Le support reçoit un appel urgent exigeant la réinitialisation immédiate du mot de passe d'un dirigeant, sans vérification d'identité et avec beaucoup de pression temporelle. Que doit faire l'agent ?

Un appel urgent exigeant la réinitialisation immédiate du mot de passe d'un dirigeant, sans vérification et avec une forte pression temporelle, n'est pas un problème de service client — c'est une attaque d'ingénierie sociale en cours jusqu'à preuve du contraire. La bonne action est de suivre la procédure de vérification d'identité avant toute réinitialisation, et d'escalader si elle ne peut être menée à bien.

Lire les signaux d'alerte

Les attaquants conçoivent exactement ce scénario à dessein. L'appel combine plusieurs leviers classiques de pretexting :

• Autorité — invoquer un cadre dirigeant pour rendre l'agent réticent à dire non.
• Urgence / pression temporelle — « tout de suite, c'est une urgence » pour court-circuiter la réflexion prudente.
• Une cible à forte valeur — un compte de dirigeant, dont le détournement donne accès aux e-mails, aux approbations et à la confiance nécessaire pour attaquer d'autres personnes.
• Contournement de la vérification — pousser l'agent à sauter le seul contrôle qui arrête l'attaque.

Quand plusieurs de ces éléments apparaissent ensemble, le bon réflexe est plus de vigilance, pas moins.

La bonne action

Appliquez le processus de vérification d'identité de l'organisation pour une réinitialisation privilégiée — idéalement hors bande (rappeler le dirigeant sur son numéro connu, vérifier via un manager, ou utiliser un workflow de vérification/MFA). Si l'identité ne peut être confirmée, ne réinitialisez pas, et escaladez vers la sécurité, car un dirigeant légitime mais refusé peut être aidé correctement en quelques minutes, tandis qu'un attaquant qui réussit obtient les clés du royaume.

Pourquoi les autres réponses sont dangereuses

• « Le réinitialiser tout de suite pour rendre service » est exactement l'échec sur lequel mise l'attaquant — la serviabilité transformée en arme.
• « Demander la couleur préférée du dirigeant » est du théâtre : une « réponse » devinable, trouvable publiquement, ou simplement fournie par l'attaquant ne vérifie rien.
• « Réinitialiser et envoyer le nouveau mot de passe par e-mail à l'appelant » livre l'identifiant directement à l'attaquant — peut-être la pire option, puisqu'elle achève le détournement de compte.

L'examinateur vérifie qu'un analyste junior sait reconnaître une urgence fabriquée, tenir la ligne sur la vérification et escalader plutôt que de céder sous la pression.