Cyberpediapar Brain
FRDEEN

Raccompagner un visiteur sans badge

Une personne sans badge dans les locaux peut préparer une intrusion ou brancher un appareil piégé. Le réflexe poli : l'accompagner à l'accueil.

En 30 secondes

Où ça arrive
Dans un couloir, près d'une porte, dans une salle de réunion ou un open space, quand quelqu'un se déplace seul sans badge visible.
Ce que veut l'attaquant
Entrer et brancher un appareil3.
Le réflexe
Demander aimablement qui la personne vient voir, l'accompagner à l'accueil sans la laisser seule, puis prévenir l'accueil ou la sécurité.
Si c'est déjà fait
Si vous avez laissé un inconnu seul ou répondu à ses questions, signalez-le à l'accueil, à la sécurité ou à l'équipe informatique.

De quoi parle-t-on

Une personne qui circule dans les bureaux sans badge visible n'est pas forcément un intrus : elle peut être un visiteur égaré ou un nouveau collègue. Elle peut aussi être quelqu'un qui compte sur la politesse des salariés pour aller plus loin que l'accueil.

Cette fiche explique pourquoi la situation relève de l'ingénierie sociale et ce qu'un salarié peut faire, sans conflit : aborder la personne avec courtoisie, la raccompagner à l'accueil, prévenir l'accueil ou la sécurité.

Questions directes

Pourquoi un simple visiteur sans badge pose-t-il un problème de cybersécurité ?

Le NIST définit l'ingénierie sociale comme le fait de tromper une personne pour obtenir des informations sensibles, un accès non autorisé ou une fraude, en gagnant sa confiance1. Une personne sans badge peut chercher un accès obtenu par la confiance d'un salarié.

Que peut faire quelqu'un qui est entré dans les locaux ?

Les sources citées ici décrivent surtout l'ajout de matériel. MITRE décrit des attaquants qui introduisent physiquement des accessoires, du matériel réseau ou d'autres appareils dans un système ou un réseau pour y gagner un accès3. Les fonctions citées vont de l'écoute passive du réseau à l'injection de frappes au clavier et à l'ajout d'un point d'accès sans fil3.

Est-ce un risque théorique ?

MITRE note que les références publiques d'usage par des groupes d'attaquants sont rares, mais que beaucoup d'équipes d'audit s'en servent pour l'accès initial3. Un cas est cité : le groupe DarkVishnya a branché physiquement un Bash Bunny, un Raspberry Pi, des netbooks et des ordinateurs portables bon marché à l'environnement d'une organisation pour accéder à son réseau local3.

Faut-il se méfier de quelqu'un qui semble légitime ?

Oui, avec politesse. CISA décrit un attaquant qui paraît inoffensif et respectable, et qui peut se présenter comme un nouvel employé, un réparateur ou un chercheur, jusqu'à présenter des justificatifs pour appuyer cette identité2. L'apparence ne prouve donc rien2. Seule une vérification auprès de l'accueil ou de la personne attendue en apporte une.

Que dire concrètement ?

Une phrase simple suffit, par exemple : « Bonjour, je peux vous aider ? Vous venez voir qui ? Je vous accompagne à l'accueil. » Le ton reste celui d'un service rendu, pas d'un contrôle. L'objectif est de ne pas laisser la personne seule et de confier la vérification à l'accueil.

1Comment ça marche1 min

Un visiteur qui a un rendez-vous passe par l'accueil, où son identité et la personne qu'il vient voir peuvent être vérifiées. Une personne sans badge dans les étages a contourné cette étape, volontairement ou non. Le salarié ne peut pas trancher entre les deux cas, et il n'a pas à le faire : l'accueil dispose des informations pour cela.

CISA rappelle que chaque membre de la communauté, amis, familles, collègues ou voisins, est une première ligne de défense pour la sécurité du public6.

Le risque informatique vient ensuite. Un appareil branché dans l'entreprise peut ajouter des fonctions qu'un simple support de stockage n'offre pas3. Les supports amovibles restent aussi un moyen de propagation : MITRE décrit des logiciels malveillants copiés sur un support qui s'exécutent à l'insertion grâce à la fonction Autorun, y compris vers des réseaux déconnectés d'Internet4. Le même texte indique que des appareils mobiles, voire des câbles de recharge USB, peuvent servir à infecter un poste4.

2Ce que vous faites1 min
  • Abordez la personne sans tarder et avec courtoisie, en demandant qui elle vient voir.
  • Accompagnez-la jusqu'à l'accueil plutôt que de lui indiquer le chemin, et ne la laissez pas seule en route.
  • Prévenez l'accueil ou la sécurité de ce qui s'est passé, même si tout semble normal.
  • Si la personne affirme appartenir à une organisation connue, la vérification passe par l'accueil ou par un contact que vous connaissez déjà. CISA conseille de vérifier l'identité directement auprès de l'organisation et de se méfier des visites non sollicitées de personnes qui posent des questions sur les employés ou sur des informations internes2.
  • Ne répondez pas aux questions sur l'organisation de l'entreprise, ses équipes ou son réseau tant que vous n'êtes pas certain de l'autorité de votre interlocuteur2.
3Les pièges2 min

Le faux prestataire. CISA cite le réparateur parmi les rôles qu'un attaquant peut jouer2. MITRE relève de son côté que des organisations donnent souvent un accès étendu à leurs systèmes internes à des prestataires extérieurs, par exemple pour la climatisation, les ascenseurs ou la sécurité physique, et que cette relation de confiance reçoit parfois moins de contrôle que les accès habituels5. Face à quelqu'un qui se dit prestataire, la vérification passe par l'accueil, non par l'apparence.

L'information qui s'accumule. Un attaquant qui n'obtient pas assez d'informations auprès d'une personne peut en solliciter une autre dans la même organisation, en s'appuyant sur ce que la première a dit pour paraître plus crédible2. Une réponse anodine donnée dans un couloir peut servir à la conversation suivante.

La gêne. Craindre de vexer un visiteur est naturel. La formule qui aide : proposer d'accompagner la personne, ce qui reste un geste d'accueil. Le NIST décrit l'ingénierie sociale comme le fait de gagner la confiance de la personne1.

Le passage derrière quelqu'un. Laisser entrer une personne derrière soi à une porte à badge lui évite le passage par l'accueil. La règle reste la même : une personne sans badge ni accompagnateur est dirigée vers l'accueil.

L'urgence ou l'autorité affichée. CISA signale, à propos des courriels, qu'un faux sentiment d'urgence sert à pousser quelqu'un à agir sans examiner2. La même prudence vaut en face à face : l'accueil vérifie, quelle que soit la hâte affichée.

Fiche

Identifiant
CP-542
Aile
5. Vie au bureau et réflexes
Compétence Brain
Déjouer l'ingénierie sociale (outsmart_social_engineering)
Réflexe Brain
cr-047
Schéma
G5 · Arbre de Décision Réflexe
Langues
de, en, fr
Sources
6 sources vérifiées le 3 novembre 2026
Sources6 sources
  1. NIST, « social engineering - Glossary | CSRC ». https://csrc.nist.gov/glossary/term/social_engineering (consulté le 3 novembre 2026)
  2. CISA, « Avoiding Social Engineering and Phishing Attacks », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1200/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1091/ (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1199/ (consulté le 3 novembre 2026)
  6. CISA, « Physical Security | Cybersecurity and Infrastructure Security Agency CISA ». https://www.cisa.gov/topics/physical-security (consulté le 3 novembre 2026)

Citer cet article

Brain, « Raccompagner un visiteur sans badge », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/raccompagner-visiteur-sans-badge-accueil/

BibTeX 
@misc{brain_cp542_fr_2026,
  author = {Brain},
  title = {Raccompagner un visiteur sans badge},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/raccompagner-visiteur-sans-badge-accueil/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0