Vishing : quand les hackers appellent vos collaborateurs en se faisant passer pour le support IT

Un collaborateur reçoit un appel. La personne au bout du fil se présente comme un technicien du support Microsoft, ou de votre prestataire informatique. Elle dit avoir détecté une activité suspecte sur le compte de votre collaborateur et propose de l’aider immédiatement. Pour ça, elle lui demande d’installer un logiciel de prise en main à distance, un outil légitime comme AnyDesk ou TeamViewer, et de lui donner accès à l’écran.

En quelques minutes, l’attaquant a un accès complet au poste. Il peut récupérer des mots de passe sauvegardés dans le navigateur, accéder aux fichiers partagés, installer un logiciel malveillant, ou initier un virement depuis une application bancaire ouverte.

Ce type d’attaque, le vishing (voice phishing), est en forte croissance. Et il réussit parce qu’il exploite des réflexes parfaitement normaux : faire confiance au support technique, ne pas vouloir contrarier quelqu’un qui “essaie d’aider”.

Les scénarios les plus courants en entreprise

Le faux support Microsoft

L’attaquant prétend être un technicien Microsoft qui a “détecté une anomalie sur votre licence Office 365”. Il demande accès à la machine pour “vérifier et corriger le problème”. Microsoft ne contacte jamais ses clients proactivement par téléphone pour des problèmes de sécurité, jamais.

Le faux prestataire informatique

Variante plus sophistiquée : l’attaquant se présente comme un technicien de votre prestataire informatique habituel. Il peut avoir des informations sur votre structure (disponibles sur LinkedIn ou votre site) pour paraître crédible. Il prétend devoir effectuer une maintenance urgente et demande les identifiants ou l’accès à distance.

La fausse banque

L’attaquant prétend être votre conseiller bancaire et signale une tentative de fraude sur votre compte. Pour “sécuriser” le compte, il demande les codes de validation reçus par SMS, qui sont en réalité les codes pour autoriser un virement frauduleux.

La fausse DSI interne

Dans les PME avec plusieurs sites ou équipes, un attaquant peut se faire passer pour le responsable IT interne ou un technicien de l’équipe informatique. Il demande à un collaborateur de désactiver un antivirus “pour une maintenance” ou de lui communiquer son mot de passe temporairement.

Les signaux qui doivent déclencher la méfiance

Quelques éléments sont systématiquement présents dans les attaques par vishing :

L’urgence artificielle : “Si vous ne faites pas ça maintenant, votre compte sera suspendu dans l’heure.” L’urgence est conçue pour court-circuiter la réflexion et empêcher de vérifier.

La demande d’accès à distance non sollicitée : un vrai technicien de votre prestataire peut légitimement demander un accès à distance, mais uniquement dans le cadre d’un ticket que vous avez ouvert, jamais de façon proactive. Si quelqu’un appelle pour vous offrir un accès à distance que vous n’avez pas demandé, c’est suspect.

La demande de code reçu par SMS : aucun prestataire légitime, aucune banque, aucun opérateur ne demande les codes OTP reçus par SMS. Ces codes sont par définition confidentiels.

Le numéro entrant inconnu ou masqué : les attaquants utilisent des logiciels de spoofing qui affichent des numéros légitimes. Ne pas se fier au numéro affiché si l’appel est non sollicité.

Comment former vos équipes

La formation contre le vishing ne nécessite pas de dispositif complexe. Elle tient en trois règles que chaque collaborateur doit mémoriser :

Règle 1 : Jamais d’accès à distance sur appel entrant non sollicité. Si quelqu’un appelle pour proposer une aide informatique, refuser l’accès à distance et rappeler le prestataire sur le numéro officiel figurant dans vos contacts.

Règle 2 : Jamais de code SMS communiqué par téléphone. Quelle que soit l’urgence invoquée, quelle que soit la légitimité apparente de l’appelant.

Règle 3 : En cas de doute, raccrocher et vérifier. Appeler le support informatique habituel sur le numéro habituel (pas celui donné par l’appelant) pour confirmer si l’appel était légitime.

Ces règles doivent être rappelées régulièrement, une formation annuelle ne suffit pas face à des attaques qui évoluent en permanence. Un rappel dans la newsletter interne, une simulation ponctuelle, un affichage dans les espaces communs, la répétition ancre les bons réflexes. Ces actions font partie de notre accompagnement cybersécurité pour les PME.

Ce que le prestataire IT peut mettre en place

Un prestataire IT sérieux doit avoir des procédures d’identification claires pour ses propres techniciens : numéro de ticket associé à toute intervention, code de vérification connu du client, procédure d’identification pour les accès à distance non planifiés.

Vérifiez avec votre prestataire actuel quelle procédure il utilise pour s’authentifier auprès de vos collaborateurs. Si la réponse est “on donne notre nom et ils nous font confiance”, c’est une faille.

Si vous souhaitez mettre en place une session de sensibilisation au vishing et aux arnaques téléphoniques pour vos équipes, contactez l’équipe Zerobug, c’est une intervention courte qui produit des résultats mesurables sur la vigilance des collaborateurs.