Sur la base des travaux de recherche du Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Imaginez : un collaborateur de votre service comptable reçoit un e-mail qui semble provenir de vous-même, en tant que directeur général. L'objet indique « Confidentiel – virement urgent ». Dans le texte, il lui est demandé de transférer 85 000 euros vers un prétendu compte fiduciaire, en raison d'une acquisition top secrète dont il ne doit parler à personne. Le collaborateur effectue le virement. L'argent a disparu.

La fraude au président (CEO fraud) n'est que l'une des nombreuses variantes de l'ingénierie sociale (Social Engineering) – cette méthode d'attaque qui ne vise pas les failles techniques, mais l'être humain lui-même. Dans ses recherches, Teichmann analyse pourquoi ces attaques réussissent si bien, quelles en sont les conséquences juridiques – et ce que les entreprises peuvent faire pour s'en prémunir (Teichmann, Phishing und Social Engineering im Mediensektor: Prävention und rechtliche Herausforderungen, AfP 2025, p. 490–499).

Ce que sont réellement le phishing et l'ingénierie sociale

Le phishing (hameçonnage) et l'ingénierie sociale ne sont pas des synonymes, bien qu'ils soient fréquemment mentionnés ensemble. L'ingénierie sociale est le terme générique : il décrit toutes les méthodes par lesquelles les attaquants exploitent de manière ciblée les caractéristiques humaines – la serviabilité, la confiance, le respect de l'autorité, la peur ou la simple inattention – pour inciter des personnes à accomplir des actes qu'elles ne feraient pas autrement (Teichmann, AfP 2025, p. 490–499).

Le phishing en est la manifestation la plus connue : les attaquants envoient des e-mails falsifiés ou créent des sites web trompeurs de réalisme afin de subtiliser des identifiants de connexion, des mots de passe ou des informations sensibles. La forme de masse mise sur une large diffusion – des millions d'e-mails, et un petit pourcentage clique malgré tout. La variante la plus dangereuse est le harponnage (spear-phishing) : personnalisé et ciblé sur des individus précis, sur la base d'informations préalablement recherchées concernant la fonction, les projets et le réseau de contacts de la victime. Un tel e-mail, qui appelle le destinataire par son nom et fait référence à un projet en cours bien concret, est presque impossible à distinguer des messages authentiques.

Et il y a enfin le dernier niveau d'escalade : l'ingénierie sociale assistée par IA. L'IA générative permet aux attaquants de produire des attaques personnalisées à l'échelle industrielle – et d'utiliser des deepfakes pour falsifier non seulement des e-mails, mais aussi des voix et des visages. L'agence européenne pour la cybersécurité (ENISA) avertit expressément que l'IA permet aux attaquants de concevoir des attaques d'ingénierie sociale de manière encore plus ciblée (Teichmann, AfP 2025, p. 490–499).

Le taux de réussite effrayant

Selon les analyses actuelles de l'ENISA, le phishing est de loin la méthode la plus fréquente utilisée par les attaquants pour s'introduire initialement dans les organisations. Dans le rapport de statistiques du FBI pour 2022, le phishing était, avec plus de 300 000 cas signalés, le délit Internet le plus rapporté aux États-Unis – loin devant toutes les autres catégories de cybercriminalité (Teichmann, AfP 2025, p. 490–499).

La raison : le phishing contourne les pare-feu, les logiciels antivirus et toutes les autres mesures de protection technique. Il n'existe aucun système de sécurité capable d'identifier un e-mail comme du phishing s'il est techniquement parfait et ne trompe que par son contenu. Le phishing sert ainsi souvent de point d'entrée à des attaques bien plus graves : une fois que l'auteur a dérobé des identifiants de connexion, le véritable potentiel de nuisance commence – rançongiciels (ransomwares), vol systématique de données, espionnage industriel ou sabotage (Teichmann, AfP 2025, p. 490–499).

Les techniques de tromperie : du classique à l'assisté par IA

Dans ses recherches, Teichmann distingue plusieurs techniques d'ingénierie sociale qui sont souvent combinées dans la pratique.

La méthode la plus efficace consiste à usurper une fausse identité combinée à une pression temporelle artificielle. Classique dans la fraude au président : l'attaquant se fait passer pour un supérieur, génère un sentiment d'urgence absolue et fait appel à la discrétion. Cette combinaison d'autorité, d'urgence et de confidentialité est psychologiquement redoutable, car elle neutralise précisément les mécanismes de contrôle qui s'appliqueraient dans la routine de travail habituelle (Teichmann, CEO Fraud im Kontext generativer künstlicher Intelligenz, ZWH 2024, p. 1–8).

Pour le vishing – hameçonnage vocal –, le même mécanisme est déployé par téléphone. Le smishing utilise quant à lui les SMS. Et l'ingénierie sociale basée sur les deepfakes a franchi un nouveau cap qualitatif grâce à l'IA générative : un appel avec la voix de votre patron plus vraie que nature, une visioconférence avec des visages falsifiés – comme dans le cas déjà documenté à Hong Kong en 2024, où un employé a transféré 25 millions de dollars américains parce qu'il pensait s'adresser à de réels collègues (Teichmann, KI-gestützte Betrugsmaschen – Deepfakes als neue Herausforderung für Fraud Detection, Jusletter, 30 juin 2025).

La dimension pénale

Du point de vue du droit pénal, les attaques réussies de phishing et d'ingénierie sociale en Allemagne remplissent régulièrement plusieurs éléments constitutifs d'infractions (Teichmann, AfP 2025, p. 490–499).

Quiconque accède sans autorisation à des données protégées par mot de passe par le biais d'une attaque de phishing se rend coupable d'espionnage de données selon l'article 202a du Code pénal allemand (StGB) – passible d'une peine privative de liberté allant jusqu'à trois ans ou d'une amende. Si l'attaque vise un préjudice financier – comme dans le cas de la fraude au président –, l'infraction d'escroquerie selon l'article 263 StGB ou d'escroquerie informatique selon l'article 263a StGB s'applique. La dissimulation de l'identité de l'expéditeur constitue une tromperie sur les faits, qui induit la victime en erreur et provoque une disposition patrimoniale préjudiciable. Si l'attaque perturbe des systèmes informatiques – par exemple en y introduisant un rançongiciel –, l'article 303b StGB sur l'entrave au fonctionnement des systèmes informatiques (sabotage informatique) s'applique, avec une peine pouvant aller jusqu'à dix ans d'emprisonnement dans les cas graves.

Le problème en pratique : la plupart des auteurs d'actes d'ingénierie sociale opèrent à l'échelle internationale et résident dans des juridictions où ils sont difficilement poursuivis. La responsabilité pénale est claire – mais son application est le véritable problème.

La dimension civile : qui est responsable envers la victime ?

Lorsqu'une entreprise perd des données clients à la suite d'une attaque d'ingénierie sociale, elle a l'obligation, en vertu du RGPD, de le signaler à l'autorité de protection des données compétente dans un délai de 72 heures et, le cas échéant, d'en informer les personnes concernées. Le point crucial réside dans une règle défavorable sur la charge de la preuve : c'est à l'entreprise de démontrer qu'elle a pris toutes les mesures de protection techniques et organisationnelles raisonnables. Si elle ne peut s'en justifier, elle est responsable des dommages immatériels subis par les personnes concernées (Teichmann, AfP 2025, p. 490–499).

Cela signifie qu'une entreprise qui ne dispense pas de formation de sécurité appropriée, n'utilise pas d'authentification multifacteur et ne déploie pas de filtres anti-phishing se retrouve, sur le plan juridique, dans une position bien plus défavorable après une attaque réussie qu'une structure qui peut prouver avoir pris toutes les mesures raisonnables. De plus, sous la directive NIS 2 : une attaque de phishing réussie entraînant une perte de données significative ou une interruption d'activité doit être signalée au BSI (autorité allemande pour la sécurité de l'information) dans les 24 heures.

La psychologie de l'attaque : six leviers qui fonctionnent à tous les coups

Ce qui rend l'analyse de Teichmann particulièrement précieuse, c'est l'examen des mécanismes psychologiques qui confèrent à l'ingénierie sociale une telle efficacité.

Les attaquants tirent parti de six leviers psychologiques bien ciblés. L'autorité : les individus obéissent naturellement aux figures d'autorité. L'urgence : la pression du temps court-circuite les heuristiques de décision – sans temps de réflexion, on ne vérifie pas. La rareté : « possible uniquement aujourd'hui » crée une pression pour agir. La sympathie : nous aidons plus facilement les personnes que nous apprécions ou qui nous ressemblent. La preuve sociale : « tout le monde le fait » légitime l'action demandée. Et enfin la réciprocité : nous nous sentons redevables envers quiconque nous a rendu service.

Ces mécanismes ne peuvent être surmontés par des mesures purement techniques. La seule contre-stratégie efficace est la prise de conscience – et c'est précisément pourquoi les formations constituent le facteur de protection décisif (Teichmann, AfP 2025, p. 490–499).

Ce que les entreprises doivent concrètement faire

La formation régulière des collaborateurs est la mesure individuelle la plus importante. Les collaborateurs doivent comprendre à quoi ressemblent les e-mails de phishing, quels mécanismes psychologiques les attaquants exploitent et comment réagir en cas de doute. Des simulations d'attaques de phishing – où des e-mails fictifs sont envoyés au personnel pour analyser le taux de clics – figurent parmi les outils d'apprentissage les plus efficaces. La directive NIS 2 exige expressément de telles formations dans le cadre des mesures de cybersécurité.

L'authentification multifacteur (MFA) est la contre-mesure technique fondamentale. Même si un attaquant dérobe un mot de passe, il ne peut accéder au système sans le second facteur. La MFA réduit de manière spectaculaire le taux de succès des attaques de phishing.

Il est primordial d'établir des processus clairs pour les transactions sensibles afin de contrer la fraude au président. Une règle simple peut épargner des millions d'euros : tout virement dépassant un certain montant doit systématiquement être vérifié via un second canal – par exemple, un appel téléphonique à un numéro vérifié, et non à celui indiqué dans l'e-mail. Cette règle doit être connue et ancrée avant qu'un incident ne survienne (Teichmann, AfP 2025, p. 490–499).

Enfin, la direction générale doit montrer l'exemple. Si les employés constatent que les dirigeants ignorent les règles de sécurité ou exigent des dérogations, ces règles ne seront pas prises au sérieux. La culture de la cybersécurité se construit par le haut.

La nouvelle dimension : quand les deepfakes bousculent les stratégies de détection

Teichmann met en lumière une évolution qui bouleverse toute la logique de prévention de l'ingénierie sociale : les deepfakes générés par IA rendent obsolètes les anciennes stratégies de détection. La recommandation d'appeler en cas de doute perd de sa substance si la voix peut également être clonée. Le conseil de se méfier des appels vidéo inattendus devient plus difficile à suivre quand les visages peuvent être modifiés en temps réel (Teichmann, Deepfake-Imitation und Betrug durch KI-generierte Medien, Kriminalistik 2026, p. 194–200).

Qu'en découle-t-il ? Les entreprises ont besoin de niveaux d'authentification supplémentaires qui fonctionnent de manière indépendante des identifications visuelles et acoustiques : des mots de passe convenus pour les demandes inhabituelles, des protocoles institutionnalisés d'appels de confirmation via des canaux préalablement validés et, plus que tout, une culture d'entreprise qui valorise le droit au doute – c'est-à-dire le droit et le devoir de chaque collaborateur de questionner, même les demandes urgentes émanant de prétendus supérieurs, sans que cela soit interprété comme un acte d'insubordination ou de déloyauté.

Conclusion : le facteur humain ne peut pas être automatisé

Les pare-feu et les logiciels antivirus protègent contre les logiciels malveillants. Face à un e-mail trompeur qui appuie sur les parfaits ressorts psychologiques, ils s'avèrent impuissants. Et encore plus face aux deepfakes générés par IA.

Les recherches de Teichmann le démontrent clairement : l'ingénierie sociale n'est pas un problème technologique appelant une solution purement technique. C'est un défi humain qui requiert des solutions humaines – sensibilisation, formation, processus rigoureux et culture d'entreprise forte. L'obligation légale d'agir en ce sens est d'ailleurs déjà ancrée dans la directive NIS 2 et le RGPD. La question n'est plus de savoir s'il faut agir, mais de savoir si l'on agira avant que le premier collaborateur ne clique.

Toutes les sources citées font référence à des contributions scientifiques publiées par le Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. La bibliographie complète est consultable dans sa liste de publications (mise à jour en mai 2026).