Cyberpediapar Brain
FRDEEN

Badges, visiteurs et portes coupe-feu

Un inconnu en tenue de technicien, une porte tenue ouverte par politesse : comment l'ingénierie sociale entre dans les locaux et que faire.

En 30 secondes

Où ça arrive
À l'entrée des locaux, aux portes d'accès contrôlé, à l'accueil, et dans les bureaux quand un « prestataire » circule seul.
Ce que veut l'attaquant
Entrer, observer, poser un appareil3 ou récupérer des informations4 en profitant de la politesse des salariés.
Le réflexe
Ne laissez passer personne que vous ne connaissez pas, vérifiez auprès de la personne attendue, et conduisez l'inconnu à l'accueil.
Si c'est déjà fait
Prévenez la sûreté ou l'équipe sécurité sans attendre, même si vous n'êtes sûr de rien.

De quoi parle-t-on

Une intrusion ne passe pas toujours par un écran. Elle peut commencer à l'entrée du bâtiment, avec une personne qui a l'air d'avoir sa place : tenue de technicien, colis dans les bras, badge d'apparence correcte. Ce qui ouvre la porte, ce n'est pas une faille technique, c'est la confiance d'un salarié.

Cette fiche explique comment cette ruse fonctionne et ce que chacun peut faire, à son poste, pour accueillir un visiteur sans laisser entrer un inconnu. Les sources citées ici traitent surtout de l'ingénierie sociale en général et de l'accès par du matériel branché sur place3. Les gestes d'accueil décrits plus bas sont des règles de bon sens à confronter aux consignes de votre entreprise.

Questions directes

Pourquoi parle-t-on d'ingénierie sociale pour une intrusion physique ?

Parce que le procédé est le même que pour un courriel piégé : tromper une personne. La CISA décrit l'attaquant qui utilise l'interaction humaine pour obtenir des informations sur une organisation ou ses systèmes1. Il peut sembler « unassuming and respectable » (discret et respectable) et prétendre être un nouvel employé, un réparateur ou un chercheur, parfois en présentant des identifiants à l'appui1.

Qui peut se présenter à la porte ?

Des prestataires, par exemple. MITRE note que les organisations donnent souvent un accès étendu à des fournisseurs externes, dont des sous-traitants d'infrastructure comme le chauffage et la climatisation, les ascenseurs ou la sécurité physique2. Un visiteur en tenue de métier correspond donc à une situation courante, ce qui rend la ruse crédible.

Que cherche quelqu'un qui entre sans y être invité ?

Selon MITRE, un adversaire peut introduire physiquement des accessoires, du matériel réseau ou d'autres appareils dans un système ou un réseau pour s'en servir comme voie d'accès3. MITRE décrit aussi l'hameçonnage d'information comme une tentative de faire révéler des données, souvent des identifiants4. Il mentionne parmi ses moyens l'usage de plusieurs messages d'apparence urgente4.

Que faire face à une personne inconnue sans accompagnateur ?

La CISA recommande de se méfier des appels, des visites ou des courriels non sollicités de personnes qui posent des questions sur les employés ou sur des informations internes1. Si l'inconnu se réclame d'une organisation légitime, elle conseille de vérifier son identité directement auprès de cette organisation1. Concrètement, on refuse poliment de le laisser passer, on le conduit à l'accueil et on prévient la sûreté.

Un badge oublié ou perdu pose-t-il vraiment problème ?

Les sources citées ici ne traitent pas des badges perdus. Le principe reste simple : un badge ouvre des portes à celui qui le porte, quel qu'il soit. Signalez la perte tout de suite, afin que l'accès puisse être coupé.

1Comment ça marche1 min

Une intrusion par ingénierie sociale repose sur la crédibilité. La CISA explique que si l'attaquant ne recueille pas assez d'informations auprès d'une personne, il peut en contacter une autre dans la même organisation et s'appuyer sur ce que la première a dit pour paraître plus fiable1. Un salarié qui confirme « oui, il est attendu » sans avoir vérifié sert ainsi de caution à l'inconnu pour la suite.

La CISA rappelle que chaque membre de la communauté, collègues compris, est « the first line of defense » pour la sécurité5. Le NIST range la protection physique et environnementale parmi les familles de contrôles de son catalogue SP 800-53, aux côtés de la sensibilisation et de la formation6. Autrement dit, les portes, les badges et la formation des personnes font partie du même dispositif de sécurité que les mots de passe.

2Ce que vous faites1 min

Les actions ci-dessous sont des pratiques de prudence. Seule la vérification d'identité auprès de l'organisation concernée est portée par les sources citées ici1.

  • Accueillez le visiteur à l'accueil, pas dans un couloir, et accompagnez-le du début à la fin de sa visite, jusqu'à la sortie.
  • Vérifiez son identité et son badge auprès de la personne qui l'attend, avec un numéro que vous connaissez déjà, pas celui que le visiteur vous donne.
  • Ne tenez pas une porte à une personne que vous ne connaissez pas, même chargée de cartons. Proposez de l'accompagner à l'accueil.
  • Ne prêtez jamais votre badge et ne laissez pas un collègue ou un prestataire s'en servir à votre place.
  • Signalez immédiatement un badge perdu ou oublié, sans attendre le lendemain.
  • Ne bloquez jamais une porte coupe-feu en position ouverte et ne la déverrouillez jamais pour votre confort. Si elle gêne, signalez-le à la sûreté.
  • Si quelqu'un d'inconnu circule seul, demandez poliment qui il vient voir, puis conduisez-le à l'accueil ou alertez la sûreté.
3Les pièges1 min

Trois ressorts reviennent dans les récits d'ingénierie sociale. Les sources citées ici documentent les deux premiers pour d'autres canaux que la porte d'entrée, mais ils valent aussi à l'accueil.

  • L'urgence feinte. MITRE relève l'envoi de plusieurs messages d'apparence urgente pour pousser la cible à répondre4. À l'entrée, cela donne un « je suis en retard, l'équipe m'attend ».
  • La fausse légitimité. La CISA note que l'attaquant peut se dire réparateur et présenter des identifiants à l'appui1. Une tenue et un badge ne prouvent rien tant que la personne attendue n'a pas confirmé.
  • La politesse. Elle n'est pas évoquée dans les sources citées ici. Elle pousse pourtant à laisser passer quelqu'un pour ne pas le froisser. Refuser avec courtoisie n'est pas une faute.

Un autre piège tient à ce qu'on ne voit pas : un petit appareil posé sous un bureau ou branché sur une prise réseau. MITRE cite parmi les capacités de ce matériel l'écoute passive du réseau, la modification du trafic, l'injection de frappes au clavier et l'ajout de points d'accès sans fil3. Un appareil inconnu ou un câble qui ne devrait pas être là se signale, il ne se débranche pas soi-même.

4Cas réels1 min

DarkVishnya, des banques attaquées par connexion directe

MITRE cite le groupe DarkVishnya, qui a branché physiquement des appareils (un Bash Bunny, un Raspberry Pi, des netbooks et des ordinateurs portables bon marché) dans l'environnement de l'organisation visée pour accéder à son réseau local3. MITRE renvoie à une analyse datée du 6 décembre 2018, intitulée « DarkVishnya: Banks attacked through direct connection to local network »3. Les sources citées ici ne précisent pas comment les appareils ont été introduits dans les locaux.

MITRE précise aussi que les usages publiquement documentés par des acteurs malveillants sont rares, alors que de nombreuses équipes de test d'intrusion utilisent ces ajouts de matériel comme premier accès3.

Fiche

Identifiant
CP-365
Aile
5. Vie au bureau et réflexes
Compétence Brain
Déjouer les arnaques (handle_scams)
Réflexe Brain
cr-084
Schéma
G5 · Arbre de Décision Réflexe
Langues
de, en, fr
Sources
6 sources vérifiées le 3 novembre 2026
Sources6 sources
  1. CISA, « Avoiding Social Engineering and Phishing Attacks », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1199/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1200/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1598/ (consulté le 3 novembre 2026)
  5. CISA, « Physical Security | Cybersecurity and Infrastructure Security Agency CISA ». https://www.cisa.gov/topics/physical-security (consulté le 3 novembre 2026)
  6. NIST, « SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC ». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consulté le 3 novembre 2026)

Citer cet article

Brain, « Badges, visiteurs et portes coupe-feu », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/

BibTeX 
@misc{brain_cp365_fr_2026,
  author = {Brain},
  title = {Badges, visiteurs et portes coupe-feu},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0