--- id: CP-023 slug: tailgating-piggybacking-intrusion-locaux lang: fr title: "Tailgating et piggybacking : entrer sans badge" description: Un inconnu poli entre derrière vous ou avec votre accord. Ce que voit le salarié, les failles d'un accès physique et les réflexes à adopter. canonical_url: https://startbrain.io/cyberpedia/fr/articles/tailgating-piggybacking-intrusion-locaux/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/tailgating-piggybacking-intrusion-locaux.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, « Tailgating et piggybacking : entrer sans badge », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/tailgating-piggybacking-intrusion-locaux/ (CC BY 4.0)" wing: 1 theme: outsmart_social_engineering reflex: cr-042 schema: G5 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/tailgating-piggybacking-intrusion-locaux/ en: https://startbrain.io/cyberpedia/en/articles/tailgating-piggybacking-physical-intrusion/ de: https://startbrain.io/cyberpedia/de/articles/tailgating-piggybacking-unbefugter-zutritt/ es: https://startbrain.io/cyberpedia/es/articles/tailgating-piggybacking-intrusion-fisica/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks | CISA publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 3 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 4 title: Scattered Spider | CISA publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Tailgating et piggybacking : entrer sans badge Le tailgating et le piggybacking désignent deux façons d'entrer dans des locaux sans y avoir droit. Dans le tailgating, la personne suit un employé à son insu, en passant avant que la porte ne se referme. Dans le piggybacking, elle entre avec l'accord de l'employé, qui lui tient la porte ou lui prête son badge parce que la demande paraît normale. Ces deux scénarios relèvent de l'ingénierie sociale : l'intrus ne force aucune serrure, il compte sur la politesse. Les sources citées ici ne décrivent pas le tailgating lui-même. Elles décrivent la tromperie par la parole, l'identité empruntée et les appareils branchés sur place, c'est-à-dire ce qu'un intrus peut faire une fois entré. Cette fiche s'en tient à ce qu'elles disent. ## En 30 secondes - Où ça arrive : à une porte d'entrée, un sas, un étage ou une salle où l'on vous demande de tenir la porte ou de laisser passer quelqu'un. - Ce que veut l'attaquant : se trouver à l'intérieur pour poser un appareil, brancher un support ou obtenir des informations que le réseau ne lui donnerait pas. - Le réflexe : refuser poliment, orienter la personne vers l'accueil, puis signaler la situation. - Si c'est déjà fait : prévenez les personnes responsables de la sécurité dans votre organisation, même si vous avez un doute léger. ## Questions directes ### Quelle différence entre tailgating et piggybacking ? Dans le tailgating, la personne se glisse derrière vous sans que vous l'ayez autorisée. Dans le piggybacking, vous l'avez laissée entrer, par exemple en lui tenant la porte. Le résultat est le même : quelqu'un est entré sans badge à lui. ### Pourquoi un inconnu poli est-il difficile à refuser ? Parce que l'attaquant s'appuie sur la crédibilité. La CISA décrit un attaquant qui peut sembler « unassuming and respectable », qui prétend être un nouvel employé, un réparateur ou un chercheur, et qui offre parfois des justificatifs à l'appui de cette identité [1]. ### Que peut faire un intrus une fois à l'intérieur ? La technique MITRE T1200 décrit l'introduction physique d'accessoires, de matériel réseau ou d'autres appareils dans un système ou un réseau pour y gagner un accès [2]. Elle précise que les références publiques d'usage par des attaquants sont rares, mais que de nombreuses équipes d'intrusion autorisées (red teams) y recourent pour l'accès initial [2]. ### Un salarié a-t-il un rôle réel dans le contrôle d'accès ? Oui. Un sas, un badge ou un accueil ne servent que si chacun les utilise. Les sources citées ici ne chiffrent pas la part des intrusions qui passent par une porte tenue ouverte. Elles montrent en revanche que l'attaquant cherche l'interlocuteur qui répondra, puis un second si le premier ne suffit pas [1]. ## Dans la peau de l'attaquant L'intrus choisit un prétexte qui explique sa présence. La CISA cite le nouvel employé, la personne chargée d'une réparation et le chercheur [1]. Il peut aussi avancer par étapes : s'il n'obtient pas assez d'informations d'une personne, il en contacte une autre dans la même organisation et s'appuie sur ce que la première a dit pour paraître plus crédible [1]. Un accueil, un agent de sécurité ou un collègue de passage peuvent ainsi servir, sans le savoir, de caution au suivant. L'objectif varie. Il peut s'agir de piéger du matériel : MITRE cite des outils comme le Bash Bunny ou le Raspberry Pi, et des ordinateurs portables bon marché, connectés au réseau local de l'organisation par le groupe DarkVishnya [2]. Il peut s'agir de poser un support amovible, un cas détaillé plus bas [3]. ## Ce que vous voyez à l'écran Dans ce type de scénario, il n'y a pas d'écran suspect : c'est la scène elle-même qui compte. L'illustration suivante est inventée et ne reprend aucun cas réel. ```text Illustration (scène fictive, aucun cas réel) [Une personne inconnue, aimable, les bras chargés, arrive derrière vous devant une porte à badge et demande de la laisser passer.] [Elle explique qu'elle est attendue ou qu'elle a oublié son badge.] ``` Ce que le salarié remarque d'abord, c'est une politesse ordinaire. Les signaux utiles sont ailleurs : la personne ne peut pas prouver qui elle est, elle n'a pas de contact interne à nommer, ou elle insiste. La CISA recommande de se méfier des visites, appels ou courriels non sollicités de personnes qui s'intéressent aux employés ou à des informations internes, et de vérifier l'identité d'une personne qui se réclame d'une organisation directement auprès de celle-ci [1]. En pratique, on ne se fie pas aux coordonnées que la personne fournit elle-même. Le premier réflexe est de refuser poliment, puis d'orienter la personne vers l'accueil. Le NCSC recommande de vérifier les demandes importantes reçues par courriel par un second moyen de communication, dont une confirmation en personne [5]. Transposée à la porte, cette logique donne ceci : une personne qui dit être attendue peut être annoncée par son contact interne. Il faut ensuite signaler. Le NCSC décrit une culture où les utilisateurs signalent les tentatives, y compris celles auxquelles ils ont cédé, ce qui renseigne l'organisation sur les attaques en cours [5]. La CISA demande de prévenir les personnes compétentes de l'organisation, dont les administrateurs réseau, si l'on pense avoir révélé des informations sensibles, afin qu'elles guettent toute activité inhabituelle [1]. ## Sous le capot Le contrôle d'accès repose sur plusieurs couches : sas, badge, accueil. Chacune se contourne si une personne autorisée ouvre le passage. Les sources citées ici ne détaillent pas ces mécanismes. Elles donnent en revanche les défenses qui comptent une fois un intrus dans les murs. MITRE recommande des règles de contrôle d'accès réseau, comme des certificats d'appareil et la norme 802.1x, et de restreindre le DHCP aux appareils enregistrés pour empêcher un appareil inconnu de dialoguer avec des systèmes de confiance [2]. Elle recommande aussi de bloquer les appareils et accessoires inconnus par la configuration des postes et un agent de surveillance [2]. Pour les supports amovibles, MITRE explique qu'un mobile branché en USB, y compris par certains câbles de charge, peut infecter un ordinateur, surtout si la fonction Autorun est activée [3]. Elle conseille de limiter l'usage des périphériques USB et des supports amovibles dans un réseau [3]. ## Autopsies ### Scattered Spider, avis conjoint du 16 novembre 2023, mis à jour le 29 juillet 2025 Cet avis a été publié par le FBI, la CISA et plusieurs agences partenaires, dont le NCSC britannique [4]. Il décrit un groupe criminel qui vise de grandes entreprises et leurs services d'assistance informatique sous-traités [4]. Le cas ne concerne pas une intrusion physique : c'est une tromperie par téléphone et SMS. Il montre pourtant le même ressort que le tailgating, l'usurpation d'une identité de confiance. Le groupe s'est fait passer pour le personnel informatique ou du support afin d'obtenir des identifiants ou de faire lancer des outils d'accès à distance [4]. La mise à jour de juillet 2025 ajoute que des membres se sont aussi fait passer pour des employés pour obtenir une réinitialisation de mot de passe [4]. ### FIN7 et les clés USB envoyées par courrier MITRE rapporte que des acteurs de FIN7 ont envoyé par la poste des clés USB à des victimes potentielles. Elles contenaient un logiciel malveillant qui installe diverses portes dérobées, parfois pour des opérations de rançongiciel [3]. Certaines clés se comportaient comme un clavier virtuel [3]. La source ne donne pas de date pour ce cas. Il montre qu'un appareil physique peut arriver sans qu'aucun intrus n'entre. ## Sources 1. CISA, « Avoiding Social Engineering and Phishing Attacks | CISA », 1 février 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1200/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1091/ (consulté le 3 novembre 2026) 4. CISA, « Scattered Spider | CISA », 16 novembre 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consulté le 3 novembre 2026) 5. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/tailgating-piggybacking-intrusion-locaux/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.