Vendredi, dix-huit heures dix. Deux agents restent au support informatique, la file affiche quatre appels. Le suivant se présente comme Marc, de la direction financière. Il est à l’aéroport, son vol embarque dans quarante minutes, son nouveau téléphone refuse le transfert de l’authentificateur et le voilà bloqué avant la clôture de lundi. Matricule sous la main. Il connaît le nom de sa manager, en congé jusqu’à mercredi, donc injoignable pour confirmer. Poli, un peu gêné, stressé juste comme il faut. L’agent a clôturé quarante et un tickets aujourd’hui. Réinitialiser un authentificateur prend quatre minutes et raccourcit la file comme la soirée de ce monsieur.

Cet appel, aux détails près, c’est la chute de MGM Resorts en septembre 2023. En miroir, c’est aussi la manière dont des milliers de salariés se laissent convaincre par un faux support informatique d’installer un outil de prise en main à distance. Une seule faiblesse, deux directions : au téléphone, aucune des deux parties ne peut prouver qui elle est.

Un appel de dix minutes, dix jours d’arrêt

Début septembre 2023, des attaquants liés au groupe Scattered Spider ont repéré un employé de MGM sur LinkedIn, ont appelé le support de l’entreprise et se sont fait passer pour lui. L’appel aurait duré une dizaine de minutes. La réinitialisation obtenue a mené à un accès privilégié dans l’environnement d’identité Okta de MGM, puis à un rançongiciel déployé sur tout le groupe : machines à sous condamnées à Las Vegas, clés de chambre numériques mortes, réservations hors ligne, environ dix jours de perturbation. Dans un dépôt boursier le mois suivant, MGM a chiffré l’impact à quelque 100 millions de dollars pour le trimestre, plus 10 millions de frais exceptionnels, et confirmé le vol de données clients, jusqu’aux numéros de passeport.

L’affaire Clorox est moins connue et plus instructive pour qui externalise son support. En août 2023, un correspondant a appelé le service desk opéré par Cognizant pour Clorox et a demandé des réinitialisations de mots de passe et de MFA. Selon la plainte déposée par Clorox en juillet 2025, les agents les ont fournies sans matricule, sans nom de manager, sans rien de ce que la procédure exigeait ; des transcriptions citées montrent l’agent livrant simplement les identifiants. Clorox affirme que la brèche a forcé ses usines en fonctionnement manuel et provoqué des mois de pénuries ; elle réclame environ 380 millions de dollars. Quelle que soit la décision du tribunal, la vérification au support est désormais une question de conseil d’administration, et un objet de contentieux. Si votre processus de réinitialisation vit chez un prestataire, le contrat pèse autant que le pare-feu.

La même arnaque fonctionne dans l’autre sens

Inversez les rôles et le script tient toujours : l’attaquant appelle un salarié en se faisant passer pour le support. « Sécurité informatique bonjour, nous détectons un logiciel malveillant sur votre poste, installez cet outil d’assistance », ou « je viens de déclencher une réinitialisation, lisez-moi le code pour confirmer que c’est bien vous ». Une variante épuise d’abord la cible avec une pluie de notifications MFA à deux heures du matin, puis rappelle le lendemain en « support IT » venu faire cesser la nuisance.

L’avis conjoint de la CISA et du FBI sur Scattered Spider, publié en novembre 2023 et mis à jour en juillet 2025, décrit exactement ce double manuel : des acteurs qui se font passer pour des salariés auprès des supports pour obtenir des réinitialisations, et pour l’IT auprès des salariés pour récolter des identifiants et faire installer des outils d’accès à distance. Précision utile : la fiche « faux support technique » de Cybermalveillance.gouv.fr décrit surtout l’arnaque grand public, la fenêtre qui hurle au virus et fait appeler un faux Microsoft. L’attaque en entreprise est une autre bête : ciblée, préparée, fluide, contre des gens sans aucun moyen de vérifier que « l’IT » au bout du fil est bien l’IT.

Pourquoi les questions de connaissance ne prouvent plus rien

La plupart des supports vérifient l’appelant en lui demandant ce qu’il est censé savoir : matricule, date de naissance, nom du manager, dernier ticket ouvert. Aujourd’hui, l’organigramme est sur LinkedIn, les dates de naissance et adresses dorment dans les fuites de données, et les journaux d’infostealers vendus quelques euros contiennent l’historique du salarié, ses mots de passe et des captures d’écran de l’intranet. L’attaquant a tout cela sous les yeux en composant le numéro.

Problème plus cruel, récurrent dans les rapports d’incident : l’attaquant est meilleur que le vrai salarié. Le vrai Marc, paniqué, bafouille sur son matricule et ne se souvient plus du ticket ouvert en mars. L’imposteur répond du tac au tac, parce qu’il a préparé. Des agents évalués sur la durée de traitement apprennent à lire l’assurance comme une preuve d’authenticité, et c’est précisément ce qui ne manque jamais à un ingénieur social. La vérification par la connaissance ne fait pas qu’échouer face à cet adversaire ; elle le sélectionne.

Les vraies contre-mesures, avec leur vrai coût

Le rappel est le contrôle simple le plus solide : raccrochez et rappelez le salarié sur le numéro enregistré dans le SIRH, jamais sur celui qui vient d’appeler. Cela fonctionne parce que l’attaquant ne contrôle pas ce téléphone. Les coûts sont réels : les numéros vieillissent, les nouveaux arrivants manquent dans la base, et un SIM swap, autre technique du même groupe, peut capturer le rappel. Le prétexte « j’ai perdu mon téléphone » est conçu pour rendre le rappel inutile en apparence. Il ne l’est pas : une histoire de téléphone perdu doit faire monter le niveau de vérification, jamais le baisser.

L’appel vidéo avec contrôle de vivacité, où l’agent compare l’appelant à la photo RH, relève la barre, mais l’échange de visage en temps réel est devenu banal : un agent qui plisse les yeux devant un flux compressé n’est pas un détecteur de deepfake. La vidéo renchérit l’attaque ; elle ne la supprime pas.

L’approbation managériale ajoute un deuxième humain. Elle est aussi lente, elle casse quand le manager est en avion, et elle pose la question de la vérification de l’approbation elle-même. Un e-mail « du » manager est exactement aussi falsifiable que l’appel d’origine.

Les passkeys et FIDO2 changent la valeur d’une réinitialisation volée : avec des identifiants résistants au phishing, plus de mot de passe à donner ni de code à lire à voix haute. Mais l’enrôlement et la récupération deviennent le nouveau joyau de la couronne. « Enregistrer une nouvelle passkey pour cet utilisateur » équivaut à émettre une identité : traitez cette action comme un changement à privilèges, pas comme un ticket de routine.

Un protocole de vérification dans les deux sens

La forme d’une procédure défendable, comprimée :

Classez les actions par risque. Mot de passe, réenrôlement MFA et compte à privilèges sont trois classes différentes. Chaque classe exige une vérification plus forte ; la plus haute ne se conclut jamais sur un seul appel entrant.
Bannissez la connaissance statique comme preuve. Tout ce qui se trouve en ligne sur une personne ne prouve rien. Cela peut router un ticket ; jamais en autoriser un.
Rappelez toujours sur le numéro du dossier RH. Si l’appelant affirme que ce numéro est mort, la demande escalade vers une vérification en personne ou en vidéo avec un second approbateur. Jamais l’inverse.
Traitez les changements de MFA et de coordonnées comme des opérations à privilèges. Notifiez l’ancien appareil et le manager, et retenez le changement dans une fenêtre où le vrai salarié peut s’opposer.
Donnez aux agents le droit de refuser. Aucun dirigeant, si furieux soit-il, n’a droit à une réinitialisation dans le même appel ; écrivez-le. Un agent qui dit non sous pression est remercié, publiquement.
Dites aux salariés ce que l’IT ne fera jamais. L’IT n’appelle jamais spontanément pour faire lire un code, approuver une notification, installer un logiciel ou partager un mot de passe. Une phrase, répétée jusqu’à l’ennui.

Pour l’autre direction, une seule habitude complète cette règle : raccrochez et rappelez via le numéro interne publié du support, ou ouvrez un ticket, puis signalez l’appel d’origine même si vous n’êtes pas tombé dans le panneau. Le premier salarié qui signale un faux appel IT est souvent le seul avertissement que reçoit l’équipe sécurité.

Une vérification qui ne repose ni sur la connaissance ni sur la voix

Tout ce qui précède s’appuie encore sur un canal où l’identité s’affirme, puis se discute. Cette asymétrie est la raison d’être de Hongi. Deux personnes s’apparient une fois, en scannant un QR code ; ensuite, chacune voit un mot de code rotatif, renouvelé toutes les 30 secondes et calculé hors ligne sur son propre appareil. Quand quelqu’un appelle en se disant collègue, ou support informatique, vous demandez le mot de code du moment. Un imposteur ne peut pas le connaître : il ne figure dans aucune fuite, il ne se clone pas comme une voix, et il a déjà changé avant de pouvoir être rejoué.

Pour une petite équipe, cela fonctionne dès aujourd’hui avec l’application gratuite : appariez chaque salarié avec le support, ou les collègues entre eux, en un après-midi. Soyons francs sur les limites : à l’échelle d’un grand groupe, il faudrait une intégration annuaire et un SDK dans vos outils existants ; ce chantier est sur notre feuille de route, pas encore dans le produit. Les détails sont sur notre page pour les organisations, et la FAQ explique le mécanisme du mot de code.

Le support informatique se trouvait autrefois derrière le périmètre. Aujourd’hui, il est le périmètre. Vérifiez en conséquence.