--- id: CP-021 slug: pretexting-scenario-autorite-credible lang: fr title: Le pretexting, ou l'art du faux prétexte description: "Un faux support informatique qui appelle ou écrit pour obtenir un mot de passe : comment fonctionne le faux prétexte et comment le désamorcer." canonical_url: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Le pretexting, ou l'art du faux prétexte », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-040 schema: G5 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ en: https://startbrain.io/cyberpedia/en/articles/pretexting-credible-authority-scenario/ de: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ es: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/001/ accessed: "2026-11-03" - "n": 5 title: Scattered Spider publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 8 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Le pretexting, ou l'art du faux prétexte Un inconnu appelle, écrit ou envoie un message en se présentant comme quelqu'un qui a le droit de poser des questions : le support informatique, un fournisseur, une banque, un nouveau collègue. Il n'a pas besoin de pirater quoi que ce soit si l'interlocuteur lui donne lui-même un mot de passe, un code ou une information interne. La CISA décrit ce schéma : l'attaquant peut se dire nouvel employé, réparateur ou chercheur, offrir de fausses preuves d'identité, puis recouper les réponses obtenues [1]. Cette technique s'appuie sur un faux prétexte, d'où son nom anglais, pretexting. MITRE la range parmi les techniques de collecte d'informations par hameçonnage : le but est de faire révéler des données à la victime, souvent des identifiants, plutôt que de lui faire exécuter un programme malveillant [2]. ## En 30 secondes - Où ça arrive : au téléphone [3], par SMS [5], par message Teams [7] ou par courriel [2]. - Ce que veut l'attaquant : des identifiants ou d'autres informations exploitables [2], parfois un code à usage unique [2]. - Le réflexe : ne rien donner à celui qui a pris contact et vérifier son identité directement auprès de l'organisation dont il se réclame [1]. - Si c'est déjà fait : prévenir tout de suite les personnes compétentes dans l'entreprise, changer les mots de passe révélés [1]. ## Questions directes ### Qu'est-ce que le pretexting ? C'est une forme d'ingénierie sociale : l'attaquant utilise le contact humain pour obtenir ou compromettre des informations sur une organisation ou ses systèmes [1]. Le prétexte (une panne à réparer, un compte à vérifier, un virement à régler) donne une raison plausible de demander quelque chose. ### Pourquoi le message semble-t-il si crédible ? Parce que l'attaquant s'est renseigné avant. MITRE note que ces approches reprennent des informations issues d'une reconnaissance préalable, par exemple sur les réseaux sociaux ou sur les sites de l'entreprise visée, pour fabriquer des leurres vraisemblables [4]. Dans le cas de Scattered Spider, la CISA cite des informations tirées des réseaux sociaux, de sources ouvertes, d'outils de renseignement commerciaux et de fuites de bases de données [5]. ### Qui est visé ? Tout le monde, mais le support informatique l'est particulièrement. Microsoft observe que le groupe Octo Tempest s'en prend souvent aux administrateurs techniques, comme le personnel de support et de help desk, dont les droits permettent d'ouvrir l'accès à des comptes [6]. ### Que demande l'attaquant ? Les demandes vues dans les sources sont concrètes : des identifiants, un code à usage unique, la réinitialisation d'un mot de passe, le transfert d'un second facteur d'authentification vers un appareil que l'attaquant contrôle, ou l'installation d'un outil d'accès à distance [3][5][7]. ### Que faire si on a répondu ? La CISA conseille de signaler l'incident aux personnes compétentes de l'organisation, dont les administrateurs réseau, qui pourront surveiller toute activité inhabituelle, et de changer sans attendre les mots de passe révélés, sur chaque compte où le même mot de passe servait [1]. ## Dans la peau de l'attaquant L'attaquant commence par rassembler des noms, des fonctions et des procédures. Un faux profil sur un réseau social peut servir d'entrée : MITRE décrit des comptes factices qui proposent des offres d'emploi aux salariés, ce qui donne une raison plausible de poser des questions sur les services, les règles et l'environnement informatique [4]. Les identités de salariés peuvent aussi venir de fuites antérieures : MITRE rapporte que Scattered Spider a utilisé des informations issues de violations de données passées pour trouver des noms d'employés à employer dans ses manœuvres [7]. Vient ensuite la mise en scène. Un attaquant qui n'obtient pas assez d'informations auprès d'une personne en sollicite une autre dans la même organisation et s'appuie sur la première réponse pour paraître légitime [1]. Les appels de Scattered Spider se déroulent fréquemment en plusieurs fois : les premiers servent à apprendre comment le help desk traite une réinitialisation de mot de passe, les suivants à réunir les éléments propres à l'employé visé [5]. Enfin, la pression. MITRE signale la pose en source de confiance et l'envoi de plusieurs messages d'apparence urgente [2], ainsi que le sentiment d'urgence ou d'alarme créé chez le destinataire dans le cas du hameçonnage vocal [3]. ## Ce que vous voyez à l'écran Les formes observées dans les sources sont les suivantes. - Un appel d'un prétendu technicien qui demande d'installer un outil de télémaintenance. MITRE cite des appels de Scattered Spider se faisant passer pour le personnel informatique afin de pousser les victimes à télécharger un tel outil [3]. - Un message sur Microsoft Teams d'un faux support interne, relevé par MITRE chez Scattered Spider [7]. - Un courriel dont l'expéditeur usurpe l'identité d'un tiers, ce qui peut tromper à la fois le destinataire et les outils de sécurité automatiques [2]. - Un message qui invite à rappeler un numéro de téléphone, où l'attaquant tente de recueillir des informations confidentielles [2]. La CISA liste aussi des signaux d'alerte classiques : une adresse d'expéditeur proche de celle d'une vraie entreprise dont quelques caractères sont modifiés ou supprimés, une formule d'appel générique, des liens dont l'adresse ne correspond pas au texte, des fautes ou une mise en page incohérente, une pièce jointe non sollicitée avec une fausse urgence [1]. Ces signaux ne suffisent pas toujours : une demande bien rédigée, bien documentée, peut n'en comporter aucun. Voici une illustration neutralisée, décrite d'après les noms de domaine que cite la CISA (le nom de l'entreprise visée suivi de « helpdesk » ou d'un service d'authentification unique) [5] : ```text Illustration, adresse neutralisée : nom-de-l-entreprise-helpdesk[.]invalid [Message paraphrasé : le « support » demande de se connecter sur ce site pour vérifier le compte.] ``` ## Sous le capot Trois mécanismes se combinent. D'abord la collecte d'informations (organigramme, noms, procédures) qui fournit le décor du prétexte [4][5]. Ensuite l'usurpation d'identité : un salarié, un technicien ou un nouvel embauché. Microsoft rapporte qu'Octo Tempest mime l'idiolecte des personnes imitées au téléphone, connaît leurs données personnelles et s'est fait passer pour de nouveaux employés afin de se fondre dans les procédures d'arrivée [6]. Enfin l'autorité et l'urgence, qui poussent à répondre vite. Le téléphone facilite la tromperie. La CISA souligne que la téléphonie par internet permet d'usurper facilement l'identifiant de l'appelant, ce qui profite à la confiance mal placée du public dans la sécurité du téléphone [1]. Quand l'attaquant se fait passer pour un salarié auprès du support, le but est de faire réinitialiser un mot de passe ou transférer l'authentification multifacteur vers un appareil qu'il contrôle [5]. Microsoft décrit même des cas où il contourne la procédure en utilisant le compte d'un responsable déjà compromis pour approuver ses demandes [6]. Les confirmations internes ne valent donc que si le canal lui-même est sûr. ## Autopsies ### Début 2022 : Octo Tempest et les échanges de cartes SIM Selon Microsoft, le groupe Octo Tempest a été observé pour la première fois début 2022. Il visait des opérateurs de téléphonie mobile et des sociétés d'externalisation de processus pour déclencher des portages de numéros, les échanges de cartes SIM. En 2022, il a tiré profit de ces intrusions en vendant des échanges de SIM à d'autres criminels et en prenant le contrôle de comptes de personnes très fortunées pour voler leurs cryptomonnaies [6]. ### 25 octobre 2023 : Microsoft décrit les méthodes d'Octo Tempest Dans son billet du 25 octobre 2023, Microsoft explique que ce groupe appelle le help desk d'une organisation pour obtenir la réinitialisation du mot de passe d'un utilisateur ou l'ajout d'un facteur d'authentification [6]. Il peut aussi, une fois maître du numéro de téléphone d'un employé, lancer une réinitialisation en libre-service du compte [6]. ### 16 novembre 2023 et 29 juillet 2025 : l'avis conjoint sur Scattered Spider L'avis conjoint de la CISA, du FBI et d'agences partenaires a été publié le 16 novembre 2023, puis mis à jour le 21 novembre 2023 et le 29 juillet 2025 [5]. Il décrit un groupe qui cible de grandes entreprises et leurs services d'assistance informatique sous-traités [5]. Ses membres se sont fait passer pour le personnel informatique ou le support par appel ou SMS pour obtenir des identifiants, et pour des employés afin de convaincre le support de réinitialiser un mot de passe et de transférer le second facteur [5]. L'avis recommande l'authentification multifacteur résistante à l'hameçonnage, protégée contre le bombardement de notifications et l'échange de SIM [5]. ## Ce qu'on fait Le réflexe se résume ainsi : on ne répond pas à celui qui a pris contact, on vérifie par un autre canal. - Soyez méfiant devant un appel, une visite ou un message non sollicité qui pose des questions sur les salariés ou l'organisation interne. Si l'inconnu se réclame d'une organisation légitime, vérifiez son identité directement auprès d'elle [1]. - Ne donnez pas d'informations sur vous ni sur l'entreprise, structure et réseaux compris, sans être certain que la personne a le droit de les connaître [1]. - En cas de doute sur une demande par courriel, contactez l'organisme directement, sans utiliser les coordonnées figurant dans le message ou sur le site lié à la demande : cherchez-les dans des échanges antérieurs [1]. - Signalez la tentative, même si vous n'avez rien donné. Le NCSC britannique recommande une culture où l'on signale sans crainte de reproche, car les salariés qui redoutent des sanctions ne signalent pas leurs erreurs [8]. Côté organisation, MITRE rappelle que les utilisateurs peuvent être formés à repérer et signaler ces techniques, et à se méfier des appelants en vérifiant leur identité [3]. ## Sources 1. CISA, « Avoiding Social Engineering and Phishing Attacks », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/004/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/001/ (consulté le 3 novembre 2026) 5. CISA, « Scattered Spider », 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consulté le 3 novembre 2026) 6. Microsoft, « Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction », 25 octobre 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consulté le 3 novembre 2026) 7. MITRE ATT&CK, « Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® ». https://attack.mitre.org/groups/G1015/ (consulté le 3 novembre 2026) 8. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.