Un pare-feu ne se laisse pas attendrir. Un collaborateur, si. C’est tout le principe de l’ingénierie sociale : plutôt que de forcer une serrure numérique, l’escroc convainc quelqu’un de lui ouvrir la porte. Et cette porte est souvent la moins bien surveillée de l’entreprise.
Il faut le dire d’emblée, car c’est le point le plus mal compris : se faire piéger n’est pas un signe de naïveté. Ces techniques sont rodées, répétées des milliers de fois, ajustées à ce qui fonctionne. Elles exploitent des réflexes sociaux parfaitement sains. Elles fonctionnent sur des dirigeants expérimentés comme sur des apprentis.
Un phénomène massif, et sous-estimé
Les chiffres officiels suisses donnent la mesure du problème. Au deuxième semestre 2025, la fraude est le phénomène le plus signalé à l’Office fédéral de la cybersécurité, avec 15 090 annonces, soit 52 % du total, devant l’hameçonnage (6 299) et les pourriels (4 284). Sur l’ensemble de l’année 2025, 64 733 déclarations volontaires de cyberincidents ont été enregistrées, contre 62 954 en 2024.
Autrement dit : la majorité de ce qui est signalé en Suisse relève de la manipulation, pas du piratage sophistiqué. L’attaquant ne casse rien. Il demande, et on lui donne.
Dans le même temps, la confiance des entreprises s’érode. Selon l’étude PME Cybersécurité 2025, 42 % des PME suisses estiment leur protection suffisante, contre 55 % un an plus tôt. Une prise de conscience salutaire, à condition qu’elle se traduise en mesures concrètes.
Quels sont les quatre leviers psychologiques exploités ?
Toutes ces arnaques, quel que soit leur habillage, reposent sur un petit nombre de ressorts. Les connaître, c’est déjà les désamorcer.
L’autorité. Nous obéissons plus facilement à quelqu’un qui semble en position de le demander : un patron, un policier, un informaticien, un employé de banque. L’escroc n’a pas besoin d’être réellement cette personne, il lui suffit d’en adopter le vocabulaire et le ton.
L’urgence. « Il faut agir tout de suite », « le paiement part ce soir », « votre compte sera bloqué dans une heure ». La pression du temps empêche la vérification. C’est le levier le plus universel, et le plus révélateur.
La peur. Une amende, une plainte, un virus, une fuite de données. La peur provoque une réaction rapide et mal réfléchie, exactement ce que l’escroc cherche.
L’envie d’aider. Le plus insidieux, parce qu’il exploite une qualité. Un collègue coincé, un fournisseur en difficulté, un technicien qui a « juste besoin d’un code pour finir ». Refuser d’aider est socialement coûteux, et les escrocs le savent.
Une demande légitime supporte toujours d'attendre dix minutes. Une escroquerie, presque jamais. Si vous ressentez de l'urgence, de la peur ou de la gêne à refuser, ce sont des indicateurs plus fiables que n'importe quel détail technique. Faites-en la règle interne : toute demande urgente et inhabituelle déclenche une vérification, sans exception et sans que la personne ait à se justifier.
Vishing, smishing, faux support : reconnaître les trois formes
Les techniques changent de canal, mais la mécanique reste identique.
| Technique | Canal | Prétexte typique | Signal d’alerte |
|---|---|---|---|
| Vishing | Appel téléphonique | Votre banque, la police, un fournisseur, un cadre de l’entreprise | On vous demande un code, un mot de passe ou un paiement immédiat, et on insiste pour rester en ligne |
| Smishing | SMS ou messagerie | Colis bloqué, facture impayée, remboursement d’impôt, message d’un « nouveau numéro » | Un lien raccourci, une adresse qui ne correspond pas à l’expéditeur annoncé, une réponse attendue dans l’heure |
| Faux support technique | Appel, fenêtre surgissante, courriel | « Nous sommes Microsoft, votre ordinateur est infecté » | On vous fait installer un logiciel de prise en main à distance ou dicter un code de sécurité |
| Usurpation sur place | Visite physique | Technicien, livreur, contrôleur, auditeur externe | Aucune visite annoncée, aucun contact interne pour confirmer, on demande à accéder seul aux locaux |
Le vishing est le plus efficace, parce que la voix crée une relation immédiate. Un interlocuteur calme, poli, qui connaît le nom de votre directeur et le nom de votre banque inspire naturellement confiance. Ces informations sont souvent publiques : site web, registre du commerce, réseaux professionnels.
Le smishing joue sur le volume et l’automatisme. On consulte ses SMS entre deux réunions, sans attention. Le message renvoie vers une page qui imite un service connu, et les identifiants saisis partent directement chez l’escroc.
Le faux support technique combine peur et autorité. La victime est persuadée d’être aidée pendant qu’elle ouvre son ordinateur à un inconnu.
L’usurpation sur place reste rare mais redoutable : un gilet de travail, un badge plastifié et une raison plausible ouvrent beaucoup de portes. Personne n’aime interpeller un inconnu qui a l’air de savoir ce qu’il fait.
Le téléphone sonne à la comptabilité. « Bonjour, ici le service des paiements de votre banque. Nous avons bloqué une transaction suspecte de 8 400 francs sur votre compte entreprise. » Le numéro affiché est bien celui de la banque. L'interlocuteur cite le nom du directeur et les quatre derniers chiffres de l'IBAN, deux informations qu'il a trouvées sur une facture publique.
Il propose d'annuler l'opération. Pour cela, il faut confirmer une « sécurité » : un code va arriver par SMS, il suffit de le lire au téléphone. La collaboratrice hésite, il la rassure : « Je reste en ligne, ne raccrochez surtout pas, sinon la transaction partira. » Elle lit le code. Il valide en réalité un vrai virement, celui de l'escroc.
Le seul geste qui aurait tout arrêté : raccrocher et rappeler la banque au numéro figurant sur le relevé bancaire. Aucune connaissance technique n'était nécessaire.
Pourquoi les dirigeants sont-ils des cibles de choix ?
On imagine volontiers que le patron est le mieux armé. C’est souvent l’inverse, pour trois raisons structurelles.
Un dirigeant décide vite, c’est son métier. Il est fréquemment en déplacement, donc joignable par téléphone plutôt qu’en face à face. Et surtout, personne dans l’entreprise n’ose remettre en question une demande qui semble venir de lui.
C’est exactement ce que vise la fraude au président, variante haut de gamme de l’ingénierie sociale, où un faux dirigeant réclame un virement confidentiel et urgent. La consigne de discrétion (« n’en parlez à personne, c’est une opération sensible ») sert précisément à empêcher la vérification.
Le corollaire est simple : une règle de vérification ne fonctionne que si elle s’applique aussi à la direction. Une procédure que le patron peut contourner n’est pas une procédure.
Quelles parades comportementales fonctionnent ?
Aucun logiciel ne bloque un appel téléphonique persuasif. Les défenses efficaces sont des habitudes, et elles tiennent en peu de règles.
Raccrocher et rappeler. C’est la parade reine. Vous mettez fin à l’appel, vous cherchez le numéro officiel de votre côté (relevé bancaire, contrat, carnet interne) et vous rappelez. Ne rappelez jamais un numéro donné par l’interlocuteur. Cette seule habitude neutralise la quasi-totalité du vishing.
Ne jamais communiquer de code reçu par SMS. Aucun établissement légitime ne demande de lire à voix haute un code d’authentification. Ce code est la clé de votre compte, il ne se dicte pas. C’est aussi pour cela que l’authentification à deux facteurs doit s’accompagner de cette consigne claire.
Instaurer le double contrôle sur les paiements. Tout virement dépassant un montant défini, ou vers une nouvelle coordonnée bancaire, exige la validation de deux personnes par un canal distinct de celui de la demande. Simple, gratuit, extrêmement efficace.
Autoriser explicitement le refus. Écrivez-le et répétez-le : personne ne sera sanctionné pour avoir refusé une demande, demandé à vérifier ou fait attendre un interlocuteur, même un supérieur. Sans cette autorisation, la politesse l’emporte toujours sur la prudence.
Encadrer les visites. Toute personne externe est annoncée à l’avance, accueillie et accompagnée. Un technicien non annoncé attend pendant qu’on vérifie auprès du prestataire.
L'affichage de l'appelant peut être falsifié. Un escroc fait apparaître le numéro de votre banque, d'une administration ou même d'un poste interne de votre entreprise. Beaucoup de victimes expliquent ensuite avoir eu confiance « parce que le numéro était le bon ». Le numéro visible sur votre écran n'est pas une identité : seul un rappel que vous initiez vous-même a une valeur.
Faire vivre ces réflexes dans l’entreprise
Une note de service oubliée dans une boîte de réception ne change aucun comportement. Ce qui fonctionne, c’est la répétition courte et le droit à l’erreur.
Trois habitudes suffisent à installer une culture solide. Consacrez quinze minutes lors d’une séance d’équipe à raconter une tentative réelle, la vôtre ou celle d’un confrère. Faites circuler les alertes publiées par l’Office fédéral de la cybersécurité et la campagne nationale S-U-P-E-R, qui décrivent les campagnes en cours en Suisse. Et remerciez publiquement, sans ironie, la personne qui signale une tentative, y compris quand elle s’est laissé prendre au début.
Ce dernier point est déterminant. Dans une entreprise où l’on craint de passer pour un imbécile, les incidents restent cachés, et une escroquerie détectée tardivement coûte beaucoup plus cher. Les raisons de fond sont développées dans notre article sur l’utilité de sensibiliser ses équipes, et la mise en œuvre pratique dans la construction d’un programme de sensibilisation.
Enfin, gardez à l’esprit que l’ingénierie sociale n’est presque jamais une fin en soi. Elle sert de porte d’entrée : vol d’identifiants, déploiement d’un rançongiciel, accès à des données personnelles. Vos autres défenses restent donc indispensables, en particulier la règle 3-2-1 des sauvegardes et le respect de vos obligations nLPD en cas de fuite de données. Les autres formes d’attaque, à commencer par l’hameçonnage par courriel, sont regroupées dans le pilier Menaces.
Pour savoir où se situe votre entreprise aujourd’hui, le check-up cyber consacre plusieurs questions aux procédures de paiement, à la vérification des demandes et à la formation des collaborateurs. Et si un incident vient de se produire, commencez par les premières heures après une attaque.