Ingénierie sociale au service d'assistance : pourquoi la récupération de compte est le maillon faible

Les entreprises ont passé des années à renforcer la sécurité de leur « porte d'entrée » grâce à des méthodes telles que l'authentification unique (SSO), l'authentification multifactorielle (MFA), les clés d'accès et le modèle « Zero Trust ». Mais tout programme de gestion des identités doit tout de même prévoir un processus de récupération. Lorsqu'un utilisateur perd son appareil ou se retrouve bloqué hors de son compte, l'entreprise doit décider s'il faut réinitialiser l'authentification multifactorielle, émettre de nouveaux identifiants ou associer un nouvel appareil. 

Il est intéressant de noter que la récupération de compte est peut-être la partie la plus dangereuse de la surface d’attaque, mais elle fait pourtant rarement l’objet d’une attention équivalente. Les attaquants n’ont pas toujours besoin de contourner directement l’authentification multifactorielle (MFA) lorsqu’ils peuvent persuader un service d’assistance ou un processus de récupération de la contourner. 

Si la récupération repose sur des faits connus, des codes partageables ou le jugement d'un agent, cela revient en réalité à vérifier ce que quelqu'un a ou sait – et non pas de vérifier si la bonne personne est réellement présente.

Comment fonctionne réellement la récupération de compte aujourd'hui ?

Avant d'examiner les failles de la reprise après sinistre, il convient de préciser comment la plupart des organisations la gèrent concrètement.

Dans une entreprise type, un salarié dont l'accès a été bloqué dispose de deux moyens de réintégrer son poste.

Réinitialisation du mot de passe en libre-service (SSPR) : un salarié confirme une information qu’il connaît ou un élément en sa possession : des questions de sécurité, un identifiant de salarié ou un code d'accès à usage unique envoyé à un numéro enregistré ou à une adresse e-mail de secours. Le système réinitialise les identifiants ou enregistre un nouvel appareil.

Service d'assistance : La procédure d’assistance consiste généralement en un appel téléphonique au service d’assistance informatique. Elle est souvent sollicitée lorsque l’employé a perdu l’appareil ou l’authentificateur dont dépend le SSPR. L’agent pose une courte série de questions de vérification, généralement issues des dossiers des ressources humaines, puis effectue la réinitialisation manuellement. Pour les comptes privilégiés, une étape de validation peut être requise. Souvent, ce n’est pas le cas. Ces données peuvent être interceptées, avoir été découvertes lors d’une fuite d’informations, ou avoir été extraites au préalable de la cible. C’est cette faille qui s’avère si dangereuse. 

En fin de compte, aucune de ces deux méthodes ne vérifie l'identité de la personne. Elles vérifient toutes deux des données la concernant. Cette distinction est importante, car les cas que le SSPR ne peut pas traiter sont précisément ceux qui présentent les enjeux les plus importants et les contrôles les plus faibles.

Le service d'assistance est désormais une voie d'accès avérée aux données

Ce n'est pas une hypothèse théorique. Nous savons que l'ingénierie sociale peut contourner les contrôles d'identité les plus rigoureux en ciblant les processus d'assistance et de dépannage, et que le service d'assistance technique constitue le vecteur d'intrusion avéré dans certaines des intrusions les plus dévastatrices de ces deux dernières années.

En effet, Gartner décrit la récupération de compte suite à un mot de passe oublié ou à la perte des identifiants comme « l’étape la plus risquée du cycle de vie de la gestion des identités ».

Scattered Spider s'en est servi chez MGM, puis à nouveau lors des attaques de 2025 contre M&S, Co-op et Qantas. Chez MGM, un simple appel téléphonique de dix minutes a suffi pour contourner une infrastructure de sécurité de plusieurs millions de dollars. À la suite des incidents survenus dans le secteur de la grande distribution au Royaume-Uni, le NCSC a expressément exhorté les organisations à revoir les procédures de réinitialisation des mots de passe de leur service d’assistance, notamment la manière dont le personnel est authentifié avant toute réinitialisation, en particulier pour les comptes disposant de privilèges étendus.

L'ampleur du phénomène est avérée. Une plainte du ministère américain de la Justice rendue publique en septembre 2025 faisait état d’au moins 120 intrusions dans des réseaux impliquant 47 entités américaines, dont les victimes ayant versé au moins 115 millions de dollars en rançons. Les procureurs ont décrit une méthode récurrente dans la quasi-totalité de ces cas : appeler le service d'assistance, demander une réinitialisation de mot de passe, prendre le contrôle d'un compte administrateur, puis utiliser cet accès pour exfiltrer des données.

Le problème n’est pas que les agents manquent de rigueur ; c’est que le processus leur impose de prendre une décision cruciale concernant l’identité d’une personne en se basant sur des indices que les pirates peuvent facilement fabriquer en grande quantité. La récupération d’un compte ne devrait pas dépendre de la décision d’une personne chargée de déterminer si une demande semble légitime ; elle devrait exiger la preuve d’une présence réelle. 

Progrès en matière de texte généré par l'IA et de clonage de voix facilitent la mise en œuvre de ces appels. Un pirate qui contacte le service d’assistance en se faisant passer pour un employé dont le compte a été verrouillé peut désormais imiter la voix de cet employé, ce qui supprime l’un des rares moyens de vérification instinctifs dont disposait l’agent. Mais l’attaque ne repose pas uniquement là-dessus. Un pirate bien préparé peut exploiter des données piratées, le contexte LinkedIn, la terminologie interne et un scénario convaincant. Sous pression, on demande à l’agent de « simplement réinitialiser l’authentification multifactorielle » ou de « m’aider à récupérer l’accès à mon compte ».

Le FBI et la CISA ont mis en évidence l'étape la plus cruciale. Les pirates ne se sont pas contentés de réinitialiser des mots de passe. Ils ont réinitialisé des jetons d'authentification multifactorielle (MFA), puis ont enregistré leurs propres dispositifs d'authentification. Cette réinitialisation ne leur a pas simplement donné un accès temporaire. Elle a fait d'eux des utilisateurs de confiance.

Pourquoi les contrôles de récupération hérités échouent-ils ?

La plupart des stratégies de reprise s'appuient sur deux types de facteurs peu performants.

• Les facteurs de connaissance, tels que les questions de sécurité, les numéros d'identification des employés, les noms des responsables ou les dates de naissance, ne sont secrets que jusqu'à la prochaine faille de sécurité ou recherche sur LinkedIn. Ils prouvent la connaissance d'un élément, mais pas une identité vérifiée.
• Les facteurs liés à la possession, tels que les codes à usage unique envoyés par SMS, les applications d'authentification ou les appareils de secours, peuvent être partagés, faire l'objet d'une tentative d'hameçonnage et sont souvent indisponibles au moment précis où une récupération s'avère nécessaire. Si l'utilisateur a perdu son appareil, un moyen de contrôle lié à celui-ci ne peut constituer le seul moyen de récupérer l'accès. Les codes à usage unique (OTP) peuvent toujours faciliter le processus de récupération, mais ils ne doivent pas être considérés comme une preuve d'identité.

Les clés d'accès et les données biométriques natives des appareils sont plus sûres que les mots de passe, mais elles ne résolvent pas tous les cas de figure extrêmes liés au cycle de vie. Les clés d'accès nécessitent toujours une récupération et une réinscription en cas de changement d'appareil. Face ID et les systèmes biométriques locaux similaires autorisent l'utilisation d'un appareil ; ils ne permettent pas, à eux seuls, de prouver à nouveau à l'entreprise que le titulaire du compte est bien la personne qui demande actuellement la récupération.

La solution : revérifier l'identité de la personne, et non ses identifiants

La vérification de l'identité lors de la récupération doit respecter au moins les mêmes normes que celles appliquées lors de la connexion qu'elle remplace. Plutôt que de se demander « cette personne en sait-elle suffisamment pour paraître légitime ? », l'organisation devrait se demander « la bonne personne, la personne réelle, est-elle bien présente en ce moment ? »

Cela nécessite une détection de présence, qui confirme qu’un visage présenté lors d’un contrôle appartient à une personne réelle physiquement présente à ce moment-là, et non à une photo, un enregistrement ou un support synthétique.

Toutes les solutions ne se valent pas, et c'est au moment de l'évaluation que cette différence prend tout son sens, plutôt qu'ici. Certains systèmes ne sont testés que contre des attaques menées via une caméra. Rares sont ceux qui sont testés contre des attaques injectées directement dans le logiciel, en contournant complètement la caméra. Si vous en arrivez à comparer différents fournisseurs, voici la question à poser : contre quels types d'attaques ce système a-t-il été testé de manière indépendante , et par qui ?

Dans le cadre de la procédure de récupération, cela modifie le déroulement du processus. L'utilisateur confirme ses coordonnées, scanne une pièce d'identité si nécessaire, effectue une reconnaissance faciale avec vérification de la présence, puis seulement à ce moment-là, il réinitialise ses identifiants ou réassocie un appareil.

Et comme cette vérification génère un enregistrement correspondant à une personne identifiée plutôt qu'à une réponse correcte à une question, la réinitialisation laisse derrière elle des traces que l'ancien processus n'avait jamais générées.

La récupération biométrique dans le cloud peut s'effectuer aussi bien sur un nouvel appareil que sur un ancien ; ainsi, la perte du téléphone ne constitue pas un point de défaillance unique. Elle évite également au service d'assistance de prendre la décision la plus risquée, réduit le nombre de demandes de réinitialisation et offre aux équipes de sécurité une piste d'audit plus claire à partir du moment où la réassociation a lieu.

Qu'est-ce qu'un excellent processus de recouvrement de créances doit démontrer ?

Les responsables de la sécurité n'ont pas besoin d'une solution de secours supplémentaire offrant un faible niveau de fiabilité. Ils ont besoin d'une solution de reprise qui réponde aux questions suivantes :

• Cela revient-il à vérifier à nouveau l'identité de la personne, ou simplement à vérifier une nouvelle fois ses informations d'identification ?
• Est-ce que cela fonctionne lorsque l'appareil d'origine de l'utilisateur a disparu ?
• Est-ce que cela permet de conserver une trace des personnes qui ont été vérifiées, et pas seulement de la preuve qu’une procédure a été suivie ?
• Ses capacités en matière de « liveness » ont-elles fait l'objet de tests indépendants, et par rapport à quoi ?
• Est-ce qu'il s'adapte aux menaces émergentes, aux nouvelles techniques d'ingénierie sociale et aux tactiques d'usurpation d'identité ?

Si la réponse est non, le processus de récupération pourrait s'avérer plus vulnérable aux attaques que la procédure de connexion qu'il est censé protéger.

La récupération de compte n'est plus un simple désagrément administratif. C'est là que les systèmes de gestion des identités les plus robustes peuvent présenter des failles si l'identité de la personne n'est pas vérifiée à nouveau. Les organisations qui prennent les devants passent d'une approche axée sur « Que savez-vous ? » et « De quoi disposez-vous ? » à une approche axée sur « Pouvez-vous prouver que vous êtes bien la bonne personne, la personne réelle ? »

Regardez la session dans son intégralité

Cet article s'appuie sur notre session sur les deepfakes en milieu professionnel, qui comprend des démonstrations en direct et aborde le contexte plus large du cycle de vie de l'identité, du recrutement à distance aux réunions en passant par les actions à haut risque menées par les collaborateurs. 

À voir « Stranger Things » au travail : protéger votre entreprise contre le « Deepfake Upside Down », puis découvrez comment la suite de solutions iProov Workforce Solution sécurise la récupération de compte et la réassociation d'appareils – les moments où les contrôles basés sur les identifiants sont les plus vulnérables.