Points clés à retenir
- Les attaques par « vishing » ont connu une forte recrudescence, des groupes organisés ayant industrialisé l’ingénierie sociale pour obtenir un accès initial via les services d’assistance.
- Les pirates passent rapidement des comptes utilisateurs compromis à des identités machine persistantes, telles que les jetons OAuth et les comptes de service.
- La plupart des organisations souffrent d’un manque de gouvernance et de visibilité concernant les identités non humaines (NHI), ce qui crée un angle mort majeur en matière de sécurité.
- La Readiness efficace repose sur la corrélation des signaux d’identité et sur le traitement des identités machine comme des actifs à haut risque.
- Une véritable résilience nécessite la capacité à détecter et à annuler les modifications non autorisées des privilèges avant que les attaquants ne parviennent à s’implanter durablement.
Votre service d’assistance vient de recevoir un appel téléphonique. L’appelant connaissait le nom de l’employé, celui de son responsable et les quatre derniers chiffres de son numéro de badge. Il a demandé une réinitialisation de mot de passe. Procédure standard. Le technicien informatique a accédé à sa demande.
Cet appel était une fraude. Et l’attaquant est désormais à l’intérieur.
Le hameçonnage vocal (ou « vishing ») a bondide 449 % en 2025. Les groupes malveillants ont transformé l’ingénierie sociale en une opération à grande échelle : ils recrutent des opérateurs téléphoniques, rédigent des scripts etvarynt entre 500 et 1 000 dollarsgrâce à une usurpation d’identité réussie auprès d’un service d’assistance. Ils ne cherchent pas à s’emparer de vos données. Ils cherchent à s’introduire dans votre système.
Une fois à l’intérieur, les attaquants ne s’attardent pas sur le compte de l’utilisateur. Ils se déplacent latéralement : ils volent des jetons OAuth, créent de nouveaux comptes de services administratifs, intègrent des accès dans les identifiants au niveau des machines que personne ne surveille. Contrairement aux mots de passe utilisés par les utilisateurs, ces identifiants sont rarement renouvelés. Ils ne déclenchent pas d’alertes de connexion. Ils peuvent survivre à une remise en état complète du compte utilisateur initialement compromis.
Au moment où votre équipe de sécurité clôt le ticket relatif à l’incident du service d’assistance, l’attaquant peut déjà être présent discrètement et de manière persistante dans votre environnement depuis des semaines. Les lacunes en matière de gouvernance aggravent encore la situation.Moins de 25 %des organisations disposent de politiques formelles pour la création ou la désactivation des NHI — ces comptes de service, clés API et jetons OAuth qui sont désormais144 fois plus nombreux queles utilisateurs humains. Presque tous disposent d’autorisations bien supérieures à ce que leur fonction exige.
La plupart des organisations n’ont pratiquement aucune confiance en leur capacité à détecter une attaque ciblant cette couche. Il ne s’agit pas d’un échec de la prévention, mais d’un échec de la planification de la Recovery.
À quoi ressemble la « Readiness » ?
La prévention au niveau du service d’assistance est importante : formation, vérification par rappel, confirmation hors bande. Mais elle ne suffit pas à elle seule. Les attaquants s’industrialisent plus vite que les programmes de sensibilisation ne peuvent suivre le rythme.
La « Readiness », c’est mettre en corrélation les signaux : une interaction avec le service d’assistance suivie immédiatement d’une réinitialisation de l’authentification multifactorielle (MFA) ou de la création d’un nouveau jeton est un indicateur hautement probable d’une compromission.
Cela signifie traiter les identités des machines comme des actifs de niveau 0 : régir leur création, définir l’étendue de leurs autorisations et surveiller toute escalade non autorisée. Et cela signifie être capable de détecter et d’annuler rapidement les modifications malveillantes des privilèges, avant qu’elles ne deviennent la nouvelle norme.
Découvrez commentla résilience des identités de Commvaultprend en charge la détection rapide, la suppression et la Recovery de votre environnement d’identités.
FAQ
Q : Qu’est-ce qu’une attaque par « vishing » dans le contexte de la sécurité d’entreprise ?
R : Le vishing (hameçonnage vocal) consiste à utiliser des appels téléphoniques pour usurper l’identité d’employés et manipuler les services d’assistance informatique afin qu’ils accordent un accès, généralement via la réinitialisation de mots de passe ou l’authentification multifactorielle (MFA). Cette pratique est de plus en plus industrialisée, avec des groupes organisés qui recrutent des appelants et utilisent des scripts pré-rédigés pour maximiser leurs taux de réussite.
Q : Pourquoi les pirates se tournent-ils vers les identités de machines après s’être introduits par le biais du vishing ?
R : Les comptes humains font l’objet de mesures correctives. Les identités machine (NHI) — jetons OAuth, comptes de service, clés API — sont plus persistantes et rarement renouvelées, et souvent invisibles pour les systèmes de surveillance traditionnels. La migration de l’accès vers la couche machine permet aux attaquants de maintenir cette persistance longtemps après que la violation initiale des identifiants humains a été détectée et corrigée.
Q : Que signifie concrètement la « résilience des identités » ?
R : Cela signifie que votre organisation est en mesure de détecter en temps quasi réel les modifications non autorisées des privilèges et de rétablir rapidement un climat de confiance dans l’environnement des identités. La détection seule ne suffit pas : c’est la capacité à neutraliser les activités malveillantes et à vérifier que les identités des machines n’ont pas été altérées (ou, si elles l’ont été altérées, à les rétablir dans un état antérieur valide) qui fait la différence entre une organisation préparée et une organisation exposée.
Vidya Shankaran Elle est directrice technique sur le terrain chez Commvault.
