Comprendre comment on nous manipule

Capsules

1. 1

   Tromper la personne, pas la machine

   2 min
   Capsule vidéo en tournage

   Tromper la personne, pas la machine

   L’ingénierie sociale consiste à obtenir d’une personne ce qu’on ne peut pas prendre à un système. Elle fonctionne sur des gens compétents, parce qu’elle joue sur la pression et la confiance.

   Lire la capsule (transcription)

   Lucie est réceptionniste dans un centre de services de Longueuil. Un matin, le téléphone sonne. Une voix aimable : « Bonjour, c’est Vincent, des TI. On a détecté un problème sur votre poste. J’ai besoin de votre mot de passe tout de suite, sinon on doit le bloquer. » Lucie hésite une seconde. Puis elle le donne. Elle est pourtant l’une des personnes les plus consciencieuses de l’équipe.

   Voici l’idée centrale. L’ingénierie sociale, c’est tromper une personne plutôt que de forcer une machine. Au lieu de casser un système, on demande la clé à quelqu’un, avec un bon prétexte. Le rapport 2025 de Verizon sur les violations de données place les identifiants volés au premier rang des moyens d’entrée, à 22 % des violations. Un mot de passe, on peut le voler. On peut aussi simplement le demander.

   Pourquoi cela marche-t-il sur des gens compétents ? D’abord, la pression. Quand on a deux minutes et une file de visiteurs devant soi, le cerveau prend le raccourci. Lucie n’était pas distraite, elle était occupée. Ensuite, le désir d’aider. On n’aime pas refuser à quelqu’un qui semble avoir le droit de demander.

   Enfin, la routine. Presque tout ce qu’on reçoit est légitime, alors on baisse la garde. Et le manipulateur se prépare. Il connaît votre nom, votre poste, parfois le prénom d’un collègue, trouvés sur le site de l’entreprise ou sur un réseau social. Ces détails rendent l’appel crédible. Ils ne le rendent pas vrai.

   Le plus coûteux vient après. Lucie n’a rien dit pendant deux jours, par honte. Ce silence a laissé le temps à la personne qui avait son mot de passe de s’en servir. Ce n’est pas une question d’intelligence : c’est une question de réflexe. Et signaler vite vaut mieux que se taire.

   À retenir : on peut tromper n’importe qui. Ce qui protège, c’est un réflexe, pas l’intelligence.

   • L’ingénierie sociale trompe une personne pour obtenir un accès, un mot de passe ou un paiement.
   • Elle réussit sur des gens compétents, par la pression, la politesse et la routine.
   • Le manipulateur se prépare : il connaît votre nom, votre poste, parfois vos collègues.
   • La honte retarde le signalement, et c’est ce retard qui coûte le plus cher.
2. 2

   Six leviers qui font agir sans réfléchir

   2 min
   Capsule vidéo en tournage

   Six leviers qui font agir sans réfléchir

   Les manipulateurs n’utilisent pas des astuces techniques, mais des émotions : urgence, autorité, curiosité, peur, flatterie, réciprocité. Les reconnaître, c’est déjà s’en protéger.

   Lire la capsule (transcription)

   Sylvain travaille dans une entreprise de construction de Saint-Jérôme. Il reçoit un courriel signé du président : « J’ai besoin que vous achetiez des cartes-cadeaux pour un client. C’est urgent et confidentiel. Je suis en réunion, ne m’appelez pas. » Trois leviers en quatre lignes.

   L’idée centrale : les manipulateurs jouent sur les émotions, pas sur la technique. Six leviers reviennent presque toujours : urgence, autorité, curiosité, peur, flatterie et réciprocité. Les reconnaître, c’est déjà s’en protéger. Ce n’est pas un jeu de devinettes : on cherche simplement l’émotion que le message essaie de provoquer.

   L’urgence et la peur vont ensemble. « Dans l’heure. » « Votre compte sera bloqué. » « Vous serez tenu responsable. » Le but est de vous empêcher de réfléchir. Quand un message vous presse, c’est le signal de ralentir. L’autorité, ensuite : le patron, les TI, la banque, la police. On obéit sans vérifier à celui qui semble avoir le droit de demander.

   La curiosité attire. Une clé USB étiquetée « Salaires 2026 », une pièce jointe « Photos de la fête », un message qui commence par « Vous devez voir ça ». La flatterie, elle, désarme : « Vous êtes la seule personne assez compétente pour m’aider. » Quand un compliment précède une demande, méfiez-vous un peu.

   Reste la réciprocité. Un inconnu vous aide à transporter des boîtes, puis demande de brancher sa clé « juste pour imprimer ». Vous vous sentez en dette, et refuser vous semble impoli. C’est précisément le but. Ces leviers se combinent rarement seuls : le courriel de Sylvain en avait trois à la fois, et c’est ce qui le rendait si efficace. Sylvain, lui, a ralenti. Il a appelé le président sur son cellulaire, malgré le « ne m’appelez pas ». Le président n’avait rien envoyé. Sylvain a signalé le courriel à l’équipe, qui a prévenu les autres employés avant l’heure du dîner.

   À retenir : quand un message me presse, m’impressionne, me flatte ou me fait peur, je ralentis.

   • Urgence et peur : un délai serré et une menace pour vous empêcher de réfléchir.
   • Autorité : le patron, les TI, la banque, la police.
   • Curiosité et flatterie : « vous devez voir ça », « vous seule pouvez m’aider ».
   • Réciprocité : un petit service rendu, puis une faveur demandée.
3. 3

   Cinq portes d’entrée et trois gestes de base

   2 min
   Capsule vidéo en tournage

   Cinq portes d’entrée et trois gestes de base

   L’ingénierie sociale passe par le courriel, le texto, l’appel, le visiteur et la clé USB. Trois gestes d’hygiène de base coupent plusieurs de ces portes.

   Lire la capsule (transcription)

   Dans une résidence pour aînés de Sherbrooke, un homme en veste fluorescente, tablette à la main, dit à une préposée : « Je viens vérifier le réseau, c’est pour la direction. » Elle lui tient la porte. Personne ne l’a invité.

   L’idée centrale : le piège ne passe pas que par le courriel. Il y a cinq portes d’entrée : le courriel, le texto, l’appel, le visiteur et la clé USB. Dans chacune, la même scène : quelqu’un demande quelque chose avec un bon prétexte.

   Au téléphone, le numéro affiché ne prouve rien, et un faux technicien peut connaître votre nom. Par texto, les numéros peuvent être usurpés. Au bureau, le faux visiteur suit quelqu’un qui ouvre la porte, ou se présente comme réparateur. Face à lui, la bonne réponse est polie : « Passons par l’accueil. » Quant à la clé USB trouvée, on ne la branche pas.

   Trois gestes d’hygiène coupent plusieurs portes à la fois. Premier geste : verrouiller son écran dès qu’on s’éloigne, même deux minutes. Un poste ouvert est une invitation : en quelques secondes, quelqu’un peut lire un dossier ou envoyer un courriel en votre nom. Deuxième geste : ne jamais partager son mot de passe, même avec un collègue de confiance. En principe, les TI n’en ont pas besoin. Troisième geste : parler des dossiers à l’abri des oreilles, pas dans l’ascenseur ni au téléphone dans le train.

   Le piège émotionnel, ici, c’est la politesse. Tenir la porte, rendre service, répondre à tout le monde : ce sont de bonnes qualités. Le manipulateur compte dessus. On peut refuser avec chaleur : « Je comprends, passons par l’accueil. » Une personne honnête comprendra. Et si elle insiste, c’est une raison de plus de signaler.

   À retenir : cinq portes, trois gestes. L’écran verrouillé, les identifiants gardés pour soi, les dossiers à l’abri.

   • Cinq portes : courriel, texto, appel, visiteur, clé USB.
   • Verrouiller son écran dès qu’on s’éloigne, même deux minutes.
   • Ne jamais partager ses identifiants, même avec un collègue de confiance.
   • Discuter des dossiers à l’abri des oreilles, pas dans l’ascenseur ni au café.
4. 4

   Arrêter, Vérifier, Signaler

   2 min
   Capsule vidéo en tournage

   Arrêter, Vérifier, Signaler

   Trois temps valent mieux que mille règles : arrêter avant d’agir, vérifier par un autre moyen, signaler sans honte, même après une erreur.

   Lire la capsule (transcription)

   Caroline travaille dans un cabinet d’avocats. Elle reçoit un courriel d’un associé : « Peux-tu régler cette facture aujourd’hui ? Je te raconterai plus tard. » Quelque chose sonne faux, le ton peut-être. Elle appelle l’associé sur son cellulaire. Il n’a rien envoyé. Elle a failli ne pas téléphoner, de peur de le déranger. Voici l’idée centrale : un réflexe en trois temps vaut mieux que mille règles. Arrêter, Vérifier, Signaler. Caroline les a faits sans le savoir, et sans se sentir ridicule.

   Arrêter, d’abord. Ne cliquez pas, ne répondez pas, ne donnez rien avant d’avoir réfléchi. Un message urgent peut attendre cinq minutes. Une vraie urgence a d’autres moyens de vous joindre, et personne de sensé ne vous reprochera d’avoir pris le temps de réfléchir.

   Vérifier, ensuite, par un autre moyen que celui du message. Téléphonez à la personne au numéro que vous connaissez. Passez à son bureau. Le Centre canadien pour la cybersécurité le conseille : joindre l’expéditeur autrement, et saisir soi-même l’adresse d’un site plutôt que de cliquer sur le lien. Surtout, n’utilisez pas le numéro écrit dans le message : il mène peut-être à la personne qui vous écrit.

   Signaler, enfin. Avisez l’équipe de sécurité ou la personne désignée, même si vous avez refusé, même si vous avez cliqué. Ne transférez pas le message à vos collègues : l’équipe s’en occupe. Votre signalement peut protéger les autres, parce que le même message est peut-être arrivé chez tout le monde.

   Trois émotions peuvent vous retenir : la honte d’avoir été pris, la peur de déranger et l’excès de confiance. Une organisation qui blâme celui qui signale n’entend plus rien. Dans une culture sans blâme, on remercie. Caroline a reçu des remerciements, et l’associé a averti toute l’équipe dans l’heure.

   À retenir : j’arrête, je vérifie par un autre moyen, je signale. Je n’ai jamais à m’excuser d’avoir signalé.

   • Arrêter : ne pas cliquer, répondre ni donner avant d’avoir réfléchi.
   • Vérifier par un autre moyen que celui du message.
   • Signaler à l’équipe de sécurité, sans transférer le message aux collègues.
   • Signaler vite vaut mieux que se taire, même après avoir cliqué.

Le faux technicien au téléphone

Comprendre la manipulation : l’essentiel

Quand un message me presse, me flatte ou me fait peur, j’arrête, je vérifie par un autre moyen, je signale.

En cas de doute : Contactez votre équipe de sécurité ou la personne désignée, au numéro que vous connaissez. Signaler un doute ne coûte jamais rien et personne ne vous le reprochera.

Astuces de terrain

Ressources

• Centre canadien pour la cybersécurité : reconnaître les courriels malveillants (ITSAP.00.100)
• Centre canadien pour la cybersécurité : cybersécurité des petites entreprises (13 pratiques)
• Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations
• Centre antifraude du Canada : signaler une fraude (1 888 495-8501)

Quiz