--- id: CP-365 slug: securite-physique-badges-prestataires lang: fr title: Badges, visiteurs et portes coupe-feu description: "Un inconnu en tenue de technicien, une porte tenue ouverte par politesse : comment l'ingénierie sociale entre dans les locaux et que faire." canonical_url: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Badges, visiteurs et portes coupe-feu », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-084 schema: G5 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ en: https://startbrain.io/cyberpedia/en/articles/physical-security-badges-visitors/ de: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ es: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" - "n": 6 title: SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" --- # Badges, visiteurs et portes coupe-feu Une intrusion ne passe pas toujours par un écran. Elle peut commencer à l'entrée du bâtiment, avec une personne qui a l'air d'avoir sa place : tenue de technicien, colis dans les bras, badge d'apparence correcte. Ce qui ouvre la porte, ce n'est pas une faille technique, c'est la confiance d'un salarié. Cette fiche explique comment cette ruse fonctionne et ce que chacun peut faire, à son poste, pour accueillir un visiteur sans laisser entrer un inconnu. Les sources citées ici traitent surtout de l'ingénierie sociale en général et de l'accès par du matériel branché sur place [3]. Les gestes d'accueil décrits plus bas sont des règles de bon sens à confronter aux consignes de votre entreprise. ## En 30 secondes - Où ça arrive : à l'entrée des locaux, aux portes d'accès contrôlé, à l'accueil, et dans les bureaux quand un « prestataire » circule seul. - Ce que veut l'attaquant : entrer, observer, poser un appareil [3] ou récupérer des informations [4] en profitant de la politesse des salariés. - Le réflexe : ne laissez passer personne que vous ne connaissez pas, vérifiez auprès de la personne attendue, et conduisez l'inconnu à l'accueil. - Si c'est déjà fait : prévenez la sûreté ou l'équipe sécurité sans attendre, même si vous n'êtes sûr de rien. ## Questions directes ### Pourquoi parle-t-on d'ingénierie sociale pour une intrusion physique ? Parce que le procédé est le même que pour un courriel piégé : tromper une personne. La CISA décrit l'attaquant qui utilise l'interaction humaine pour obtenir des informations sur une organisation ou ses systèmes [1]. Il peut sembler « unassuming and respectable » (discret et respectable) et prétendre être un nouvel employé, un réparateur ou un chercheur, parfois en présentant des identifiants à l'appui [1]. ### Qui peut se présenter à la porte ? Des prestataires, par exemple. MITRE note que les organisations donnent souvent un accès étendu à des fournisseurs externes, dont des sous-traitants d'infrastructure comme le chauffage et la climatisation, les ascenseurs ou la sécurité physique [2]. Un visiteur en tenue de métier correspond donc à une situation courante, ce qui rend la ruse crédible. ### Que cherche quelqu'un qui entre sans y être invité ? Selon MITRE, un adversaire peut introduire physiquement des accessoires, du matériel réseau ou d'autres appareils dans un système ou un réseau pour s'en servir comme voie d'accès [3]. MITRE décrit aussi l'hameçonnage d'information comme une tentative de faire révéler des données, souvent des identifiants [4]. Il mentionne parmi ses moyens l'usage de plusieurs messages d'apparence urgente [4]. ### Que faire face à une personne inconnue sans accompagnateur ? La CISA recommande de se méfier des appels, des visites ou des courriels non sollicités de personnes qui posent des questions sur les employés ou sur des informations internes [1]. Si l'inconnu se réclame d'une organisation légitime, elle conseille de vérifier son identité directement auprès de cette organisation [1]. Concrètement, on refuse poliment de le laisser passer, on le conduit à l'accueil et on prévient la sûreté. ### Un badge oublié ou perdu pose-t-il vraiment problème ? Les sources citées ici ne traitent pas des badges perdus. Le principe reste simple : un badge ouvre des portes à celui qui le porte, quel qu'il soit. Signalez la perte tout de suite, afin que l'accès puisse être coupé. ## Comment ça marche Une intrusion par ingénierie sociale repose sur la crédibilité. La CISA explique que si l'attaquant ne recueille pas assez d'informations auprès d'une personne, il peut en contacter une autre dans la même organisation et s'appuyer sur ce que la première a dit pour paraître plus fiable [1]. Un salarié qui confirme « oui, il est attendu » sans avoir vérifié sert ainsi de caution à l'inconnu pour la suite. La CISA rappelle que chaque membre de la communauté, collègues compris, est « the first line of defense » pour la sécurité [5]. Le NIST range la protection physique et environnementale parmi les familles de contrôles de son catalogue SP 800-53, aux côtés de la sensibilisation et de la formation [6]. Autrement dit, les portes, les badges et la formation des personnes font partie du même dispositif de sécurité que les mots de passe. ## Ce que vous faites Les actions ci-dessous sont des pratiques de prudence. Seule la vérification d'identité auprès de l'organisation concernée est portée par les sources citées ici [1]. - Accueillez le visiteur à l'accueil, pas dans un couloir, et accompagnez-le du début à la fin de sa visite, jusqu'à la sortie. - Vérifiez son identité et son badge auprès de la personne qui l'attend, avec un numéro que vous connaissez déjà, pas celui que le visiteur vous donne. - Ne tenez pas une porte à une personne que vous ne connaissez pas, même chargée de cartons. Proposez de l'accompagner à l'accueil. - Ne prêtez jamais votre badge et ne laissez pas un collègue ou un prestataire s'en servir à votre place. - Signalez immédiatement un badge perdu ou oublié, sans attendre le lendemain. - Ne bloquez jamais une porte coupe-feu en position ouverte et ne la déverrouillez jamais pour votre confort. Si elle gêne, signalez-le à la sûreté. - Si quelqu'un d'inconnu circule seul, demandez poliment qui il vient voir, puis conduisez-le à l'accueil ou alertez la sûreté. ## Les pièges Trois ressorts reviennent dans les récits d'ingénierie sociale. Les sources citées ici documentent les deux premiers pour d'autres canaux que la porte d'entrée, mais ils valent aussi à l'accueil. - L'urgence feinte. MITRE relève l'envoi de plusieurs messages d'apparence urgente pour pousser la cible à répondre [4]. À l'entrée, cela donne un « je suis en retard, l'équipe m'attend ». - La fausse légitimité. La CISA note que l'attaquant peut se dire réparateur et présenter des identifiants à l'appui [1]. Une tenue et un badge ne prouvent rien tant que la personne attendue n'a pas confirmé. - La politesse. Elle n'est pas évoquée dans les sources citées ici. Elle pousse pourtant à laisser passer quelqu'un pour ne pas le froisser. Refuser avec courtoisie n'est pas une faute. Un autre piège tient à ce qu'on ne voit pas : un petit appareil posé sous un bureau ou branché sur une prise réseau. MITRE cite parmi les capacités de ce matériel l'écoute passive du réseau, la modification du trafic, l'injection de frappes au clavier et l'ajout de points d'accès sans fil [3]. Un appareil inconnu ou un câble qui ne devrait pas être là se signale, il ne se débranche pas soi-même. ## Cas réels ### DarkVishnya, des banques attaquées par connexion directe MITRE cite le groupe DarkVishnya, qui a branché physiquement des appareils (un Bash Bunny, un Raspberry Pi, des netbooks et des ordinateurs portables bon marché) dans l'environnement de l'organisation visée pour accéder à son réseau local [3]. MITRE renvoie à une analyse datée du 6 décembre 2018, intitulée « DarkVishnya: Banks attacked through direct connection to local network » [3]. Les sources citées ici ne précisent pas comment les appareils ont été introduits dans les locaux. MITRE précise aussi que les usages publiquement documentés par des acteurs malveillants sont rares, alors que de nombreuses équipes de test d'intrusion utilisent ces ajouts de matériel comme premier accès [3]. ## Sources 1. CISA, « Avoiding Social Engineering and Phishing Attacks », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1199/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1200/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/ (consulté le 3 novembre 2026) 5. CISA, « Physical Security | Cybersecurity and Infrastructure Security Agency CISA ». https://www.cisa.gov/topics/physical-security (consulté le 3 novembre 2026) 6. NIST, « SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC ». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.