Mon combat de 2026 : Bots & Authentification par Ingénierie Sociale

Salut tout le monde, Pat Reeves ici, de retour sur botsec.net. Nous sommes en mars 2026, et j’ai l’impression que nous sommes dans un tir-à-la-corde constant avec des menaces alimentées par des bots. Juste au moment où vous pensez avoir maîtrisé un angle, un autre surgit. Aujourd’hui, je veux parler de quelque chose qui m’empêche de dormir la nuit : l’utilisation de plus en plus sophistiquée des bots dans l’ingénierie sociale, en particulier en ce qui concerne la violation des flux d’authentification. Nous ne parlons plus seulement de stuffing de credentials simples. Nous parlons de bots qui deviennent étrangement doués pour imiter l’interaction humaine afin de contourner le MFA. Appelons cela « Social Bot-neering. »

Au-delà de la force brute : l’essor du Social Bot-neering dans l’authentification

Pendant des années, quand nous parlions de bots attaquant l’authentification, notre esprit se dirigeait directement vers des attaques par force brute, du stuffing de credentials, ou peut-être un contournement de CAPTCHA astucieux. Ces menaces existent toujours, ne vous méprenez pas. Mais dernièrement, j’ai observé une tendance troublante qui va au-delà de ces exploits purement techniques. Nous assistons à l’évolution de bots conçus pour interagir avec les utilisateurs, ou même le personnel du support technique, de manière à les inciter à abandonner l’accès ou à contourner les mesures de sécurité.

Pensez-y. Nous avons beaucoup investi dans l’authentification multi-facteurs (MFA). Nous avons TOTP, notifications push, clés FIDO – tout ça c’est super. Mais que se passe-t-il lorsque le maillon le plus faible n’est pas la technologie, mais l’humain de l’autre côté, convaincu par un bot qu’il doit « vérifier » quelque chose, ou pire, qu’il parle à un agent de support légitime ?

Mon propre contact avec un bot intelligent

J’ai eu une expérience personnelle à ce sujet il y a quelques mois qui m’a vraiment ouvert les yeux. J’ai reçu un message texte, apparemment de ma banque. Il disait quelque chose comme : « Urgent : activité inhabituelle détectée sur votre compte. Veuillez vérifier les transactions récentes à [lien malveillant]. » Maintenant, je suis généralement assez bon pour repérer le phishing. Le lien semblait suspect, et je ne l’ai pas cliqué. Mais ensuite, environ 20 minutes plus tard, mon téléphone a sonné. Numéro inconnu. J’ai répondu, et c’était une voix IA étonnamment convaincante, calme et professionnelle, prétendant venir du département de fraude de ma banque, se référant à l’exact « activité inhabituelle » du message.

Elle m’a demandé de confirmer mon identité, non pas en donnant un mot de passe, mais en « vérifiant un code envoyé à mon téléphone. » J’ai reçu un SMS authentique de ma banque avec un code MFA légitime, comme si je me connectais. Le bot au téléphone m’a alors demandé de lire ce code. À ce moment-là, j’ai compris. Ce n’était pas juste une tentative de phishing. C’était une attaque coordonnée. Le bot avait initié une tentative de connexion sur mon compte, déclenché le MFA, et essayait maintenant de me manipuler socialement pour que je donne le code. Si j’avais lu ce code à haute voix, ils seraient entrés. C’était terriblement efficace.

Ce n’était pas le travail d’un script kiddie. C’était une opération sophistiquée, probablement pilotée par une ferme de bots, capable d’initier des tentatives de connexion, d’envoyer des SMS ciblés, puis d’exécuter un bot vocal alimenté par IA pour extraire le MFA. Cela a contourné toutes mes protections techniques parce que cela exploitait ma confiance et mon urgence.

Comment les bots sociaux contournent le MFA

Décomposons certains des vecteurs que j’observe :

1. Phishing MFA avec une touche différente

C’est ce qui m’est arrivé. Les bots initient une vraie connexion, déclenchant une demande MFA légitime (SMS, notification push, demande TOTP). Simultanément, le bot contacte l’utilisateur via un autre canal (SMS, e-mail, appel vocal) en se faisant passer pour une entité de confiance (banque, support IT, plateforme de médias sociaux). Le bot persuade ensuite l’utilisateur de fournir le code MFA, d’approuver la notification push ou même de scanner un code QR malveillant.

# Pseudo-code simplifié pour une tentative de phishing MFA pilotée par un bot
function bot_orchestrate_mfa_phishing(target_user_id, bank_url, phishing_sms_template, ai_voice_script):
 # Étape 1 : Initier une tentative de connexion sur le service légitime
 login_session = initiate_login(bank_url, target_user_id, known_password_or_stolen_credential)
 
 if login_session.requires_mfa():
 mfa_challenge_id = login_session.get_mfa_challenge_id()
 
 # Étape 2 : Envoyer un SMS de phishing ciblé
 send_sms(target_user_id.phone_number, phishing_sms_template.format(bank_name="Votre Banque"))
 
 # Étape 3 : Initier un appel vocal IA
 ai_call_session = make_ai_voice_call(target_user_id.phone_number, ai_voice_script)
 
 # Étape 4 : Pendant l'appel, si l'utilisateur fournit le code MFA
 if ai_call_session.user_provides_mfa_code():
 mfa_code = ai_call_session.get_provided_mfa_code()
 
 # Étape 5 : Compléter la connexion avec le code MFA volé
 if login_session.verify_mfa(mfa_challenge_id, mfa_code):
 log_compromise_and_access_account(login_session)
 else:
 log_failed_mfa_attempt()
 else:
 log_user_did_not_provide_mfa()
 else:
 log_no_mfa_required()

Ce n’est plus seulement question d’une page de phishing statique. C’est dynamique, interactif, et utilise la confiance existante de l’utilisateur dans ses mécanismes MFA.

2. Usurpation d’identité de support technique et ingénierie sociale

Les bots sont maintenant utilisés pour automatiser les appels ou les discussions avec les centres d’assistance. Le bot, se faisant passer pour un utilisateur légitime, peut prétendre avoir perdu son téléphone, oublié son mot de passe, ou être bloqué hors de son compte. Ils auront juste assez d’informations personnelles (souvent issues de violations de données) pour sembler crédibles. Leur objectif ? Convaincre un agent humain du support technique de réinitialiser le MFA, d’enregistrer un nouvel appareil, ou d’accorder un accès temporaire. J’ai vu des rapports de bots générant même des « histoires tristes » ou exprimant de la « frustration » pour susciter de la sympathie de la part des agents.

# Script hypothétique de bot pour l'ingénierie sociale au support technique (abrégé)
def bot_helpdesk_interaction(target_user_info):
 dialogue_flow = [
 {"bot": "Bonjour, il semble que je ne puisse pas accéder à mon compte, identifiant {user_id}. Mon téléphone est cassé, et je ne peux pas recevoir de codes MFA."},
 {"human_agent": "Je comprends. Pouvez-vous me confirmer quelques détails ?"},
 {"bot": "Bien sûr. Mon nom complet est {full_name}, et ma date de naissance est {dob}."},
 {"human_agent": "D'accord, cela correspond. Comment souhaitez-vous procéder ?"},
 {"bot": "Pourriez-vous désactiver le MFA temporairement ou envoyer un nouveau lien d'inscription à mon email de secours {backup_email} ?"},
 # ... plus de dialogues pour persuader l'agent ...
 ]
 
 for turn in dialogue_flow:
 if "bot" in turn:
 send_message_to_helpdesk(turn["bot"].format(**target_user_info))
 wait_for_response()
 elif "human_agent" in turn:
 # Cette partie impliquerait le traitement du langage naturel pour comprendre la réponse de l'agent
 # et sélectionner la prochaine réponse appropriée du bot
 pass 

C’est particulièrement dangereux car les agents de support technique sont formés pour aider les utilisateurs, et il est difficile de distinguer un humain en détresse d’un bot bien programmé, surtout lorsque le bot a une bonne histoire et des détails personnels exacts (volés).

3. Prise de contrôle de compte automatisée via des flux de « Réinitialisation de mot de passe »

Bien que ce ne soit pas strictement un contournement du MFA, cela en est souvent un précurseur. Les bots exploitent des flux de « mot de passe oublié » mal configurés. Si un système autorise trop de tentatives de réinitialisation de mot de passe, ou si les questions de sécurité sont facilement devinables (ou que les réponses se trouvent dans des violations de données), les bots peuvent automatiser ce processus. Une fois qu’ils ont réinitialisé le mot de passe, ils peuvent alors se connecter et affronter le défi MFA, moment auquel ils pourraient passer à l’une des tactiques de social bot-neering ci-dessus.

Défendre contre le Social Bot-neer

Alors, que faisons-nous ? Ce n’est pas seulement un problème technique ; c’est un problème humain, exacerbé par la technologie.

1. Éduquer, Éduquer, Éduquer (vos utilisateurs ET votre personnel)

• Pour les utilisateurs : Renforcez le mantra « ne partagez jamais votre code MFA ». Insistez sur le fait que les services légitimes ne vous demanderont *jamais* de lire un code MFA au téléphone ou de le taper dans un lien qu’ils vous ont envoyé. Les notifications push doivent toujours être vérifiées par rapport à la tentative de connexion légitime que vous avez initiée. Faites-leur clairement comprendre que s’ils n’ont pas initié une connexion, ils devraient refuser la demande.
• Pour le personnel du support technique : C’est critique. Formez-les rigoureusement sur les tactiques d’ingénierie sociale. Fournissez des protocoles clairs et non négociables pour les réinitialisations MFA ou les changements d’accès au compte. Mettez en œuvre une vérification multi-couches pour ces actions sensibles (par exemple, rappeler à un numéro enregistré, exiger une vérification en personne pour les comptes de haute valeur). Insistez sur le fait qu’un « détresse » ou une « urgence » d’un utilisateur ne doit jamais primer sur les protocoles de sécurité.

2. Mettre en œuvre une détection de bot plus forte à la périphérie et dans les flux d’authentification

• Analytique comportementale : Recherchez des modèles inhabituels. Un utilisateur initie-t-il une connexion depuis une nouvelle adresse IP, immédiatement suivi d’un appel au support demandant une réinitialisation MFA ? Y a-t-il plusieurs tentatives de connexion échouées suivies d’une réussie après une interaction « support » ?
• Limitation de débit et régulation : Cela aide encore. Limitez le nombre de tentatives de connexion, de réinitialisations de mot de passe, ou de défis MFA qui peuvent être initiés depuis une seule IP ou pour un seul utilisateur dans un délai donné.
• Empreinte de dispositif : Si une connexion est tentée depuis un dispositif non reconnu, même si le MFA est fourni, cela devrait déclencher un signal d’alerte plus important.
• Mécanismes de défi-réponse : Au-delà du CAPTCHA, envisagez des défis de bot plus sophistiqués avant même de permettre qu’une tentative de connexion soit effectuée ou qu’un défi MFA soit émis.

3. Moderniser les options MFA (et éliminer les plus faibles)

• Évoluez au-delà des SMS OTP : Les SMS sont notoirement vulnérables au changement de SIM et à l’interception. Les notifications push avec des informations contextuelles (par exemple, « Tentative de connexion depuis New York, iPhone 15 Pro ») sont meilleures, mais restent sensibles à l’ingénierie sociale.
• Clés de sécurité matérielles (FIDO2/WebAuthn) : Celles-ci sont beaucoup plus résistantes au phishing et à l’ingénierie sociale car la clé vérifie l’origine de la demande de connexion de manière cryptographique. L’utilisateur ne tape pas de code ; il confirme simplement sa présence sur le bon site. C’est mon choix personnel pour les comptes critiques.
• Biométrie : Bien que ce ne soit pas une solution miracle, combiner la biométrie avec une solide authentification des appareils ajoute une couche supplémentaire de friction pour les attaquants.

4. Politiques strictes de récupération de compte

Réévaluez vos processus de récupération de compte. Les questions de sécurité sont-elles trop faciles ? Est-il trop simple pour quelqu’un de prouver son identité par téléphone ? Mettez en œuvre une vérification en plusieurs étapes pour la récupération de compte, nécessitant potentiellement des documents, des appels vidéo ou une présence physique pour les comptes sensibles.

La route à suivre

La course aux armements entre les professionnels de la sécurité et les bots malveillants s’accélère. À mesure que nos défenses techniques s’améliorent, les attaquants déplacent simplement leur attention vers l’élément humain, utilisant des bots sophistiqués pour amplifier leurs efforts d’ingénierie sociale. Il ne suffit plus de bloquer les IP ou de détecter le remplissage de crédits. Nous devons penser comme les attaquants, comprendre leurs tactiques évolutives et construire des défenses résilientes tant aux exploits techniques qu’aux exploits sociaux.

Mon conseil ? Supposez que les bots deviennent plus intelligents. Supposez qu’ils soient capables de tenir des conversations convaincantes. Et ensuite, construisez vos défenses – tant technologiques qu’humaines – avec cette hypothèse à l’esprit. Restez vigilant, restez en sécurité !

Pat Reeves terminé.

🕒 Published: March 27, 2026