Socle
Le hameçonnage ciblé personnalise le message à partir d'informations publiques sur la cible et son entourage. Les dirigeants, cabinets et équipes de campagne sont des cibles à forte valeur et à forte charge de travail.
Il combine souvent autorité, urgence et familiarité.
Cas publics
- Messagerie de John Podesta, président de la campagne d'Hillary Clinton, compromise en mars 2016 par un courriel imitant une alerte de sécurité Google, puis publiée par WikiLeaks à partir d'octobre 2016 ; opération attribuée au renseignement militaire russe (GRU) par la justice américaine en 2018.
- « MacronLeaks » (2017) : le 5 mai 2017, deux jours avant le second tour, des courriels et documents de l'équipe d'En Marche !, mêlés à des faux, sont diffusés en ligne. Non attribuée publiquement par l'ANSSI en 2017, l'opération a été citée en 2020 dans une inculpation américaine d'officiers du GRU (unité 74455), notamment pour ingérence dans l'élection française ; en 2025, la France a attribué au GRU (mode opératoire APT28) la « tentative de déstabilisation du processus électoral français en 2017 ». Deux attributions qui convergent vers le GRU, sans désigner la même unité.
- Campagne de Donald Trump (2024) : accès à des communications internes, attribué à l'Iran par le FBI, l'ODNI et la CISA dans une déclaration conjointe du 19 août 2024, qui évoque aussi des tentatives d'ingénierie sociale visant les deux grandes campagnes présidentielles.
Blue team : défense
Signaux : alerte de sécurité inattendue ; lien de connexion sur un domaine proche du réel ; demande de réinitialiser un mot de passe.
Contre-mesures : authentification forte résistante à l'hameçonnage (clés physiques) ; avertissements automatiques sur les messages externes ou suspects ; signalement en un clic, sans reproche ; cloisonnement des comptes ; une formation des cabinets et équipes de campagne seulement en complément, et dont l'effet est mesuré.
Red team : simulation encadrée
Hypothèse testée : les équipes signalent-elles un message ciblé fictif, et à quel moment ?
Indicateur : taux de signalement du message fictif et délai médian du premier signalement, comparés entre des équipes tirées au sort, avec et sans bouton de signalement en un clic.
Cadre : organisation consentante, message fictif, indicateurs agrégés, aucune récolte d'identifiants réels.
Pistes originales
- Comparer la vulnérabilité de profils très sollicités et de profils peu exposés.
- Mesurer l'effet d'une clé physique sur le taux de compromission en exercice.
Techniques DIMA associées
Combine autorité, pression et familiarité. Rapprochement proposé, à valider. Voir le tableau complet.
Qui est plus sensible, ce qui protège
Plus sensibles
- TDAH plausible
Distractibilité, clic impulsif. - Troubles neurocognitifs documenté
Risque accru de fraude financière. - Épuisement professionnel (état de surcharge, pas un trouble) plausible
Baisse de vigilance sous surcharge chronique. - Usage très habituel et rapide de la messagerie plausible
Les gestes automatiques laissent moins de place à la vérification (voir la fiche Contrôle exécutif).
Ce qui protège
- Personnes équipées d'une clé de sécurité physique plausible
Le site piégé ne peut pas récupérer d'identifiants réutilisables : le clic ne suffit plus. - Personnes entraînées par simulations hypothèse
Effet nul ou très faible en entreprise (Lain et coll., 2022 ; Ho et coll., 2025) ; l'intérêt d'un entraînement répété et débriefé reste à démontrer.
À lire pour se prémunir : repérer les situations où l'on est plus exposé, et y renforcer ses défenses. Tendances de groupe, jamais un jugement sur une personne : un diagnostic ne dit pas qu'une personne est manipulable. Usage légitime : adapter les formations et les procédures, protéger.
Références
- Lain, D., Kostiainen, K., & Čapkun, S. (2022). Phishing in organizations: Findings from a large-scale and long-term study. 2022 IEEE Symposium on Security and Privacy (SP), 842–859. (Plus de 14 000 employés sur 15 mois : la formation intégrée aux simulations n'apporte pas de bénéfice et peut rendre plus vulnérable ; les avertissements dans les courriels et le signalement par les employés sont efficaces.) lien vérifiée
- Ho, G., Mirian, A., Luo, E., Tong, K., Lee, E., Liu, L., Longhurst, C. A., Dameff, C., Savage, S., & Voelker, G. M. (2025). Understanding the efficacy of phishing training in practice. 2025 IEEE Symposium on Security and Privacy (SP), 37–54. (Essai contrôlé randomisé, plus de 19 500 employés sur 8 mois : la formation annuelle n'a pas d'effet significatif, et la formation intégrée ne réduit les clics que d'environ 2 %.) lien vérifiée
- United States v. Netyksho et al., n° 1:18-cr-00215 (D.D.C., 13 juillet 2018), acte d'accusation, § 21(a) et § 49. (Messagerie du président de la campagne d'Hillary Clinton compromise le 19 mars 2016 par un courriel imitant une alerte de sécurité Google ; publication par « Organization 1 » à partir du 7 octobre 2016.) lien vérifiée
- Jeangène Vilmer, J.-B. (2019, 20 juin). The « Macron Leaks » operation: A post-mortem. Atlantic Council. lien vérifiée
- Lawfare (2020, 19 octobre). Justice Department charges six Russian GRU officers for widespread hacking efforts. (Inculpation d'officiers du GRU, notamment pour ingérence dans l'élection française de 2017 ; renvoie au communiqué du ministère américain de la Justice.) lien vérifiée
- Ministère de l'Europe et des Affaires étrangères (2025, 29 avril). Russie : attribution de cyberattaques contre la France au service de renseignement militaire russe (APT28). lien vérifiée
- ODNI, FBI & CISA (2024, 19 août). Joint ODNI, FBI, and CISA statement on Iranian election influence efforts. (Compromission de la campagne de Donald Trump attribuée à l'Iran ; ingénierie sociale visant les deux campagnes.) lien vérifiée
« Vérifiée » : titre, auteurs, année et support confirmés en ligne. « À contrôler » : la référence existe mais un détail (pages, éditeur, lien) n'a pas été relu à la source. Toutes les références.
L'attribution des opérations reste une question distincte de la technique.
Contribuer à cette fiche
Une source, un cas public, une correction ? Chaque proposition est relue avant publication. Précisez le titre de la fiche : « Hameçonnage ciblé de responsables ».