Glossaire / Confidentialité et sécurité
Ingénierie sociale
- Qu'est-ce que l'ingénierie sociale ?
- L'ingénierie sociale est l'art d'amener une personne à faire le travail de l'attaquant à sa place : approuver un virement, lire un code à voix haute ou contourner une règle qu'elle a été formée à faire respecter.
Dans ce type d'attaque, rien n'est cassé sinon le jugement d'un être humain. Les attaquants ciblent le personnel aussi volontiers que les clients : une campagne téléphonique contre des employés de Twitter le 15 juillet 2020 a atteint 130 comptes et a récolté environ 12,86 bitcoin en un seul après-midi. Comme un paiement en bitcoin confirmé ne peut pas être annulé, toute l'arnaque n'a besoin de fonctionner qu'une fois.
Comment cela fonctionne
Toute attaque d'ingénierie sociale assemble les quatre mêmes éléments, dans le même ordre.
Un prétexte donne à l'attaquant une raison de vous parler : service antifraude, support d'une plateforme d'échange, problème de livraison, offre d'emploi, nouvelle rencontre sur une application de rencontre. L'autorité ou la familiarité rend le prétexte crédible, apportée par un identifiant d'appel usurpé, un détail authentique tiré d'une base de données fuitée, ou simplement la connaissance de votre nom et de la plateforme d'échange que vous utilisez. L'urgence supprime votre capacité à vérifier, car un compte compromis ou une occasion qui expire signifie que la décision doit être prise tout de suite. Enfin vient l'action irréversible : envoyer les bitcoins, lire le code à voix haute, installer l'outil de prise de contrôle à distance, taper les mots.
Le bitcoin accentue la dernière étape. La fraude à la carte a un émetteur qui peut annuler un débit et une banque qui absorbe une partie de la perte. Un paiement on-chain confirmé n'a ni l'un ni l'autre, donc le gain de l'attaquant est définitif au moment de la première confirmation, généralement environ dix minutes après que vous avez appuyé sur envoyer.
Les campagnes les plus dommageables laissent de côté le client et ciblent le personnel de l'entreprise, où un seul succès donne accès à des milliers de comptes. Coinbase a révélé le 15 mai 2025 que des sous-traitants du support client à l'étranger avaient été corrompus pour remettre des données clients, qui ont ensuite servi à mener des appels convaincants du type « votre compte est compromis ». L'entreprise a refusé une demande de rançon de 20 millions de dollars et a estimé les coûts de remédiation et de remboursement entre 180 et 400 millions de dollars.
Où vous le rencontrez
Six schémas d'ingénierie sociale couvrent l'écrasante majorité des pertes, et chacun a une règle mécanique qui le neutralise.
L'appel du portefeuille sûr. Une personne se présentant comme venant de votre plateforme d'échange ou du fabricant de votre portefeuille dit que votre compte est compromis et vous guide pour déplacer vos fonds vers une « adresse sûre » qu'elle fournit. Aucune entreprise légitime ne vous demandera jamais de déplacer des bitcoins. Tout appelant qui le fait est l'attaque, donc raccrochez.
Un support usurpé dans la recherche et la messagerie. Des annonces de recherche payantes et des comptes Telegram ou Discord portant le bon logo apparaissent dès que vous publiez une réclamation publique. Le vrai support ne vous écrit pas le premier. Contactez le support uniquement via une page que vous avez ouverte vous-même.
Les arnaques à la récupération. Après une perte, un second attaquant propose de tracer et de récupérer vos bitcoins contre des frais payés d'avance. Les listes de victimes sont revendues précisément pour cela. Aucun service privé ne peut annuler une transaction en bitcoin.
L'accès interne. Des sous-traitants du support corrompus et des employés d'opérateurs télécoms transforment les outils habituels d'une entreprise en surface d'attaque, comme l'a montré la révélation de Coinbase. Partez du principe que la plateforme d'échange connaît vos avoirs et votre adresse, et gardez votre épargne de long terme là où la plateforme d'échange n'a aucune prise.
Faux entretiens d'embauche et code. Des développeurs reçoivent un « exercice à faire chez soi » ou un plugin de visioconférence qui installe un voleur d'informations, lequel cherche ensuite les fichiers de portefeuille et les sauvegardes de phrase de récupération sur le disque.
Contrainte physique. Des listes d'adresses clients fuitées ont mené à des invasions de domicile visant des détenteurs connus, donc traitez vos avoirs comme quelque chose dont vous ne parlez pas et que vous n'exposez pas.
Deux règles couvrent les six. Ne prenez jamais une mesure sur vos bitcoins à la suite d'un contact entrant, et rappelez toujours sur un numéro que vous avez cherché vous-même. Ajoutez un délai de réflexion personnel de 24 heures pour tout transfert non prévu, car l'urgence est l'ingrédient dont aucun attaquant ne peut se passer.