Cyberpediapar Brain
FRDEEN

Le pretexting, ou l'art du faux prétexte

Un faux support informatique qui appelle ou écrit pour obtenir un mot de passe : comment fonctionne le faux prétexte et comment le désamorcer.

En 30 secondes

Où ça arrive
Au téléphone3, par SMS5, par message Teams7 ou par courriel2.
Ce que veut l'attaquant
Des identifiants ou d'autres informations exploitables2, parfois un code à usage unique2.
Le réflexe
Ne rien donner à celui qui a pris contact et vérifier son identité directement auprès de l'organisation dont il se réclame1.
Si c'est déjà fait
Prévenir tout de suite les personnes compétentes dans l'entreprise, changer les mots de passe révélés1.

De quoi parle-t-on

Un inconnu appelle, écrit ou envoie un message en se présentant comme quelqu'un qui a le droit de poser des questions : le support informatique, un fournisseur, une banque, un nouveau collègue. Il n'a pas besoin de pirater quoi que ce soit si l'interlocuteur lui donne lui-même un mot de passe, un code ou une information interne. La CISA décrit ce schéma : l'attaquant peut se dire nouvel employé, réparateur ou chercheur, offrir de fausses preuves d'identité, puis recouper les réponses obtenues1.

Cette technique s'appuie sur un faux prétexte, d'où son nom anglais, pretexting. MITRE la range parmi les techniques de collecte d'informations par hameçonnage : le but est de faire révéler des données à la victime, souvent des identifiants, plutôt que de lui faire exécuter un programme malveillant2.

Questions directes

Qu'est-ce que le pretexting ?

C'est une forme d'ingénierie sociale : l'attaquant utilise le contact humain pour obtenir ou compromettre des informations sur une organisation ou ses systèmes1. Le prétexte (une panne à réparer, un compte à vérifier, un virement à régler) donne une raison plausible de demander quelque chose.

Pourquoi le message semble-t-il si crédible ?

Parce que l'attaquant s'est renseigné avant. MITRE note que ces approches reprennent des informations issues d'une reconnaissance préalable, par exemple sur les réseaux sociaux ou sur les sites de l'entreprise visée, pour fabriquer des leurres vraisemblables4. Dans le cas de Scattered Spider, la CISA cite des informations tirées des réseaux sociaux, de sources ouvertes, d'outils de renseignement commerciaux et de fuites de bases de données5.

Qui est visé ?

Tout le monde, mais le support informatique l'est particulièrement. Microsoft observe que le groupe Octo Tempest s'en prend souvent aux administrateurs techniques, comme le personnel de support et de help desk, dont les droits permettent d'ouvrir l'accès à des comptes6.

Que demande l'attaquant ?

Les demandes vues dans les sources sont concrètes : des identifiants, un code à usage unique, la réinitialisation d'un mot de passe, le transfert d'un second facteur d'authentification vers un appareil que l'attaquant contrôle, ou l'installation d'un outil d'accès à distance357.

Que faire si on a répondu ?

La CISA conseille de signaler l'incident aux personnes compétentes de l'organisation, dont les administrateurs réseau, qui pourront surveiller toute activité inhabituelle, et de changer sans attendre les mots de passe révélés, sur chaque compte où le même mot de passe servait1.

1Dans la peau de l'attaquant1 min

L'attaquant commence par rassembler des noms, des fonctions et des procédures. Un faux profil sur un réseau social peut servir d'entrée : MITRE décrit des comptes factices qui proposent des offres d'emploi aux salariés, ce qui donne une raison plausible de poser des questions sur les services, les règles et l'environnement informatique4. Les identités de salariés peuvent aussi venir de fuites antérieures : MITRE rapporte que Scattered Spider a utilisé des informations issues de violations de données passées pour trouver des noms d'employés à employer dans ses manœuvres7.

Vient ensuite la mise en scène. Un attaquant qui n'obtient pas assez d'informations auprès d'une personne en sollicite une autre dans la même organisation et s'appuie sur la première réponse pour paraître légitime1. Les appels de Scattered Spider se déroulent fréquemment en plusieurs fois : les premiers servent à apprendre comment le help desk traite une réinitialisation de mot de passe, les suivants à réunir les éléments propres à l'employé visé5.

Enfin, la pression. MITRE signale la pose en source de confiance et l'envoi de plusieurs messages d'apparence urgente2, ainsi que le sentiment d'urgence ou d'alarme créé chez le destinataire dans le cas du hameçonnage vocal3.

2Ce que vous voyez à l'écran1 min

Les formes observées dans les sources sont les suivantes.

  • Un appel d'un prétendu technicien qui demande d'installer un outil de télémaintenance. MITRE cite des appels de Scattered Spider se faisant passer pour le personnel informatique afin de pousser les victimes à télécharger un tel outil3.
  • Un message sur Microsoft Teams d'un faux support interne, relevé par MITRE chez Scattered Spider7.
  • Un courriel dont l'expéditeur usurpe l'identité d'un tiers, ce qui peut tromper à la fois le destinataire et les outils de sécurité automatiques2.
  • Un message qui invite à rappeler un numéro de téléphone, où l'attaquant tente de recueillir des informations confidentielles2.

La CISA liste aussi des signaux d'alerte classiques : une adresse d'expéditeur proche de celle d'une vraie entreprise dont quelques caractères sont modifiés ou supprimés, une formule d'appel générique, des liens dont l'adresse ne correspond pas au texte, des fautes ou une mise en page incohérente, une pièce jointe non sollicitée avec une fausse urgence1. Ces signaux ne suffisent pas toujours : une demande bien rédigée, bien documentée, peut n'en comporter aucun.

Voici une illustration neutralisée, décrite d'après les noms de domaine que cite la CISA (le nom de l'entreprise visée suivi de « helpdesk » ou d'un service d'authentification unique)5 :

Extrait
Illustration, adresse neutralisée :
nom-de-l-entreprise-helpdesk[.]invalid
[Message paraphrasé : le « support » demande de se connecter sur ce site pour vérifier le compte.]
3Sous le capotÉquipes IT1 min

Trois mécanismes se combinent. D'abord la collecte d'informations (organigramme, noms, procédures) qui fournit le décor du prétexte45. Ensuite l'usurpation d'identité : un salarié, un technicien ou un nouvel embauché. Microsoft rapporte qu'Octo Tempest mime l'idiolecte des personnes imitées au téléphone, connaît leurs données personnelles et s'est fait passer pour de nouveaux employés afin de se fondre dans les procédures d'arrivée6. Enfin l'autorité et l'urgence, qui poussent à répondre vite.

Le téléphone facilite la tromperie. La CISA souligne que la téléphonie par internet permet d'usurper facilement l'identifiant de l'appelant, ce qui profite à la confiance mal placée du public dans la sécurité du téléphone1.

Quand l'attaquant se fait passer pour un salarié auprès du support, le but est de faire réinitialiser un mot de passe ou transférer l'authentification multifacteur vers un appareil qu'il contrôle5. Microsoft décrit même des cas où il contourne la procédure en utilisant le compte d'un responsable déjà compromis pour approuver ses demandes6. Les confirmations internes ne valent donc que si le canal lui-même est sûr.

4AutopsiesCas réels2 min

Début 2022 : Octo Tempest et les échanges de cartes SIM

Selon Microsoft, le groupe Octo Tempest a été observé pour la première fois début 2022. Il visait des opérateurs de téléphonie mobile et des sociétés d'externalisation de processus pour déclencher des portages de numéros, les échanges de cartes SIM. En 2022, il a tiré profit de ces intrusions en vendant des échanges de SIM à d'autres criminels et en prenant le contrôle de comptes de personnes très fortunées pour voler leurs cryptomonnaies6.

25 octobre 2023 : Microsoft décrit les méthodes d'Octo Tempest

Dans son billet du 25 octobre 2023, Microsoft explique que ce groupe appelle le help desk d'une organisation pour obtenir la réinitialisation du mot de passe d'un utilisateur ou l'ajout d'un facteur d'authentification6. Il peut aussi, une fois maître du numéro de téléphone d'un employé, lancer une réinitialisation en libre-service du compte6.

16 novembre 2023 et 29 juillet 2025 : l'avis conjoint sur Scattered Spider

L'avis conjoint de la CISA, du FBI et d'agences partenaires a été publié le 16 novembre 2023, puis mis à jour le 21 novembre 2023 et le 29 juillet 20255. Il décrit un groupe qui cible de grandes entreprises et leurs services d'assistance informatique sous-traités5. Ses membres se sont fait passer pour le personnel informatique ou le support par appel ou SMS pour obtenir des identifiants, et pour des employés afin de convaincre le support de réinitialiser un mot de passe et de transférer le second facteur5. L'avis recommande l'authentification multifacteur résistante à l'hameçonnage, protégée contre le bombardement de notifications et l'échange de SIM5.

5Ce qu'on fait1 min

Le réflexe se résume ainsi : on ne répond pas à celui qui a pris contact, on vérifie par un autre canal.

  • Soyez méfiant devant un appel, une visite ou un message non sollicité qui pose des questions sur les salariés ou l'organisation interne. Si l'inconnu se réclame d'une organisation légitime, vérifiez son identité directement auprès d'elle1.
  • Ne donnez pas d'informations sur vous ni sur l'entreprise, structure et réseaux compris, sans être certain que la personne a le droit de les connaître1.
  • En cas de doute sur une demande par courriel, contactez l'organisme directement, sans utiliser les coordonnées figurant dans le message ou sur le site lié à la demande : cherchez-les dans des échanges antérieurs1.
  • Signalez la tentative, même si vous n'avez rien donné. Le NCSC britannique recommande une culture où l'on signale sans crainte de reproche, car les salariés qui redoutent des sanctions ne signalent pas leurs erreurs8.

Côté organisation, MITRE rappelle que les utilisateurs peuvent être formés à repérer et signaler ces techniques, et à se méfier des appelants en vérifiant leur identité3.

Fiche

Identifiant
CP-021
Aile
1. Attaques et techniques
Compétence Brain
Déjouer l'ingénierie sociale (outsmart_social_engineering)
Réflexe Brain
cr-040
Schéma
G5 · Arbre de Décision Réflexe
Langues
de, en, fr
Sources
8 sources vérifiées le 3 novembre 2026
Sources8 sources
  1. CISA, « Avoiding Social Engineering and Phishing Attacks », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/004/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/001/ (consulté le 3 novembre 2026)
  5. CISA, « Scattered Spider », 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consulté le 3 novembre 2026)
  6. Microsoft, « Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction », 25 octobre 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® ». https://attack.mitre.org/groups/G1015/ (consulté le 3 novembre 2026)
  8. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026)

Citer cet article

Brain, « Le pretexting, ou l'art du faux prétexte », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/

BibTeX 
@misc{brain_cp021_fr_2026,
  author = {Brain},
  title = {Le pretexting, ou l'art du faux prétexte},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0