Ingénierie sociale au service d'assistance : pourquoi le processus de récupération de compte constitue le maillon faible

Les entreprises ont passé des années à renforcer la sécurité de leur « porte d'entrée » grâce à des méthodes telles que l'authentification unique (SSO), l'authentification multifactorielle (MFA), les clés d'accès et le modèle « Zero Trust ». Mais tout programme de gestion des identités doit tout de même prévoir un processus de récupération. Lorsqu'un utilisateur perd son appareil ou se retrouve bloqué hors de son compte, l'entreprise doit décider s'il faut réinitialiser l'authentification multifactorielle, émettre de nouveaux identifiants ou associer un nouvel appareil.

Ce processus de récupération de compte fait également partie de la « porte d'entrée ». Il n'a simplement pas retenu autant l'attention, car c'est le seul cas où ces contrôles sont conçus pour être contournés. Les attaquants n'ont pas toujours besoin de contourner directement l'authentification multifactorielle (MFA) lorsqu'ils peuvent convaincre un service d'assistance ou un processus de récupération de la contourner.

En réalité, cela consiste à vérifier ce qu'une personne possède ou sait, et non pas à vérifier si la bonne personne est bel et bien présente.

Comment fonctionne réellement la récupération de compte aujourd'hui ?

Avant d'examiner les failles de la reprise après sinistre, il convient de préciser comment la plupart des organisations la gèrent concrètement.

Dans une entreprise type, un salarié dont l'accès a été bloqué dispose de deux moyens de réintégrer son poste.

Réinitialisation du mot de passe en libre-service (SSPR) : un salarié confirme une information qu’il connaît ou un élément en sa possession : des questions de sécurité, un identifiant de salarié ou un code d'accès à usage unique envoyé à un numéro enregistré ou à une adresse e-mail de secours. Le système réinitialise les identifiants ou enregistre un nouvel appareil.

Service d'assistance : La procédure assistée consiste généralement à appeler le service d’assistance informatique. Elle est souvent utilisée lorsque l’employé a perdu l’appareil ou l’authentificateur dont dépend le SSPR. L’agent pose une courte série de questions de vérification, généralement tirées des dossiers des ressources humaines, puis effectue la réinitialisation manuellement. Pour les comptes privilégiés, une étape d’approbation peut être nécessaire. Ce n’est souvent pas le cas.

En fin de compte, aucune de ces deux méthodes ne permet de vérifier l'identité de la personne. Elles vérifient toutes deux des données la concernant, et ces données se trouvent dans des systèmes piratés par des attaquants ou dans des profils consultés par ces derniers. Cette distinction est importante, car les cas que le SSPR ne peut pas traiter sont précisément ceux où les enjeux sont les plus élevés et où les contrôles sont les plus faibles.

Le service d'assistance est désormais une voie d'accès avérée aux données

Ce n'est pas une hypothèse théorique. Nous savons que l'ingénierie sociale peut contourner les contrôles d'identité les plus rigoureux en ciblant les processus d'assistance et de dépannage, et que le service d'assistance technique constitue le vecteur d'intrusion avéré dans certaines des intrusions les plus dévastatrices de ces deux dernières années.

En effet, Gartner décrit la récupération de compte suite à un mot de passe oublié ou à la perte des identifiants comme « l’étape la plus risquée du cycle de vie de la gestion des identités ».

Scattered Spider s'en est servi chez MGM, puis à nouveau lors des attaques de 2025 contre M&S, Co-op et Qantas. Chez MGM, un simple appel téléphonique de dix minutes a suffi pour contourner une infrastructure de sécurité de plusieurs millions de dollars. À la suite des incidents survenus dans le secteur de la grande distribution au Royaume-Uni, le NCSC a expressément exhorté les organisations à revoir les procédures de réinitialisation des mots de passe de leur service d’assistance, notamment la manière dont le personnel est authentifié avant toute réinitialisation, en particulier pour les comptes disposant de privilèges étendus.

L'ampleur du phénomène est avérée. Une plainte du ministère américain de la Justice rendue publique en septembre 2025 faisait état d’au moins 120 intrusions dans des réseaux impliquant 47 entités américaines, dont les victimes ayant versé au moins 115 millions de dollars en rançons. Les procureurs ont décrit une méthode récurrente dans la quasi-totalité de ces cas : appeler le service d'assistance, demander une réinitialisation de mot de passe, prendre le contrôle d'un compte administrateur, puis utiliser cet accès pour exfiltrer des données.

Le problème n'est pas que les agents soient négligents ; c'est que le processus leur demande de prendre une décision cruciale concernant l'identité d'un utilisateur en se basant sur des signaux que les pirates peuvent facilement fabriquer à grande échelle. La récupération d'un compte ne devrait pas dépendre du fait que quelqu'un décide si une demande semble légitime ; elle devrait exiger la preuve d’une présence réelle.

Les responsables de la sécurité l'ont remarqué. Dans le rapport « ID IQ 2026 » de RSA, 51 % des entreprises ont désigné le contournement du service d'assistance comme leur principal risque.

Progrès en matière de texte généré par l'IA et de clonage de voix facilitent la mise en œuvre de ces appels. Un pirate qui contacte le service d’assistance en se faisant passer pour un employé dont le compte a été verrouillé peut désormais imiter la voix de cet employé, ce qui supprime l’un des rares moyens de vérification instinctifs dont disposait l’agent. Mais l’attaque ne repose pas uniquement là-dessus. Un pirate bien préparé peut exploiter des données piratées, le contexte LinkedIn, la terminologie interne et un scénario convaincant. Sous pression, on demande à l’agent de « simplement réinitialiser l’authentification multifactorielle » ou de « m’aider à récupérer l’accès à mon compte ».

Le FBI et la CISA ont décrit ce mécanisme. Les pirates se font passer pour des utilisateurs ou des membres du service d'assistance afin de réinitialiser les mots de passe et de désactiver l'authentification multifactorielle (MFA), puis utilisent ces comptes valides pour s'assurer un accès persistant. La réinitialisation ne leur confère pas simplement une session : elle leur permet de devenir des utilisateurs de confiance.

Pour une analyse complète des exigences en matière de vérification de l'identité des employés, consultez le rapport Gartner ici.

Pourquoi les contrôles de récupération hérités échouent-ils ?

La plupart des stratégies de reprise s'appuient sur deux types de facteurs peu performants.

• Les facteurs de connaissance, tels que les questions de sécurité, les numéros d'identification des employés, les noms des responsables ou les dates de naissance, ne sont secrets que jusqu'à la prochaine faille de sécurité ou recherche sur LinkedIn. Ils prouvent la connaissance d'un élément, mais pas une identité vérifiée.
• Les facteurs liés à la possession, tels que les codes à usage unique envoyés par SMS, les applications d'authentification ou les appareils de secours, peuvent être partagés, faire l'objet d'une tentative d'hameçonnage et sont souvent indisponibles au moment précis où une récupération s'avère nécessaire. Si l'utilisateur a perdu son appareil, un moyen de contrôle lié à celui-ci ne peut constituer le seul moyen de récupérer l'accès. Les codes à usage unique (OTP) peuvent toujours faciliter le processus de récupération, mais ils ne doivent pas être considérés comme une preuve d'identité.

Les clés d'accès et les données biométriques natives des appareils sont plus sûres que les mots de passe, mais elles ne résolvent pas tous les cas de figure extrêmes liés au cycle de vie. Les clés d'accès nécessitent toujours une récupération et une réinscription en cas de changement d'appareil. Face ID et les systèmes biométriques locaux similaires autorisent l'utilisation d'un appareil ; ils ne permettent pas, à eux seuls, de prouver à nouveau à l'entreprise que le titulaire du compte est bien la personne qui demande actuellement la récupération.

La solution : revérifier l'identité de la personne, et non ses identifiants

La vérification de l'identité lors de la récupération doit respecter au moins les mêmes normes que celles appliquées lors de la connexion qu'elle remplace. Plutôt que de se demander « cette personne en sait-elle suffisamment pour paraître légitime ? », l'organisation devrait se demander « la bonne personne, la personne réelle, est-elle bien présente en ce moment ? »

Cela nécessite une détection de présence telle que la technologie iProov Dynamic Liveness®, qui confirme qu’un visage présenté lors d’un contrôle appartient à une personne réelle physiquement présente à ce moment-là, et non à une photo, un enregistrement ou un support synthétique.

Toutes les solutions ne se valent pas, et c'est au moment de l'évaluation que cette différence prend toute son importance, plutôt qu'ici. Certains systèmes ne sont testés que contre des attaques menées via une caméra. Rares sont ceux qui sont testés contre des attaques injectées directement dans le logiciel, en contournant complètement la caméra. Si vous en arrivez à comparer différents fournisseurs, voici la question à poser : contre quels types d'attaques ce système a-t-il été testé de manière indépendante , et par qui ?

Dans le cadre de la procédure de récupération, cela modifie le déroulement du processus. L'utilisateur confirme ses coordonnées, numérise une pièce d'identité si nécessaire, effectue une reconnaissance faciale avec vérification de la présence, puis seulement à ce moment-là, il réinitialise ses identifiants ou réassocie un appareil.

Et comme cette vérification génère un enregistrement correspondant à une personne identifiée plutôt qu'à une réponse correcte à une question, la réinitialisation laisse derrière elle des traces que l'ancien processus n'avait jamais générées.

La récupération biométrique dans le cloud peut s'effectuer aussi bien sur un nouvel appareil que sur un ancien ; ainsi, la perte du téléphone ne constitue pas un point de défaillance unique. Elle évite également au service d'assistance de prendre la décision la plus risquée, réduit le nombre de demandes de réinitialisation et offre aux équipes de sécurité une piste d'audit plus claire à partir du moment où la réassociation a lieu.

Qu'est-ce qu'un excellent processus de recouvrement de créances doit démontrer ?

Les responsables de la sécurité n'ont pas besoin d'une solution de secours supplémentaire offrant un faible niveau de fiabilité. Ils ont besoin d'une solution de reprise qui réponde aux questions suivantes :

• Cela revient-il à vérifier à nouveau l'identité de la personne, ou simplement à vérifier une nouvelle fois ses informations d'identification ?
• Est-ce que cela fonctionne lorsque l'appareil d'origine de l'utilisateur a disparu ?
• Est-ce que cela permet de conserver une trace des personnes qui ont été vérifiées, et pas seulement de la preuve qu’une procédure a été suivie ?
• Ses capacités en matière de « liveness » ont-elles fait l'objet de tests indépendants, et par rapport à quoi ?
• Est-ce qu'il s'adapte aux menaces émergentes, aux nouvelles techniques d'ingénierie sociale et aux tactiques d'usurpation d'identité ?

Si la réponse est non, le processus de récupération pourrait s'avérer plus vulnérable aux attaques que la procédure de connexion qu'il est censé protéger.

La récupération de compte n'est plus un simple désagrément administratif. C'est là que les systèmes de gestion des identités les plus robustes peuvent présenter des failles si l'identité de la personne n'est pas vérifiée à nouveau. Les organisations qui prennent les devants passent d'une approche axée sur « Que savez-vous ? » et « De quoi disposez-vous ? » à une approche axée sur « Pouvez-vous prouver que vous êtes bien la bonne personne, la personne réelle ? »

Regardez la session dans son intégralité

Cet article s'appuie sur notre session sur les deepfakes au travail, qui comprend des démonstrations en direct et aborde le contexte plus large du cycle de vie de l’identité, du recrutement à distance aux réunions en passant par les actions à haut risque menées par les collaborateurs.

À voir « Stranger Things » au travail : protéger votre entreprise contre le « Deepfake Upside Down », puis découvrez comment la suite de solutions iProov Workforce Solution sécurise la récupération de compte et la réassociation d'appareils – les moments où les contrôles basés sur les identifiants sont les plus vulnérables.

Récupération de compte : questions fréquentes

En quoi consiste la procédure de récupération de compte ?

La récupération de compte désigne la procédure par laquelle une organisation rétablit l’accès lorsqu’un utilisateur se retrouve bloqué, perd un appareil ou oublie ses identifiants. La plupart des entreprises proposent deux méthodes. La réinitialisation du mot de passe en libre-service (SSPR) demande à l’utilisateur de répondre à des questions de sécurité, de fournir son identifiant d’employé ou de saisir un code d’accès à usage unique envoyé sur un numéro enregistré. La procédure via le service d’assistance prend en charge tout ce que la SSPR ne peut pas gérer : un agent vérifie l’identité de l’appelant par rapport aux dossiers des ressources humaines avant de procéder manuellement à la réinitialisation. Aucune de ces deux procédures ne vérifie l’identité de la personne. Toutes deux vérifient les données la concernant.

Pourquoi la récupération de compte constitue-t-elle un risque pour la sécurité ?

La procédure de récupération est le moment où la plupart des contrôles d’authentification sont suspendus par nature. Comme elle repose sur des facteurs de connaissance et de possession susceptibles d’être contournés, d’être victimes d’hameçonnage ou d’attaques par ingénierie sociale, les attaquants peuvent contourner l’authentification multifactorielle (MFA) sans jamais la forcer. Dans le rapport ID IQ 2026 de RSA, 51 % des organisations ont désigné le contournement du service d’assistance comme leur plus grand risque.

Comment les pirates contournent-ils l'authentification à plusieurs facteurs (MFA) en passant par le service d'assistance ?

Plutôt que de contourner directement l'authentification à plusieurs facteurs (MFA), les pirates appellent le service d'assistance informatique en se faisant passer pour un employé dont le compte a été verrouillé, en utilisant des données piratées, des informations issues de LinkedIn et la terminologie interne pour répondre aux questions de vérification. Le FBI et la CISA ont constaté que le groupe « Scattered Spider » usurpait l'identité d'utilisateurs et de membres du service d'assistance pour réinitialiser des mots de passe et désactiver l'authentification à plusieurs facteurs (MFA), puis utilisait ces comptes valides pour s'assurer un accès permanent.

Comment la biométrie peut-elle sécuriser le processus de récupération de compte ?

La récupération biométrique permet de vérifier à nouveau l'identité de la personne plutôt que de simplement revérifier ses identifiants. L'utilisateur confirme ses coordonnées, numérise une pièce d'identité si nécessaire et effectue une reconnaissance faciale avec vérification de la présence avant que les identifiants ne soient réinitialisés ou qu'un nouvel appareil ne soit associé. Comme la vérification s'effectue dans le cloud plutôt que d'être liée à un appareil enregistré, elle fonctionne aussi bien sur un nouveau téléphone que sur un ancien, évite au service d'assistance de prendre la décision la plus risquée et laisse une trace d'audit indiquant qui a été vérifié.