Organisations

Les cinq leviers sur ce terrain

Les 22 fiches de ce terrain

Contre-mesures réunies

• Autorité usurpée : rappel sur un numéro connu ; double validation des opérations sensibles ; annuaire d'authentification interne ; droit explicite de refuser et de signaler.
• Urgence et pression temporelle : règle « plus c'est urgent, plus on vérifie » ; durée minimale pour les opérations sensibles ; escalade possible sans reproche.
• Usurpation de voix et d'image : mot de passe convenu pour les opérations sensibles ; rappel sur numéro connu ; outils de provenance des contenus ; procédure de vérification avant toute diffusion d'un enregistrement sensible.
• Hameçonnage ciblé de responsables : authentification forte résistante à l'hameçonnage (clés physiques) ; avertissements automatiques sur les messages externes ou suspects ; signalement en un clic, sans reproche ; cloisonnement des comptes ; une formation des cabinets et équipes de campagne seulement en complément, et dont l'effet est mesuré.
• Pretexting et canulars : protocole d'authentification des appels officiels ; formation des standards et secrétariats ; consigne de ne rien confirmer sans vérification.
• Reconnaissance des visages et familiarité : vérifier l'identité par un canal indépendant plutôt que par la ressemblance ; mot de passe convenu pour les demandes sensibles ; former à la fragilité de l'appariement de visages peu connus ; prévoir des vérifications qui ne reposent pas sur la vue, pour les personnes aveugles ou malvoyantes comme pour tous.
• Mémoire de travail et charge cognitive : alléger la charge au moment de la décision sensible ; listes de contrôle courtes ; interdire de traiter un virement en multitâche ; externaliser la mémoire (aide visible plutôt que souvenir).
• Déclin cognitif et vulnérabilité à la fraude : délai obligatoire avant tout gros paiement ; personne de confiance désignée ; alertes bancaires sur les opérations inhabituelles ; mesures de protection juridique adaptées ; formations fondées sur la dignité.
• Décision, émotion et cortex préfrontal ventromédian : règle du délai de refroidissement avant l'engagement ; second avis d'un tiers non touché par l'émotion ; scénarios d'entraînement pour automatiser la pause.
• Stress, émotion et contrôle exécutif : procédures qui n'exigent pas de raisonnement complexe en crise (listes courtes) ; entraînement qui rend les gestes automatiques ; relais et récupération ; soutien après incident, sans reproche.
• Effet spectateur et diffusion de responsabilité : un responsable nommé pour chaque type d'alerte et chaque boîte partagée ; un bouton de signalement en un clic, sans reproche en cas de fausse alerte ; la règle « signaler même si d'autres l'ont reçu » ; accuser réception des signalements pour montrer qu'ils servent ; s'adresser à une personne nommée plutôt qu'à « l'équipe ».
• Normes sociales : ce que font les autres, ce qu'ils approuvent : mettre en avant la majorité qui vérifie et signale ; associer chaque chiffre à une approbation claire (« merci aux 70 % qui ont signalé ») ; rendre visibles les signalements utiles ; vérifier l'origine des chiffres et des soutiens avant de s'y fier.
• Obéissance et conformité : ce qui rend le refus possible : un rôle de vérification attribué par écrit et protégé, même face à la direction ; le droit explicite de suspendre une opération douteuse ; un second avis systématique au-delà d'un seuil ; valoriser publiquement les refus motivés ; en réunion, recueillir les avis avant que la personne la plus haut placée ne s'exprime.
• Identité sociale : « nous » contre « eux » : appliquer la même vérification à un membre supposé du groupe qu'à un inconnu ; vérifier l'historique et l'origine des comptes communautaires ; dans la communication interne, rappeler les objectifs communs plutôt que les oppositions entre services ; favoriser les échanges réels entre équipes.
• Engagement et cohérence : l'escalade des petites demandes : évaluer chaque demande comme si elle arrivait seule ; seuils de validation qui s'appliquent quel que soit l'historique de l'échange ; droit explicite de revenir sur un accord quand les conditions changent ; point d'arrêt prévu dans les échanges longs (« je vérifie et je vous rappelle »).
• Réactance : quand la règle donne envie de la contourner : expliquer la raison de chaque règle ; peu de règles, simples et stables ; laisser un choix entre plusieurs façons de se protéger quand c'est possible ; associer les équipes à la conception ; préférer un ton factuel au ton menaçant ; supprimer les alertes inutiles.
• Inoculation : s'entraîner sur une version affaiblie : montrer des exemples affaiblis des techniques réellement utilisées, avec leur réfutation ; viser les techniques plutôt que les sujets ; rappels courts et réguliers ; mesurer la détection dans le temps ; combiner avec des procédures de vérification.
• Après l'escroquerie : honte, silence et revictimisation : accueillir sans reproche ni ironie ; orienter vers l'assistance officielle (en France, 17Cyber, ouvert fin 2024 par la police, la gendarmerie et Cybermalveillance.gouv.fr) et vers le dépôt de plainte ; prévenir qu'aucun service sérieux ne fait payer la récupération des fonds ; en entreprise, garantir qu'un clic signalé ne sera pas sanctionné ; proposer un soutien psychologique quand le choc est fort.
• Vieillissement et confiance : un facteur de risque, pas une fatalité : un tiers de confiance choisi à l'avance pour toute décision financière inhabituelle ; des règles simples et écrites (on ne donne jamais un code par téléphone) ; alertes et plafonds bancaires ; garder le lien social ; informer sans infantiliser.
• Plans « si… alors » et réévaluation : des outils des TCC contre la pression : écrire avec chaque équipe deux ou trois plans si… alors pour les demandes à risque ; les répéter en exercice ; afficher la réponse attendue près des postes concernés ; apprendre à nommer l'urgence comme un signal (« je sens de la pression, donc je vérifie »).
• Simuler une attaque sans trahir : consentement, tromperie et débriefing : cadre écrit validé par la direction et les représentants du personnel ; information générale des équipes sur l'existence des exercices ; liste de leurres interdits ; débriefing rapide et bienveillant ; données agrégées ; possibilité de se retirer.
• Facteurs humains : concevoir pour l'erreur plutôt que contre l'utilisateur : analyser les incidents sans chercher de coupable ; recenser les contournements et en comprendre la raison ; ajouter des défenses indépendantes plutôt qu'une seule règle stricte ; simplifier les gestes fréquents ; encourager le signalement des incidents évités de justesse.