Pourquoi le service RH est la cible favorite du phishing (et comment agir)

Dans la plupart des départements d'une entreprise, la consigne de sécurité élémentaire reste universelle : ne jamais ouvrir une pièce jointe inattendue provenant d'une adresse inconnue. Mais pour un chargé de recrutement ou un gestionnaire des ressources humaines, cette consigne est rigoureusement inapplicable au quotidien. Leur métier même repose sur l'interaction avec l'extérieur, la réception de candidatures spontanées et l'analyse continue de dizaines de profils inconnus.

Cette contradiction opérationnelle transforme les équipes RH en cibles prioritaires pour les cybercriminels. Les attaquants exploitent délibérément leur charge mentale, la curiosité inhérente au métier de recruteur et la peur de rater le candidat parfait pour infiltrer le réseau d'entreprise. Pour un RSSI, sécuriser ce point d'entrée sans paralyser le recrutement exige une approche technique et humaine spécifique.

Comment les cybercriminels ciblent-ils spécifiquement les recruteurs et les équipes RH ?#

En résumé : Les cybercriminels abusent du devoir professionnel des RH en injectant des ransomwares ou stealers dans des candidatures crédibles. Ils s'appuient sur des offres réelles publiées sur LinkedIn ou Welcome to the Jungle pour envoyer des CV piégés, des macros dissimulées ou des liens vers de faux portfolios en ligne.

La menace ne prend plus la forme d'un message grossier bourré de fautes d'orthographe. Les attaques contre les services RH relèvent d'un spear phishing particulièrement soigné. L'attaquant cible une annonce active de votre entreprise, adopte le ton d'un candidat enthousiaste et personnalise son e-mail en mentionnant l'intitulé exact du poste.

Les vecteurs d'attaque les plus fréquents exploitent les habitudes de travail courantes :

• Le fichier PDF à double extension : Le document se présente sous l'apparence inoffensive d'un fichier nommé CV_Developpeur_Senior.pdf.exe ou d'un fichier raccourci .lnk. Dans un explorateur Windows configuré par défaut, l'extension finale est masquée, incitant le recruteur à double-cliquer sans méfiance.
• Les documents bureautiques avec macros : Un fichier Word ou Excel prétendant contenir un dossier de compétences complet ou une grille de prétentions salariales. Le document affiche un message flou invitant à cliquer sur "Activer le contenu" pour lancer un script malveillant.
• Les portfolios hébergés sur le Cloud : Pour les profils créatifs, les attaquants partagent des liens vers de fausses pages Behance, Notion ou Canva. Ces pages téléchargent une archive .zip protégée par mot de passe pour contourner les analyses automatisées de la messagerie.
• La fausse relance administrative : Les attaquants ciblent également la paie en se faisant passer pour un organisme social ou un collaborateur demandant en urgence la mise à jour de son RIB.

Pourquoi les protections techniques de messagerie ne suffisent pas face au phishing ressources humaines et CV malveillant ?#

En résumé : Les solutions de filtrage e-mail peinent à bloquer ces attaques car les messages proviennent de boîtes légitimes gratuites et respectent les normes d'authentification. L'utilisation d'archives chiffrées par mot de passe ou de liens vers des services cloud autorisés rend les moteurs d'analyse antivirus temporairement inopérants.

Les attaquants connaissent parfaitement le fonctionnement des passerelles de sécurité e-mail (SEG). Ils savent que les recruteurs reçoivent légitimement des messages provenant de domaines publics comme Gmail, Outlook ou ProtonMail. Ces messages possèdent souvent des signatures SPF et DKIM valides, neutralisant les alertes de spoofing classiques.

La technique de l'archive protégée

En fournissant le mot de passe de l'archive directement dans le corps de l'e-mail (par exemple : "Le mot de passe pour ouvrir mon book est candidat2024"), le pirate s'assure que le bac à sable (sandbox) de votre messagerie ne peut pas décompresser le fichier pour l'analyser. Le recruteur, lui, tape le mot de passe machinalement pour accéder au fichier, libérant ainsi le payload sur son poste de travail.

L'abus de confiance et de bienveillance

Le recruteur est formé à l'accueil, à l'écoute et à l'empathie. Refuser un document ou ignorer un candidat pose un dilemme professionnel direct. Les attaquants exploitent cette bienveillance naturelle pour créer des scénarios de détresse ou d'urgence (candidature de dernière minute, justificatif de stage urgent), poussant l'humain à passer outre les signaux suspects.

Comment bâtir un bouclier efficace pour les équipes RH sans bloquer les recrutements ?#

Pour neutraliser le risque sans asphyxier la gestion des talents, les organisations doivent conjuguer durcissement technique et entraînement immersif.

Mesures techniques indispensables

• Afficher les extensions de fichiers : Configurez les postes via GPO pour rendre visibles toutes les extensions de fichiers connues afin de repérer les pièges évidents.
• Bloquer l'exécution des macros externes : Désactivez par défaut l'exécution des macros dans les suites bureautiques pour tout document téléchargé depuis Internet.
• Isoler la consultation des pièces jointes : Utilisez des solutions de navigation isolée (RBI) ou imposez le passage exclusif par un outil de suivi des candidatures (ATS) qui convertit automatiquement les documents entrants en aperçus non exécutables.

Entraîner les équipes en situation réelle avec Brain Security

L'affichage passif d'une charte informatique ne modifie pas les réflexes d'un recruteur pressé par le temps. Pour ancrer les bons réflexes, l'entraînement doit reproduire fidèlement les contextes métier.

C'est ici qu'intervient Super Phisher, notre simulateur de campagnes de phishing d'entraînement déployé avec l'équipe de Brain Security. Super Phisher permet de concevoir des scénarios ultra-ciblés, adaptés aux cycles de vie des RH : fausses candidatures spontanées, CV piégés réalistes, fausses demandes de mise à jour de mutuelle ou liens de visioconférence factices. L'objectif n'est pas de piéger pour sanctionner, mais de faire vivre l'attaque dans un cadre sécurisé afin d'affiner le sens critique des collaborateurs.

INTERFACE & EXPÉRIENCE BRAIN SECURITY · Super Phisher

Transformer le maillon ciblé en vigie de sécurité#

Les équipes de recrutement représentent souvent le premier contact externe d'une organisation : elles doivent devenir l'un des premiers remparts de votre dispositif de défense. En comprenant les tactiques de spear phishing qui exploitent leurs outils quotidiens, les recruteurs cessent d'être une vulnérabilité pour devenir des sentinelles capables de détecter et signaler les campagnes ciblées avant qu'elles n'atteignent le reste de l'organisation.

Vous souhaitez évaluer la résistance de vos équipes face aux scénarios d'ingénierie sociale les plus sophistiqués ? Parlez-nous de vos besoins pour construire un programme d'entraînement adapté à vos enjeux opérationnels.

Aller plus loin : articles liés et solutions Brain Security#

Articles complémentaires sur ce thème

• Phishing interne : Que faire si l'email provient de la boîte d'un collègue ? (Phishing & Ingénierie sociale) : Un email suspect provient de l'adresse légitime d'un collaborateur ? Découvrez les réflexes essentiels face à un compte piraté et au phishing interne.
• Télétravail, train, hôtel : Les 6 erreurs de cybersécurité en mobilité qui exposent l'entreprise (Phishing & Ingénierie sociale) : Découvrez les réflexes indispensables de cybersécurité en mobilité : Wi-Fi public, shoulder surfing et VPN pour protéger vos collaborateurs nomades.
• Fréquence des simulations de phishing : le juste rythme pour votre entreprise (Phishing & Ingénierie sociale) : Quelle fréquence choisir pour vos simulations de phishing ? Découvrez le bon rythme annuel pour maintenir la vigilance sans saturer vos équipes.
• Cabinets d'avocats et conseil : Protéger le secret professionnel face aux attaques ciblées (Secteurs & Métiers) : Découvrez pourquoi les cabinets d'avocats et de conseil sont ciblés par les cybercriminels et comment blinder vos équipes face au spear-phishing.

Découvrir les solutions Brain Security sur le site

• Solution associée : Super Phisher : Le simulateur de phishing qui entraîne vos équipes aux attaques réelles, du faux e-mail au QR code piégé, dans un cadre maîtrisé qui ne capture jamais un mot de passe.
• Consulter les cas d’usage par besoin et secteur
• Comparer nos formats de sensibilisation cyber et IA
• Explorer tout le catalogue interactif Brain Security
• Parler de vos besoins avec notre équipe (démo et accompagnement)