Comment proteger votre entreprise contre le vishing en 8 etapes — guide pratique 2026

Le vishing — contraction de « voice phishing » — est devenu en 2026 le vecteur d’attaque le plus redoute des RSSI. La raison est simple : il contourne simultanement les filtres anti-spam, les solutions de securite email et le MFA classique. Un appel telephonique bien prepare suffit pour compromettre un compte a privileges et ouvrir les portes de votre systeme d’information.

Les affaires recentes le confirment. Abbott Laboratories compromis par ShinyHunters via vishing en juillet 2026. MGM Resorts (100 millions de dollars de pertes). Caesars Entertainment (15 millions de rancon payee). Retool (comptes crypto vides). Dans chaque cas, un appel telephonique a ete le point de depart de la catastrophe.

Ce guide vous donne 8 etapes concretes et actionnables pour proteger votre entreprise. Pas de theorie abstraite : chaque etape est accompagnee d’un calendrier de mise en oeuvre, d’un cout estimatif et d’indicateurs de succes mesurables.

— Etape 1 : Instaurer un protocole de callback verification

Cout : 0 € · Deploiement : 24 heures · Efficacite : bloque 90 % des attaques de vishing

C’est la mesure la plus simple, la plus rapide et la plus efficace de cette liste. Le protocole de callback verification repose sur une regle unique : jamais aucune information sensible ne doit etre communiquee suite a un appel entrant. Si un interlocuteur pretendant etre du support IT, de la banque ou d’un fournisseur demande des identifiants, un code MFA ou une action sur un systeme, l’employe doit raccrocher et rappeler le numero officiel de l’entite en question.

En pratique, envoyez un email a toute l’entreprise avec cette formulation : « Le service informatique ne vous demandera jamais vos identifiants par telephone. Si quelqu’un le fait, raccrochez immediatement et signalez l’incident au [numero du helpdesk]. » Affichez cette regle dans les espaces communs, integrez-la dans le livret d’accueil des nouveaux collaborateurs et rappelez-la lors de chaque session de sensibilisation.

Ce protocole aurait suffi a empecher la breach Abbott Laboratories de juillet 2026. L’employe contacte par ShinyHunters aurait raccroche et appele le vrai helpdesk, qui aurait immediatement identifie la tentative d’attaque. Pas de credentials voles, pas de compromission SSO, pas d’exfiltration. La totalite de la chaine d’attaque brisee par un reflexe de 10 secondes.

— Etape 2 : Deployer le MFA phishing-resistant

Cout : 25-70 € / employe · Deploiement : 2-6 semaines · Efficacite : elimine le contournement MFA par vishing

Le MFA par push notification ou SMS est operationnellement mort face au vishing. Quand un attaquant appelle un employe et lui demande de « valider la notification de securite », la victime le fait sans hesiter — elle pense parler au support IT. Le second facteur, cense proteger le compte, est neutralise en temps reel par la manipulation humaine.

La solution est le MFA phishing-resistant : cles de securite FIDO2 (YubiKey, Titan Security Key), passkeys ou certificats hardware. Ces methodes sont cryptographiquement liees au domaine du site web legitime. Meme si un employe communique son mot de passe par telephone, l’attaquant ne peut pas utiliser le second facteur car la cle physique ou la passkey refuse de s’authentifier sur un domaine different.

Commencez par les comptes les plus critiques : administrateurs systeme, direction generale, equipes finance et RH. Puis etendez progressivement a l’ensemble de l’organisation. Microsoft Entra, Google Workspace et Okta supportent tous le FIDO2 nativement. Le deploiement est transparent pour les utilisateurs — ils branchent la cle USB ou utilisent le lecteur biometrique de leur poste.

— Etape 3 : Former vos employes specifiquement contre le vishing

Cout : 1 000-5 000 € / session · Deploiement : 1-2 semaines · Frequence : trimestrielle minimum

La plupart des programmes de sensibilisation cybersecurite se concentrent sur le phishing email. C’est necessaire mais insuffisant. Le vishing exploite des mecanismes psychologiques differents : l’urgence vocale, la pression sociale de l’interlocuteur en temps reel, l’autorite percue de la voix humaine. Un employe entraine a reperer un email suspect peut parfaitement tomber dans un piege telephonique.

Votre programme de formation anti-vishing doit couvrir les elements suivants : reconnaitre les signaux d’alerte (urgence artificielle, demande d’identifiants, pression emotionnelle), appliquer le protocole de callback (raccrocher et rappeler), signaler immediatement (meme en cas de doute, meme si c’etait un vrai appel du support). Integrez des exemples reels : jouez l’enregistrement d’un appel de vishing (anonymise), montrez comment l’attaquant manipule progressivement la conversation.

Adaptez la formation aux profils a risque. Les assistants de direction, les equipes finance, le support client et les equipes IT sont les cibles principales des attaquants. Ces profils meritent des sessions de formation dediees, plus approfondies, avec des mises en situation reelles.

— Etape 4 : Reduire votre surface d’exposition OSINT

Cout : 0-2 000 € · Deploiement : 1-4 semaines · Efficacite : complique la phase de reconnaissance

Toute attaque de vishing commence par une phase de reconnaissance. L’attaquant doit connaitre l’organigramme, le jargon interne, les noms des managers et les technologies utilisees pour construire un pretexte credible. La majorite de ces informations est librement disponible sur LinkedIn, les offres d’emploi et les sites web d’entreprise.

Actions concretes : auditez vos offres d’emploi — ne mentionnez pas les technologies internes (Microsoft Entra, Okta, CrowdStrike) dans les annonces publiques. Limitez les informations sur LinkedIn — encouragez vos employes a ne pas mentionner les outils internes dans leurs profils. Verifiez votre site web — supprimez les pages « notre equipe » qui listent les organigrammes complets avec fonctions detaillees.

Cette mesure ne bloquera pas un attaquant determine, mais elle augmente significativement le cout de la reconnaissance et peut le pousser vers une cible plus facile. En cybersecurite, il ne s’agit pas d’etre inattaquable mais d’etre suffisamment cher a attaquer pour ne plus etre la cible la plus rentable.

— Etape 5 : Implementer la verification Caller ID et le filtrage telephonique

Cout : 2 000-10 000 € / an · Deploiement : 2-4 semaines · Efficacite : bloque le spoofing de numero

Les attaquants de vishing utilisent systematiquement le spoofing de caller ID pour afficher le numero de telephone interne de l’entreprise ou celui d’un partenaire connu. L’employe voit un numero familier s’afficher et baisse sa garde. La technologie STIR/SHAKEN, deployee chez la plupart des operateurs telecoms, permet de verifier l’authenticite de l’appelant, mais elle n’est pas encore universelle.

Contactez votre operateur telecom pour activer le filtrage STIR/SHAKEN sur vos lignes professionnelles. Deployez une solution de filtrage d’appels sur vos systemes de telephonie IP (Cisco, Teams, Zoom Phone) capable de detecter et bloquer les appels avec un caller ID usurpe. Pour les entreprises utilisant Microsoft Teams, les policies de securite permettent de restreindre les appels entrants d’origines non verifiees.

Attention : le filtrage telephonique est une couche de defense supplementaire, pas un remplacement du protocole de callback. Un attaquant sophistique peut utiliser un numero legitime compromise (via SIM swap ou compromission VoIP) qui passera le filtrage. Le reflexe humain — raccrocher et rappeler — reste la ligne de defense ultime.

— Etape 6 : Segmenter les acces et appliquer le principe du moindre privilege

Cout : variable · Deploiement : 4-12 semaines · Efficacite : limite la blast radius en cas de compromission

Meme si un attaquant reussit son vishing et obtient un acces initial, la segmentation des acces limite les degats. Dans le cas Abbott, le compte compromis donnait acces via SSO a l’ensemble des systemes legacy Exact Sciences. Si le principe zero trust avait ete applique — acces granulaire, verification continue, moindre privilege — l’attaquant aurait ete confine a un perimetre reduit.

Actions concretes : auditez vos politiques SSO — un seul compte ne devrait jamais donner acces a l’ensemble du systeme d’information. Implementez le JIT access (Just-In-Time) : les privileges eleves ne sont accordes que temporairement, sur demande validee, et expirent automatiquement. Segmentez les systemes legacy : si votre entreprise a realise des acquisitions, isolez les systemes herites dans des segments reseau separes avec des controles d’acces stricts.

Le principe directeur est simple : meme en cas de compromission d’un compte, l’attaquant ne devrait acceder qu’a un sous-ensemble minimal de ressources. La blast radius doit etre contenue par la conception meme de votre architecture d’acces. Notre page solutions detaille les architectures zero trust que nous deployons.

— Etape 7 : Mettre en place la detection d’anomalies et la reponse aux incidents

Cout : 5 000-50 000 € / an · Deploiement : 4-8 semaines · Efficacite : detecte les compromissions en heures au lieu de semaines

Si les 6 premieres etapes echouent et qu’un attaquant obtient un acces initial, la detection d’anomalies est votre derniere ligne de defense avant l’exfiltration. Deployez un monitoring capable de detecter les comportements anormaux : connexion depuis une geolocalisation inhabituelle, volume d’acces API anormal, tentative d’escalade de privileges, acces a des ressources jamais consultees par ce compte.

Microsoft Entra ID Protection (inclus dans Entra P2) detecte les connexions risquees et peut bloquer automatiquement un acces suspect. CrowdStrike Falcon Identity Threat Detection surveille les mouvements lateraux dans Active Directory. Pour les APIs, des solutions comme Salt Security ou Traceable detectent les patterns d’exfiltration en temps reel.

Creez un playbook de reponse specifique au vishing : si une tentative de vishing est rapportee, quelles actions automatiques declencher ? Reset de mot de passe du compte cible, revocation de toutes les sessions actives, analyse des logs d’acces des 48 dernieres heures, notification au SOC et a la direction. Ce playbook doit etre teste trimestriellement par un exercice de simulation.

— Etape 8 : Lancer un programme de simulations de vishing regulieres

Cout : 2 000-8 000 € / campagne · Frequence : trimestrielle · Efficacite : mesure votre vulnerabilite reelle

Vous ne pouvez pas ameliorer ce que vous ne mesurez pas. Les simulations de vishing sont l’equivalent des tests de phishing email que la plupart des entreprises pratiquent deja, mais adaptees au canal telephonique. Un prestataire specialise appelle vos employes avec des scenarios realistes et mesure le taux de reussite : combien d’employes communiquent des informations sensibles, combien appliquent le protocole de callback, combien signalent la tentative.

Les scenarios doivent etre renouveles a chaque campagne et integrer les techniques les plus recentes : deepfakes vocaux (imitation de la voix du manager par IA), pretextes contextualises (reference a un vrai projet interne, un vrai ticket IT), urgence calibree (pression progressive, pas intimidation brute). Les meilleurs prestataires adaptent le niveau de sophistication au secteur et a la taille de l’entreprise.

Mesurez trois indicateurs cles : le taux de compromission (pourcentage d’employes qui communiquent des informations), le taux de signalement (pourcentage qui rapportent la tentative au SOC ou au helpdesk) et le temps de signalement (delai entre l’appel et le signalement). L’objectif sur 12 mois est de passer sous 5 % de taux de compromission et au-dessus de 80 % de taux de signalement.

Les entreprises des secteurs sante et finance doivent tester mensuellement. La directive NIS2 et le reglement DORA rendent ces tests de resilience quasi-obligatoires pour les entites essentielles et les institutions financieres. Ne les considerez pas comme une depense : c’est un investissement dans la mesure objective de votre posture de securite face au vecteur d’attaque le plus efficace de 2026.

— Recapitulatif : les 8 etapes par priorite et cout

Les etapes 1 et 2 sont les plus critiques et doivent etre deployees en priorite. Le callback verification est gratuit et deployable en 24 heures — il n’y a aucune raison de ne pas le faire aujourd’hui. Le MFA FIDO2 necessite un investissement modeste mais elimine le risque de contournement MFA par vishing. Les etapes 3 a 8 construisent une defense en profondeur qui rend l’attaque economiquement non viable pour l’attaquant.

— FAQ