproduit passe en observation, il n’entre pas dans la liste des vulnérabilités.
- Vérification des correctifs incluseJusqu’à trois mois après le rapport, avec une attestation de correction.
- Un exemple de rapport à lireLa structure réelle d’un rapport, sur un exemple entièrement fictif.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez faire tester, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Ingénierie sociale : ce qu’on nous demande
Les salariés qui se font piéger seront-ils sanctionnés ou nommés ?
Non. Le rapport décrit des processus, des vecteurs et des durées, jamais des personnes. Les règles d’engagement, signées avant le début, interdisent de communiquer des noms à la direction et aux ressources humaines. Si un salarié a cédé, c’est le processus qui était défaillant : l’objectif est de le corriger, pas de désigner un fautif. Nous recommandons que l’entreprise le dise aux équipes avant le test.
En quoi ce test diffère-t-il d’une campagne de sensibilisation au hameçonnage ?
Une campagne de sensibilisation s’adresse à tous, mesure un taux de clic et vise l’apprentissage. Un test d’ingénierie sociale imite un attaquant motivé : cible choisie, prétexte construit, vecteurs mélangés (message, appel, présence sur site). Il évalue les processus et la détection plutôt que les individus. Les deux sont complémentaires : la sensibilisation prépare les équipes, le test vérifie ce que l’organisation fait quand elle est visée pour de bon.
Faut-il prévenir les équipes avant un test d’intrusion physique ?
Une personne au moins doit être informée : un contact de direction qui peut arrêter l’exercice, intervenir auprès de la sécurité du site et confirmer l’autorisation si un agent appelle les forces de l’ordre. Le testeur porte sur lui la lettre d’autorisation signée. Les salariés ordinaires ne sont pas prévenus du jour ni du scénario, sans quoi le test ne mesurerait rien. Si les locaux sont partagés ou loués, l’accord écrit du propriétaire est également nécessaire.
Un test d’ingénierie sociale doit-il toucher la vie privée des personnes ?
Jamais. La reconnaissance se limite à l’activité professionnelle et aux sources publiques : site de l’entreprise, annonces, réseaux professionnels. Nous n’utilisons ni comptes personnels, ni informations sur la famille, la santé ou les difficultés financières, et nous ne visons pas une personne en particulier pour l’éprouver. Ces règles sont écrites dans la lettre de mission et reprises à la restitution.
Pour comprendre avant de décider
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ArticleSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
Quelles prestations s’y associent ?
Red team
Savoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
3 à 8 semainesdès 6 900 €
Sensibilisation
Des équipes qui savent quoi faire devant un message douteux.
sessions de 1 à 3 h ; campagnes sur 3 à 12 moisdès 490 €
Audit Microsoft 365
Vérifier que votre tenant résiste à un compte compromis, pas seulement à un mot de passe faible.
3 à 8 jours selon la taille du tenantsur devis
Réponse à toute demande sous 24 h ouvrées
Faire tester ce périmètre
Trente minutes de cadrage suffisent à savoir si « Ingénierie sociale » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Autorisation écrite obligatoire
- Accord de confidentialité systématique
- Vérification des correctifs incluse