Points clés à retenir
- Les attaques par « vishing » ont connu une forte recrudescence, des groupes organisés ayant industrialisé l’ingénierie sociale pour obtenir un accès initial via les services d’assistance.
- Les attaquants passent rapidement des comptes humains compromis à des identités machine persistantes, telles que les jetons OAuth et les comptes de service.
- La plupart des organisations manquent de gouvernance et de visibilité sur les identités non humaines (NHI), ce qui crée un angle mort majeur en matière de sécurité.
- La Readiness efficace repose sur la corrélation des signaux d’identité et sur le traitement des identités machine comme des actifs à haut risque.
- Une véritable résilience nécessite la capacité à détecter et à annuler les modifications non autorisées des privilèges avant que les attaquants ne parviennent à s’implanter durablement.
Votre service d’assistance vient de recevoir un appel téléphonique. L’appelant connaissait le nom de l’employé, celui de son responsable et les quatre derniers chiffres de son numéro de badge. Il a demandé une réinitialisation de mot de passe. Procédure standard. Le technicien informatique a accédé à sa demande.
Cet appel était une fraude. Et l’attaquant est désormais à l’intérieur.
Le hameçonnage vocal (ou « vishing ») a bondi de 449 % en 2025. Les groupes malveillants ont transformé l’ingénierie sociale en une opération à grande échelle : ils recrutent des opérateurs téléphoniques, rédigent des scripts et versent entre 500 et 1 000 dollars par usurpation d’identité réussie auprès d’un service d’assistance. Ils ne cherchent pas à s’emparer de vos données. Ils cherchent à prendre pied dans votre système.
Une fois à l’intérieur, les attaquants ne s’attardent pas sur le compte de l’utilisateur. Ils se déplacent latéralement : ils volent des jetons OAuth, créent de nouveaux comptes de services administratifs, intègrent des accès dans des identifiants au niveau des machines que personne ne surveille. Contrairement aux mots de passe utilisés par les utilisateurs, ces identifiants sont rarement renouvelés. Ils ne déclenchent pas d’alertes de connexion. Ils peuvent survivre à une remédiation complète du compte utilisateur initialement compromis.
Au moment où votre équipe de sécurité clôt le ticket relatif à l’incident auprès du service d’assistance, l’attaquant peut déjà être présent discrètement et de manière persistante dans votre environnement depuis des semaines. Les lacunes en matière de gouvernance aggravent encore la situation.
Moins de 25 % des organisations disposent de politiques formelles pour la création ou la désactivation des NHI — ces comptes de service, clés API et jetons OAuth qui sont désormais 144 fois plus nombreux que les utilisateurs humains. Presque tous disposent d’autorisations bien supérieures à ce que leur fonction exige.
La plupart des organisations n’ont pratiquement aucune confiance en leur capacité à détecter une attaque ciblant cette couche. Il ne s’agit pas d’un échec de prévention, mais d’un échec de planification de la Recovery.
À quoi ressemble la Readiness ?
La prévention au niveau du service d’assistance est importante : formation, vérification par rappel, confirmation hors bande. Mais elle ne suffit pas à elle seule. Les attaquants s’industrialisent plus vite que les programmes de sensibilisation ne peuvent suivre le rythme.
La « Readiness », c’est mettre en corrélation les signaux : une interaction avec le service d’assistance suivie immédiatement d’une réinitialisation de l’authentification multifactorielle (MFA) ou de la création d’un nouveau jeton est un indicateur hautement probable d’une compromission.
Cela implique de traiter les identités des machines comme des actifs de niveau 0 : régir leur création, définir l’étendue de leurs autorisations et surveiller toute escalade non autorisée. Et cela signifie être capable de détecter et d’annuler rapidement les modifications malveillantes des privilèges, avant qu’elles ne deviennent la nouvelle norme.
Découvrez comment la résilience des identités de Commvault prend en charge la détection rapide, l’annulation et la Recovery de votre environnement d’identités.
FAQ
Q : Qu’est-ce qu’une attaque par « vishing » dans le contexte de la sécurité d’entreprise ?
R : Le vishing (hameçonnage vocal) utilise des appels téléphoniques pour usurper l’identité d’employés et manipuler les services d’assistance informatique afin qu’ils accordent un accès, généralement via la réinitialisation de mots de passe ou l’authentification multifactorielle (MFA). Cette pratique est de plus en plus industrialisée, avec des groupes organisés qui recrutent des opérateurs et utilisent des scripts pré-rédigés pour maximiser leurs taux de réussite.
Q : Pourquoi les attaquants s’attaquent-ils aux identités machine après s’être introduits par hameçonnage vocal ?
R : Les comptes humains font l’objet de mesures correctives. Les identités machine (NHI) – jetons OAuth, comptes de service, clés API – sont plus persistantes et rarement renouvelées, et souvent invisibles pour les systèmes de surveillance traditionnels. La migration de l’accès vers la couche machine permet aux attaquants de maintenir cette persistance longtemps après que la violation initiale des identifiants humains a été détectée et corrigée.
Q : Que signifie concrètement la « résilience des identités » ?
R : Cela signifie que votre organisation est capable de détecter en temps quasi réel les modifications non autorisées des privilèges et de rétablir rapidement un état de confiance dans l’environnement des identités. La détection seule ne suffit pas : c’est la capacité à neutraliser les activités malveillantes et à vérifier que les identités des machines n’ont pas été altérées (ou, si elles l’ont été, à les rétablir à un état antérieur valide) qui fait la différence entre une organisation préparée et une organisation exposée.
Vidya Shankaran est directrice technique sur le terrain chez Commvault.
