<p>Parler de « maillon faible » déplace la faute vers le collaborateur et produit l'effet inverse de celui recherché : le silence. Ce qui protège...
Une comptable reçoit un courriel de son fournisseur habituel: changement de coordonnées bancaires, la prochaine facture est à régler sur ce nouveau compte. Le message reprend la signature, le ton, la mise en page des échanges précédents. Il arrive dans le fil de discussion existant. Elle paie. Trois semaines plus tard, le vrai fournisseur réclame son règlement.
On classera cet incident sous « erreur humaine », et on aura tort. Cette personne n'a pas été négligente: elle a fait ce que son poste lui demande de faire, dans un contexte conçu pour qu'elle le fasse. Le problème n'est pas qu'elle ait cliqué. Le problème est qu'aucun garde-fou ne se trouvait entre le courriel et le virement. Désigner l'humain comme le maillon faible est confortable pour tout le monde sauf pour lui. Cela permet de considérer que le dispositif technique a fait son travail et que la défaillance vient d'ailleurs. Cela conduit surtout à une conséquence bien plus grave que l'incident lui-même: la peur d'être blâmé.
Un collaborateur qui craint la sanction ne signale pas son erreur. Il espère qu'elle passera inaperçue, il attend, il vérifie discrètement. Pendant ce temps, l'attaquant progresse. Or dans la plupart des incidents, le délai entre la compromission et le signalement détermine l'ampleur des dégâts bien davantage que la nature de l'erreur initiale. Une culture qui punit l'erreur achète du silence, et le silence coûte cher. La mesure la plus efficace contre la fraude au virement ne relève pas de la formation, mais de la procédure: tout changement de coordonnées bancaires est vérifié par un canal différent de celui qui l'a annoncé. Un appel téléphonique au numéro connu du fournisseur — pas celui figurant dans le courriel. Cette règle tient en une phrase, elle ne demande aucune compétence technique, et elle rend l'attaque décrite plus haut inopérante.
Le principe se généralise: là où une erreur est coûteuse, la bonne question n'est pas « comment rendre les gens plus vigilants » mais « comment faire pour que la vigilance ne soit pas nécessaire ». Un double regard sur les virements dépassant un certain montant, une validation à deux personnes pour les opérations sensibles, une authentification à plusieurs facteurs qui rend un mot de passe volé insuffisant: ces dispositifs fonctionnent même les jours de fatigue, ce qu'aucune formation ne garantit.
Ce que la technique ne peut pas faire
Les filtres anti-hameçonnage bloquent une partie des messages frauduleux, et cette part n'est pas négligeable. Mais l'attaquant adapte ses envois jusqu'à ce que certains passent — c'est un jeu d'ajustement permanent, et il suffit d'un message qui franchit la barrière. L'authentification à plusieurs facteurs élève considérablement le coût d'une attaque sans la rendre impossible.
La technique et l'organisation ne s'opposent donc pas, elles couvrent des angles différents. Une entreprise correctement équipée mais dont personne ne sait quoi faire en cas de doute reste vulnérable; une équipe attentive sur une infrastructure non maintenue également. La session annuelle de deux heures, suivie par obligation et oubliée en trois semaines, coche une case sans changer les comportements. Ce qui fonctionne ressemble davantage à l'inverse: des interventions courtes, répétées, appuyées sur des cas réels du secteur d'activité de l'entreprise.
Un exemple tiré de votre propre métier — un faux appel d'offres pour un bureau d'études, une fausse demande de RIB pour un cabinet comptable — marque durablement plus qu'un exposé général sur les techniques d'attaque. Les exercices de simulation d'hameçonnage ont leur utilité, à une condition stricte: ils servent à mesurer, jamais à sanctionner. Un exercice utilisé pour désigner des coupables détruit en une fois la confiance nécessaire au signalement. La plupart des entreprises qui font des simulations regardent combien de personnes ont cliqué. C'est l'indicateur le moins intéressant. Le taux de clic ne descend jamais à zéro, quelle que soit la formation, parce qu'il suffit d'un moment d'inattention.
L'indicateur qui compte est le taux de signalement, et le délai. Combien de personnes ont prévenu, et au bout de combien de temps? Une organisation où trente personnes cliquent mais où le premier signalement arrive en quatre minutes se défend mieux qu'une organisation où trois personnes cliquent et où personne ne dit rien. Le premier chiffre mesure la faillibilité humaine, qui est constante. Le second mesure votre capacité de réaction, qui est le seul paramètre sur lequel vous pouvez réellement agir. L'erreur humaine n'est pas une faiblesse à corriger, c'est une constante à intégrer dans la conception de vos processus. Les entreprises qui s'en sortent le mieux ne sont pas celles dont les collaborateurs se trompent le moins, mais celles où une erreur est signalée en quelques minutes sans que personne n'hésite à lever la main.
Si vous ne deviez retenir qu'une mesure: instaurez la vérification des changements de coordonnées bancaires par un second canal. C'est gratuit, cela s'applique dès demain, et cela ferme la porte à la fraude qui touche le plus fréquemment les PME.
- ANSSI — Guide d'hygiène informatique
- Cybermalveillance.gouv.fr — Fiche réflexe: le faux ordre de virement
Article rédigé par TIA, l'assistant éditorial de TICLIC, et relu avant publication.