Alors que les organisations investissent des sommes considérables pour sécuriser les processus de connexion via les systèmes d'authentification multi-facteurs (MFA) et les politiques d'accès conditionnel, il subsiste une « porte dérobée » qui pourrait anéantir toutes ces défenses : le processus de récupération d'accès via les centres de support technique (Service Desks). Le problème réside dans le fait que les critères de vérification lors de la perte d'accès sont souvent bien plus faibles que les critères de connexion habituels, ce qui ouvre une large porte à l'ingénierie sociale.
L'effondrement du modèle de vérification basé sur la connaissance
De nombreux centres de support technique reposent encore aujourd'hui sur des méthodes traditionnelles de vérification d'identité, telles que la pose de questions de connaissance (Knowledge-based verification) incluant le nom du supérieur hiérarchique, le département ou d'autres détails personnels. Ce modèle est devenu non sécurisé à l'ère numérique actuelle ; les attaquants peuvent facilement collecter ces informations sur des plateformes comme LinkedIn, les sites officiels des entreprises, ou même via des données fuitées.
Une fois que l'attaquant a obtenu ces détails, il peut usurper l'identité de l'employé et convaincre l'agent de support technique de réinitialiser le mot de passe ou d'enregistrer un nouvel appareil d'authentification, contournant ainsi la protection MFA sans avoir besoin de pirater techniquement le compte d'origine.
L'intelligence artificielle : une nouvelle arme pour l'ingénierie sociale
Les attaques ne se limitent plus aux traditionnels e-mails de phishing, mais sont passées à un niveau plus complexe grâce à l'intelligence artificielle générative. Les données indiquent un changement dangereux dans les méthodes des attaquants :
- Les deepfakes : Les attaquants peuvent utiliser des techniques de clonage vocal pour imiter le ton de la voix de l'employé, ce qui rend très difficile pour les agents de support technique de distinguer l'appelant réel de l'imposteur.
- Augmentation du taux de réussite des attaques : Selon un rapport de Verizon pour l'année 2026, les opérations d'ingénierie sociale via SMS et appels vocaux ont enregistré un taux de réussite supérieur de 40 % par rapport au phishing par e-mail.
- Élargissement de la portée : Un sondage de Gartner a montré que 62 % des organisations ont été confrontées à des attaques par deepfake ou à des opérations d'ingénierie sociale automatisées au cours de l'année écoulée.
Qu'est-ce qui change concrètement ?
Combler cette faille ne nécessite pas seulement la formation des employés, mais exige un changement radical dans la structure des processus de récupération de comptes. Il ne suffit plus de compter sur l'« intuition » ou la capacité de l'employé à distinguer la voix ou le style ; le processus de vérification doit devenir une étape technique obligatoire et non négociable.
La transition vers une vérification numérique sécurisée comprend :
- Le remplacement des questions de connaissance par des moyens de vérification numérique tels que des codes envoyés par e-mail, par SMS, ou via des applications d'authentification externes (comme Duo).
- L'intégration des processus de vérification dans le flux de travail du centre de support technique, de sorte qu'aucune action sensible (telle que la réinitialisation du mot de passe) ne soit effectuée qu'après le succès de la vérification numérique.
- La réduction de la dépendance à l'égard de l'élément humain pour prendre la décision « cette personne est-elle réellement l'employé ? » en la transformant en une décision technique basée sur des preuves numériques.
Négliger la sécurisation du parcours de récupération d'accès ne représente pas seulement un risque de sécurité, mais entraîne également des coûts opérationnels élevés ; le coût d'une seule réinitialisation de mot de passe est estimé à environ 70 dollars, sans compter la perte de productivité des employés et les heures d'arrêt causées par les piratages ou même les demandes de support non organisées.