En 2022, Uber. En 2023, MGM Resorts et Caesars. En 2024, une cinquantaine de clients Snowflake. En 2026, Abbott Laboratories. Un fil conducteur relie toutes ces brèches : un employé a décroché son téléphone, et tout s'est effondré ensuite. Le vishing n'est pas en train de revenir — il n'est jamais parti. Il est juste devenu impossible à distinguer d'un vrai appel interne.

Même scénario, quatre ans d'écart, mêmes dégâts

L'attaque contre Uber en septembre 2022 était un manuel du genre. Un individu de 18 ans a contacté par SMS puis par téléphone un sous-traitant Uber, se faisant passer pour le service IT interne. Il a invoqué une urgence de sécurité, créé une pression temporelle, et convaincu la cible de valider une demande MFA. Résultat : accès complet à l'infrastructure AWS, aux outils de sécurité, au Slack interne, au VPN, aux panels HackerOne. Coût estimé en dizaines de millions entre remédiation, investigations et sanctions réglementaires.

En 2023, le groupe ALPHV/Scattered Spider a utilisé la même recette contre MGM Resorts. Appel au helpdesk IT, usurpation de l'identité d'un employé légitime — les données LinkedIn fournissant le contexte nécessaire pour être crédible — puis demande de reset MFA. Résultat : 100 millions de dollars de pertes, systèmes hôteliers paralysés plusieurs jours, 35 000 employés sans accès à leurs outils de travail. La même année, Caesars Entertainment a préféré payer une rançon estimée à 15 millions de dollars plutôt qu'affronter la médiatisation d'une brèche similaire.

En 2024, ShinyHunters a industrialisé le vishing à grande échelle contre les clients Snowflake. Des dizaines d'entreprises — AT&T, Ticketmaster, Santander, LendingTree — ont vu leurs données exfiltrées. Le vecteur commun : des appels ciblés vers des employés dont les identifiants Snowflake avaient été préalablement collectés via des infostealers. Le vishing servait à contourner le MFA et récupérer des tokens de session valides. Pas une seule CVE exploitée. Pas un seul zero-day. Juste des appels téléphoniques.

En juillet 2026, Abbott Laboratories confirme deux incidents initiés mi-juin via vishing. ShinyHunters, même groupe, même méthode. Quatre ans se sont écoulés. Des milliards ont été investis dans les outils de cybersécurité. Et le vishing fonctionne toujours aussi bien. La question n'est pas de savoir si votre organisation peut être ciblée de cette façon — c'est de comprendre pourquoi les défenses actuelles ne tiennent pas face à cette attaque.

Ce qui a changé : le vishing augmenté par l'IA en 2026

La différence entre le vishing de 2022 et celui de 2026 n'est pas dans le principe — c'est dans les outils. En 2022, un attaquant avait besoin de talent pour l'improvisation, d'un accent crédible, et de suffisamment de contexte sur sa cible pour être convaincant. Ces barrières ont pratiquement disparu.

La synthèse vocale par IA a atteint un niveau de qualité largement suffisant pour des conversations téléphoniques. Des outils commerciaux permettent de cloner une voix à partir de quelques secondes d'échantillon audio. Des vidéos de dirigeants publiées sur LinkedIn, YouTube ou lors de conférences sectorielles fournissent amplement de matière première. En janvier 2026, une société financière de Hong Kong a versé 25 millions de dollars après une visioconférence avec ce qu'elle croyait être son directeur financier — un deepfake vidéo et audio en temps réel, documenté par Reuters et le South China Morning Post.

En mai 2026, une ETI française du secteur énergie a failli effectuer un virement de 3 millions d'euros après un appel prétendument de son PDG, demandant une opération urgente et confidentielle. La responsable financière a eu un doute et rappelé sur le numéro officiel. L'arnaque a été détectée in extremis. Ces cas ne font pas tous l'objet de publications officielles — les entreprises préfèrent souvent ne pas communiquer — mais les remontées terrain suggèrent une accélération nette depuis début 2026.

Le second facteur multiplicateur, c'est la disponibilité massive des données de reconnaissance. Les infostealers (Lumma Stealer, RedLine, Vidar) collectent en continu des credentials, tokens de session et données professionnelles depuis les appareils des employés. Les forums cybercriminels vendent des logs complets par entreprise cible. Un attaquant qui cible Abbott n'appelle pas au hasard : il sait quel employé utilise quel service, il a peut-être ses credentials partiels, et il utilise LinkedIn pour reconstruire l'organigramme. L'appel de vishing n'est que la dernière pièce d'un puzzle déjà presque complet.

L'anatomie d'une attaque vishing moderne : cinq phases

Comprendre la chaîne précise permet de construire des défenses efficaces à chaque point.

Phase 1 : Reconnaissance OSINT

L'attaquant cartographie l'organisation sans aucune interaction directe. LinkedIn pour les noms, rôles et ancienneté ; profils GitHub des développeurs pour les stacks techniques ; offres d'emploi pour identifier les outils déployés (une offre mentionnant Okta, Microsoft Entra ou Snowflake confirme l'environnement) ; conférences et webinaires pour collecter des échantillons vocaux de managers ou dirigeants. Cette phase peut durer des semaines et ne génère aucune alerte dans vos systèmes de détection.

Phase 2 : Collecte de credentials via infostealers et dark web

Des credentials partiels d'employés collectés via infostealers suffisent à préqualifier une cible et rendre l'appel crédible. "On a détecté une activité suspecte sur votre compte depuis Paris hier soir, pouvez-vous confirmer ?" — une ouverture qui crée immédiatement un sentiment d'urgence. Des services de surveillance comme Flare, SpyCloud ou le module Identity de Recorded Future permettent de détecter l'apparition de credentials dans ces bases avant exploitation. Cette capacité reste encore peu déployée dans les structures de taille intermédiaire.

Phase 3 : Fabrication du prétexte

Un vishing efficace utilise un scénario adapté à la cible. Pour le helpdesk IT : urgence de sécurité. Pour la finance : opération confidentielle urgente du CFO. Pour un manager : demande de son supérieur direct. Les prétextes les plus efficaces créent une pression temporelle qui court-circuite le raisonnement critique. En 2026, un LLM génère ce script en quelques secondes, adapté à la personnalité LinkedIn de la cible spécifique. La barrière d'entrée pour produire un vishing convaincant est aujourd'hui quasi nulle.

Phase 4 : L'appel — contournement du MFA

L'objectif n'est généralement pas de voler un mot de passe — c'est de contourner le MFA. Les techniques courantes incluent : la fatigue MFA (bombarder de notifications jusqu'à la validation par erreur), convaincre l'employé de lire le code SMS reçu, ou agir comme proxy en temps réel entre la cible et un portail de phishing pour capturer le token de session live. Cette technique du proxy MFA est celle utilisée dans les attaques Snowflake 2024 et semble également au cœur de l'attaque Abbott 2026.

Phase 5 : Pivot et exfiltration via SSO

Un token SSO Microsoft Entra valide donne accès à l'ensemble des applications connectées de l'utilisateur compromis. L'attaquant cartographie rapidement l'environnement accessible, identifie les données à haute valeur, et exfiltre avant que les alertes ne déclenchent une réponse. Dans l'attaque Abbott, la fenêtre entre la compromission SSO et le début de l'exfiltration représente environ trois semaines de présence non détectée — largement suffisant pour cartographier et extraire des volumes importants.

Le SSO : une clé pour tout déverrouiller

La généralisation des plateformes SSO — Microsoft Entra ID, Okta, Ping Identity — a créé un single point of failure absolu : compromettre un seul compte SSO donne accès à toutes les applications auxquelles l'utilisateur est abonné. Pour un employé de niveau intermédiaire dans une grande entreprise, cela peut représenter des dizaines d'applications — messagerie, stockage cloud, outils de développement, systèmes métier — dont certaines contiennent des données hautement sensibles.

Ce calcul a changé la stratégie des attaquants. Avant la centralisation SSO, compromettre un compte donnait un accès limité et cloisonné. Aujourd'hui, un seul appel téléphonique réussi peut ouvrir des dizaines de portes simultanément. L'attaquant n'a plus besoin de compromettre dix systèmes différents — il lui suffit de convaincre le bon employé, puis de laisser le SSO faire le reste du travail.

La durée de vie des tokens SSO amplifie le problème. Dans beaucoup de configurations par défaut, un token peut rester valide plusieurs heures voire plusieurs jours. Un token exfiltré via proxy MFA permet à l'attaquant d'opérer en dehors des heures de bureau, de façon discrète, jusqu'à expiration naturelle. Des politiques de session adaptées — durée courte, révocation sur comportement anormal, restriction géographique — réduisent drastiquement cette fenêtre. Ces configurations existent dans Entra ID Conditional Access et Okta ThreatInsight, mais restent souvent sous-utilisées pour ne pas créer de friction utilisateur.

Pourquoi les défenses classiques ne suffisent pas

La sensibilisation au phishing email apprend à repérer des signaux visuels : l'adresse expéditeur douteuse, le lien non sollicité, la pièce jointe suspecte. Cette formation ne prépare absolument pas à reconnaître un appel téléphonique frauduleux. Elle peut même créer une fausse confiance : l'employé qui ne clique jamais sur les liens suspects se croit en sécurité, pendant que l'attaquant contourne entièrement le canal email.

Le MFA par SMS ou par application TOTP ne résiste pas au vishing. Un code reçu par SMS peut être lu à voix haute. Une notification push peut être validée sous pression. Seules les clés FIDO2 et les passkeys résistent intrinsèquement au vishing et au proxy MFA — elles ne peuvent pas être transmises verbalement, et leur assertion cryptographique est liée au domaine légitime d'origine. Microsoft Entra ID supporte FIDO2 nativement. Le déploiement sur les comptes à privilèges devrait être une priorité absolue pour 2026.

Les solutions comportementales UEBA et SIEM sont pertinentes mais interviennent après la compromission initiale. Leur valeur est dans la réduction du temps de détection — pas dans la prévention de l'accès initial. Dans l'attaque Abbott, trois semaines se sont écoulées entre compromission et détection. La dette d'accès — droits qui s'accumulent sans révision, prestataires dont les accès ne sont pas révoqués — multiplie les risques une fois le compte SSO compromis.

Ce qui fonctionne vraiment sur le terrain

Procédures de vérification out-of-band systématiques

Toute demande de changement d'accès, reset MFA, ou validation d'opération sensible reçue par téléphone doit être vérifiée via un second canal indépendant. Rappeler sur le numéro officiel de l'appelant — jamais le numéro fourni lors de l'appel — ou confirmer via messagerie interne sur un thread existant connu. Cette procédure simple brise le mécanisme de pression temporelle qui est le moteur du vishing. Les équipes doivent savoir qu'elles ne seront jamais critiquées pour l'avoir appliquée, même si cela ralentit une vraie urgence.

FIDO2 comme MFA résistant au phishing sur les comptes à risque

C'est la seule solution technique qui résiste intrinsèquement au vishing et au proxy MFA. Un token FIDO2 ne peut pas être transmis verbalement. Son assertion cryptographique est liée au domaine légitime d'origine — impossible à relayer sur un site de phishing. Déploiement prioritaire : administrateurs IT, équipes finance, direction, tout compte ayant accès à de la propriété intellectuelle sensible. Le coût d'une clé physique (50 à 70 euros) est négligeable comparé au coût d'un incident Abbott.

Simulations de vishing, pas seulement de phishing email

Des prestataires comme KnowBe4, Proofpoint ou des red teams spécialisées proposent des exercices d'appels frauduleux simulés. Ces exercices ont un impact mesurable sur la résistance des équipes. Ils créent une mémoire réflexe : avoir déjà failli tomber dans le piège lors d'un test change durablement le comportement face à un vrai appel. Ciblez particulièrement les équipes IT helpdesk et finance. Un programme qui simule uniquement du phishing email en 2026, c'est un programme qui laisse un angle mort béant.

Surveillance des credentials exposés en quasi-temps-réel

Des services de threat intelligence permettent de détecter l'apparition des credentials d'employés dans des bases de fuites ou sur des forums cybercriminels avant qu'ils soient exploités en vishing. Une alerte sur un credential exposé permet une réinitialisation proactive et une sensibilisation ciblée de l'employé concerné. Cette capacité interrompt la chaîne d'attaque à la phase 2, avant même que l'appel soit passé. C'est probablement la mesure préventive la plus rentable pour le ratio coût/protection dans ce contexte.

Politique de tokens SSO durcis

Durée de vie des tokens réduite pour les accès sensibles, restrictions géographiques sur les connexions depuis des pays non habituels, alertes sur les connexions depuis des emplacements jamais vus, révocation automatique des sessions sur comportement anormal. Ces politiques existent dans Entra ID Conditional Access et Okta ThreatInsight, mais restent souvent sous-utilisées. Elles ne protègent pas contre la compromission initiale mais réduisent drastiquement la fenêtre d'exploitation une fois le token volé.

Mon avis d'expert

Ce qui me frappe dans la répétition de ces attaques, ce n'est pas la sophistication technique — il n'y en a pas. C'est la persistance de l'angle mort organisationnel. Chaque grande entreprise victime de vishing avait probablement un programme de sensibilisation au phishing, des formations annuelles, et une politique MFA. Aucune ne les avait testés spécifiquement contre un appel téléphonique frauduleux avec un script IA crédible. Simuler de vrais appels vishing avec un contexte d'urgence et une voix deepfake du responsable hiérarchique, c'est inconfortable et ça génère des résistances internes. C'est exactement pour ça que ça fonctionne. Les organisations qui n'ont pas encore été victimes de vishing ne sont pas mieux protégées que celles qui l'ont été. Elles ont juste eu plus de chance — ou elles sont en train de l'être sans le savoir encore.

Conclusion : l'humain reste le périmètre le plus difficile à sécuriser

Le vishing est structurellement difficile à bloquer parce qu'il exploite des comportements humains fondamentaux : confiance dans l'autorité, réponse à la pression temporelle, désir d'être serviable. Ces comportements ont une valeur réelle dans une organisation. Les attaquants les utilisent comme levier précisément parce qu'ils sont difficiles à supprimer sans créer de dysfonctionnements.

La réponse ne peut pas être uniquement technologique. FIDO2, ZTNA, monitoring comportemental sont nécessaires mais insuffisants seuls. La défense efficace repose sur la combinaison d'une culture organisationnelle où il est normal et valorisé de vérifier une demande urgente non standard, de procédures claires connues de tous et régulièrement testées, et d'un programme de simulation qui teste la résistance réelle plutôt que la connaissance théorique des règles.

En 2026, la question n'est plus de savoir si votre organisation sera ciblée par du vishing. La vraie question est : est-ce que vos employés — en particulier ceux du helpdesk IT et de la finance — savent précisément quoi faire quand l'appel arrive ? Et est-ce que vous l'avez vraiment testé récemment, avec un script crédible et une voix convaincante ?

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique.

Prendre contact