De nouveaux moyens se démocratisent en matière d’attaques informatiques. Au-delà des approches purement techniques, la simplification du clonage vocal a ouvert le champ des possibles à des effets jusque là très complexes à obtenir pour l’attaquant. Ainsi, le vishing devient une menace qu’une entreprise doit désormais prendre très au sérieux. Dans cet article, Julie PINAI MUSELLI vous explique l’évolution de ce procédé et comment Synetis vous accompagne dans la défense vis à vis d’attaquants toujours plus créatifs dans leurs approches.
Qu’est-ce que le vishing ?
Construction sémantique entre “voice” et “phishing”, le vishing est une méthode d’ingénierie sociale permettant de duper une victime par téléphone ou message vocal sur une application de messagerie instantanée. L’attaquant cherche généralement à extorquer sa cible, l’incitant à réaliser des paiements frauduleux ou lui faire divulguer des informations sensibles sur lui-même ou son entreprise. Ainsi, il profite de moyens de clonage multimédia combinés à des techniques de manipulation afin de créer un sentiment d’urgence et susciter la peur ou instaurer un rapport d’autorité. Ce sont ces émotions qui permettent de court-circuiter le sens critique de la victime.
Vishing : comment le cybercriminel procède-t-il ?
Le vishing commence généralement par une reconnaissance conséquente sur tout le contexte de l’entreprise par l’attaquant. Premièrement, il cherche à obtenir un maximum d’informations sur la structure ciblée, tel que le nom des employés, les différentes applications utilisées, les numéros de téléphone utilisés par les équipes IT, les liens entre les personnes et les services, et, enfin, les éventuelles vulnérabilités techniques du système de communication utilisé.
Bien que cela nécessite un certain savoir-faire, les campagnes de vishing peuvent démarrer par l’usurpation du caller ID. Ce procédé permet ainsi de falsifier le numéro de l’appelant. Le plus souvent mise en œuvre par VoIP spoofing, cette manipulation provoquera un faux sentiment de sécurité chez la victime, laquelle pense alors recevoir un appel légitime avant même d’initier tout échange.
Quel est le meilleur moyen de reconnaître une attaque de type vishing ?
Bien que complexe à mettre en œuvre, une attaque de type vishing reste difficile à détecter mais est particulièrement efficace pour l’attaquant. Une fois en contact direct avec la victime, l’assaillant peut non seulement le tromper lors d’un appel, d’un message mais aussi le pousser à approuver des notifications push, notamment pour qu’il envoie son code temporel lié à sa solution multi-facteurs.
En ce qui concerne la protection technique, notamment celle des MFA, plusieurs solutions s’offrent aux entreprises afin de les protéger face à cette approche, mais aussi face à de nombreuses autres :
- L’utilisation de clefs FIDO2 ou de passkeys;
- L’activation du DBSC autorisant uniquement l’appareil original à accéder à la session active.
L’essor de l’IA dans les campagnes d’attaque par ingénierie sociale
Ces dernières années, l’IA a fortement simplifié les attaques par ingénierie sociale, permettant de cloner des voix afin de se faire passer pour la personne usurpée de manière crédible. La voix d’une personne de confiance, couplée à des intonations mêlant émotion et urgence, rend cette technique particulièrement efficace.
Seulement quelques secondes d’enregistrement suffisent à rendre les escroqueries par téléphone crédibles. La mise en œuvre technique reste assez simple et le coût plutôt faible pour l’attaquant. Les extraits vocaux sont généralement récupérés depuis des interviews, des webinaires, des podcasts, des conférences et des messages vocaux partagés.
Pour arriver à ses fins, l’attaquant n’est plus obligé d’entraîner un modèle de synthèse vocale. En effet, de nombreux modèles open-source capitalisent sur des algorithmes de machine learning imitant le timbre, le rythme, les pauses, le ton, la respiration, les soupirs et l’intonation de la voix ce qui va permettre de donner des instructions directes et convaincantes.
Ces attaques dévastatrices engendrent des pertes financières conséquentes pour les entreprises, et atteignent parfois aussi à la crédibilité, notamment lorsque l’attaquant acquiert des données qu’il divulgue ensuite. Combinant urgence et voix particulièrement bien répliquées, elles fonctionnent particulièrement bien, d’autant plus quand elles sont combinées au spoofing du numéro de téléphone qui rend l’attaque encore plus crédible. De plus, la combinaison avec les mails de phishing engendrent une crédibilité encore plus accrue. La personne se retrouve avec une pression psychologique très élevée ce qui va la tromper et elle va agir sans réfléchir.
Il est très difficile de surveiller le flux téléphonique car peu exploitable mais il est quand même possible de surveiller des activités suspectes dans l’ERP.
| Note Selon le baromètre CESIN 2025 : le deepfake fait son entrée dans la liste des vecteurs d’attaque identifiés, représentant 9%. Selon la Banque de France, en 2024, le vishing a représenté environ 380 millions d’euros de préjudice. |
Comment puis-je me protéger contre le vishing ?
S’entourer de partenaires de confiance pour contrer ces attaques
Comment Synetis vous accompagne face à ces menaces de plus en plus présentes? D’une part au travers de ses équipes GRC, en assurant la sensibilisation de vos utilisateurs à ce types de menaces, mais aussi par la réalisation de campagnes de prévention avec de fausses campagnes de vishing réalisées par notre équipe d’audit.
En matière de détection, notre SOC ne se concentre plus uniquement sur les menaces externes mais aussi sur la supervision des anomalies comportementales de vos utilisateurs, notamment en:
- surveillant la création de comptes suspects ou bien l’activation de compte dormant avec l’attribution de droits à privilèges;
- supervisant les connexions faites depuis des IPs inhabituelles;
- supervisant l’envoi et la réception de courriels dont les expéditeurs ou destinataires seraient typosquattés,
- développant des règles de surveillance des téléchargements importants afin d’identifier une potentielle exfiltration
Enfin, nous accompagnons dans la gestion de crise en cas d’incident de sécurité lié à ce type de pratiques, couvrant jusqu’à l’assurance cybersécurité pour limiter le coût de ce type de fraude. Contactez-nous pour plus d’informations !
FAQ à propos du vishing
Qu’est-ce que le phishing ou le vishing ?
Le phishing (ou hameçonnage) demeure un classique bien connu des cybercriminels, mais ses modes opératoires ont considérablement évolué. Historiquement, cette méthode consiste à tromper un utilisateur en usurpant l’identité d’une entité de confiance, qu’il s’agisse d’une organisation, d’un service client ou d’un collègue. L’objectif de cette manœuvre reste inchangé :
- Obtenir des informations sensibles, telles que des identifiants de connexion ou des données bancaires ;
- Installer des logiciels malveillants à l’insu de la victime.
Si l’e-mail maquillé constitue toujours le vecteur d’attaque le plus courant, l’émergence de l’intelligence artificielle générative (IA générative) change la donne. Elle permet désormais aux cybercriminels d’automatiser et d’intensifier leurs campagnes en générant des contenus particulièrement convaincants. Cette technologie associe la précision d’un ciblage de haute qualité à la puissance d’envois massifs.
Parallèlement à ces e-mails sophistiqués, une autre variante d’ingénierie sociale gagne du terrain : le vishing (contraction de « voice » et « phishing »). Il s’agit de la déclinaison vocale de cette méthode d’attaque.
Est-ce que les banques remboursent le vishing ?
En principe, les banques ne remboursent pas les victimes de phishing ou de vishing dans le cadre décrit si ces dernières ont commis une négligence. C’est ce qu’a réaffirmé la Cour de cassation dans un arrêt publié le 15 janvier 2025.
Quelle est la différence entre le smishing et le vishing ?
Dans le cadre des attaques d’ingénierie sociale, la principale différence entre le smishing et le vishing réside dans le canal de communication employé par les cybercriminels pour piéger leurs cibles. L’objectif reste d’inciter la victime à divulguer des informations sensibles.
- Le smishing (SMS phishing) s’appuie sur le canal écrit. L’attaque s’effectue par le biais de messages texte, qu’il s’agisse de SMS traditionnels ou de messages envoyés via des applications de messagerie mobile sur Internet ;
- Le vishing (voice phishing) s’appuie sur le canal vocal. Cette méthode est opérée lors d’appels téléphoniques ou par l’envoi de messages vocaux sur des applications de messagerie instantanée. Pour parvenir à leurs fins, les attaquants y combinent souvent des techniques de manipulation et de clonage multimédia. L’objectif est d’instaurer un sentiment d’urgence, de peur ou un rapport d’autorité pour pousser la victime à effectuer des paiements frauduleux ou à révéler des informations confidentielles.
Julie PINAI MUSELLI
