L'ingénierie sociale domine : vos firewalls sont obsolètes

Drift Protocol : 285 millions de dollars volatilisés sans aucun exploit technique. Hims & Hers : des milliers de dossiers médicaux exposés via un agent de support trompé par un appel téléphonique. Die Linke : un parti politique du Bundestag mis à genoux par Qilin, avec 1,5 téraoctet de données internes exfiltrées via un employé manipulé. Point commun entre ces trois incidents d'avril 2026 : le vecteur d'attaque n'est pas technique, il est humain. Et tant que les organisations continueront à investir 90 % de leur budget cyber dans des outils et 10 % dans la formation et les processus qui protègent contre le facteur humain, ces scénarios se répèteront à l'identique, trimestre après trimestre, avec des montants toujours plus vertigineux et des victimes toujours plus variées. Vos firewalls ne servent à rien contre quelqu'un que vous avez invité à entrer. Vos EDR ne voient rien quand un employé légitime fait lui-même ce que l'attaquant voulait faire. C'est le paradoxe de la cybersécurité en 2026 : on a construit les meilleures forteresses techniques de l'histoire, et les attaquants entrent par la porte d'entrée avec un badge visiteur et une poignée de main.

Le pare-feu humain n'existe pas encore — et les attaquants l'ont compris

Soyons honnêtes — la plupart des programmes de sensibilisation cyber sont une farce organisée. Un quiz annuel de 20 minutes sur les risques cyber "pour les collaborateurs", un faux phishing envoyé une fois par trimestre avec un email d'UPS tellement générique que même quelqu'un de distrait le détecterait, et la case "awareness" cochée dans le registre de conformité jusqu'à l'année prochaine. Ce dispositif satisfait les auditeurs. Il ne protège personne.

Pendant ce temps, les attaquants DPRK passent six mois à construire des relations personnelles avec leurs cibles. Ils déposent parfois un million de dollars de leurs propres fonds dans un protocole DeFi pour paraître légitimes. Ils envoient des intermédiaires en chair et en os dans des conférences sectorielles. Ils maintiennent des comptes LinkedIn actifs pendant des mois avec des publications régulières, des recommandations mutuelles, et des connexions avec de vrais professionnels du secteur. Ce n'est plus du phishing — c'est du renseignement humain de niveau étatique appliqué au secteur privé.

Le problème n'est pas que les employés sont "bêtes" ou "négligents". Le problème est que les kill chains modernes exploitent des mécanismes psychologiques fondamentaux que la formation générique ne peut pas désarmer. La réciprocité (je t'ai aidé, tu m'aides), l'autorité perçue (c'est le PDG qui demande, ou quelqu'un qui lui ressemble), l'urgence fabriquée (si tu ne fais pas ça maintenant, le contrat tombe), la preuve sociale (tout le monde fait ça dans notre secteur). Un signataire multisig qui voit un partenaire de confiance depuis quatre mois lui demander une pré-autorisation "de routine" n'a aucune raison rationnelle de refuser. Le système cognitif humain est conçu pour que la confiance établie fonctionne. C'est exactement ce que les attaquants exploitent.

Le budget cyber est structurellement à l'envers

En 2025, le marché mondial de la cybersécurité a atteint 200 milliards de dollars selon les estimations Gartner. La part consacrée à la formation et à la sensibilisation des collaborateurs ? Environ 5 milliards — soit 2,5 % du total. Le reste — 97,5 % — va dans des firewalls next-gen, des EDR, des SIEM, des SOAR, du XDR, du CNAPP, des cloud security posture managers, et une soupe d'acronymes qui ne protègent contre rien quand l'attaquant entre par la porte d'entrée avec un badge visiteur et une poignée de main chaleureuse.

Je ne dis pas que ces outils sont inutiles. Ils sont nécessaires mais radicalement insuffisants comme couche unique de protection. Les organisations qui ont été compromises par ingénierie sociale au premier trimestre 2026 avaient toutes des stacks de sécurité de plusieurs millions de dollars. Drift avait des audits de smart contracts par des firmes réputées. Hims & Hers utilisait une plateforme de support professionnelle avec authentification multi-facteurs. Die Linke avait probablement un antivirus et un firewall. Ce qui leur manquait, c'est un processus de vérification humain robuste pour les demandes sensibles — et la culture organisationnelle pour l'appliquer même quand "ça ralentit les choses".

Cette répartition budgétaire reflète un biais cognitif profond dans la gouvernance de la sécurité : les outils technologiques sont visibles, mesurables (nombre d'alertes bloquées, taux de détection, time-to-detect), et se présentent facilement en COMEX avec des dashboards impressionnants. La résilience humaine est invisible, difficile à quantifier, et produit des résultats qui se mesurent en incidents qui ne se sont pas produits — par définition non visibles dans les tableaux de bord.

Analyse technique des trois incidents d'avril 2026

Drift Protocol — L'ingénierie sociale de niveau HUMINT. Les attaquants nord-coréens du groupe Lazarus ont ciblé cinq signataires du multisig Drift sur Solana. Chacun a reçu une approche personnalisée adaptée à son profil professionnel. L'un travaillant dans la DeFi a été approché comme investisseur potentiel. Un autre, intéressé par la recherche cryptographique, a eu des échanges sur des sujets académiques pendant des semaines. La demande finale — pré-signer une "transaction de gestion de trésorerie de routine" — a été présentée dans un contexte de confiance construite sur des mois. Trois des cinq signataires ont complié. 285 millions de dollars ont été transférés en 12 minutes.

Ce qui rend ce cas particulièrement instructif pour les RSSI, c'est que les défenses techniques étaient en place : le multisig était conçu comme une protection contre la compromission d'un seul signataire. Mais la protection a été contournée non par un exploit cryptographique — par la manipulation de trois humains. Le design de sécurité n'avait pas modélisé un attaquant patient capable de manipuler simultanément plusieurs signataires sur une longue période.

Hims & Hers — La compromission via le support client. Un attaquant a appelé le service de support de Hims & Hers en se faisant passer pour un professionnel de santé légitime avec une demande urgente concernant un patient. L'agent de support, face à un prétexte médical urgent et à un interlocuteur qui connaissait les bonnes terminologies et les bons codes de procédure, a accordé l'accès à des dossiers médicaux. Les systèmes d'authentification du support étaient en place — ils n'ont jamais été mis à l'épreuve, parce que l'attaquant a convaincu l'agent de les contourner pour une "urgence médicale".

Ce schéma est connu depuis les années 2010 sous le nom de "vishing" (voice phishing). Il est documenté dans des dizaines d'incidents majeurs, notamment les compromissions de Twitter en 2020 et du MGM Resorts en 2023. Il reste efficace parce que former des agents de support à résister à des prétextes médicaux urgents créés par des attaquants sophistiqués est extraordinairement difficile — et que la résistance a un coût : si l'agent de support dit non à une vraie urgence médicale, les conséquences sont potentiellement graves.

Die Linke — Qilin et l'employé manipulé comme vecteur initial. Le groupe Qilin, connu pour ses attaques ransomware sophistiquées, a utilisé dans le cas Die Linke une approche initiale par spear phishing très ciblé sur un employé avec accès aux systèmes informatiques du parti. L'email imitait une communication interne avec un niveau de personnalisation suggérant une reconnaissance préalable approfondie — terminologie propre au parti, mention de projets en cours, références à des contacts internes réels. Une fois l'employé compromis, Qilin a eu accès au réseau interne et a exfiltré 1,5 téraoctet avant de déployer le ransomware.

Ce qu'il faut changer concrètement

Changement 1 — Arrêter les formations génériques, adopter des formations spécifiques au rôle et CTI-based. Un RSSI n'a pas les mêmes risques qu'un développeur ou qu'un responsable financier. Un signataire multisig n'a pas les mêmes risques qu'un agent de support. La formation doit être spécifique au rôle, basée sur des scénarios réels issus de la threat intelligence actuelle sur les acteurs qui ciblent votre secteur, et pratiquée régulièrement — pas une fois par an.

Changement 2 — Implémenter des procédures de vérification out-of-band pour toute action sensible. Un virement supérieur à un certain seuil, une modification de droits d'accès, une signature multisig, une communication de données sensibles à un tiers — chaque action critique doit être confirmée par un canal distinct de celui par lequel la demande est arrivée. Un email de confirmation via un deuxième email ne compte pas. Un appel téléphonique sur un numéro connu a priori, une validation via une application d'authentification dédiée, ou une présence physique pour les actions les plus critiques — voilà ce qui résiste à l'ingénierie sociale sophistiquée.

Changement 3 — Intégrer le red teaming social dans les programmes de test d'intrusion. Un pentest réseau qui ne teste pas l'ingénierie sociale ne teste que la moitié de la surface d'attaque réelle. Les équipes red team doivent inclure des scénarios de vishing, de spear phishing ciblé sur des rôles spécifiques, de manipulation longue durée via LinkedIn pour les cibles à haut privilège. Les résultats de ces tests sont souvent les plus instructifs — et les plus inconfortables — pour les directions.

Changement 4 — Accepter que la confiance zéro s'applique aussi aux relations humaines. Zero Trust côté réseau signifie "ne jamais faire confiance, toujours vérifier". Le même principe s'applique aux relations humaines dans un contexte de sécurité : toute demande d'action sensible doit être vérifiable indépendamment, quelle que soit la relation de confiance avec le demandeur. Un "ami de longue date dans l'industrie" qui demande une action urgente ne bénéficie pas d'une exemption — le processus de vérification s'applique à tout le monde, toujours.

Changement 5 — Mettre en place des timelocks sur les actions irréversibles. Si une transaction financière importante ne peut s'exécuter qu'après un délai de 24 heures avec confirmation active par une seconde partie indépendante, la manipulation d'un individu ne suffit plus — l'attaquant doit manipuler simultanément deux personnes, et la victime a une fenêtre pour se rendre compte de la manipulation avant que le dommage soit irréversible.

Conclusion

Les trois incidents majeurs d'avril 2026 racontent la même histoire : des organisations techniquement bien protégées, compromises par des humains qui faisaient confiance à d'autres humains. La cybersécurité en 2026, ce n'est plus seulement un problème de patches et de configurations — c'est un problème de processus, de culture et de vigilance quotidienne.

Il est temps de rééquilibrer les budgets et les priorités en conséquence. Pas de réduire les investissements technologiques — de les compléter avec des investissements équivalents dans la résilience humaine. La formation contextualisée, les procédures de vérification out-of-band, le red teaming social, les timelocks sur les actions irréversibles — ces mesures ne coûtent pas des millions. Elles demandent de la discipline organisationnelle et de la volonté politique. C'est souvent plus rare que le budget.