Pour un test d'ingénierie sociale autorisé, quel prétexte est acceptable ?

L'ingénierie sociale est puissante précisément parce qu'elle manipule les personnes, ce qui en fait la discipline du pentest exigeant les garde-fous éthiques les plus stricts. Une mission signée autorise un test — elle n'autorise pas la cruauté.

Pourquoi un prétexte plausible, convenu et non nuisible est la bonne réponse

Le bon prétexte est assez réaliste pour mesurer la surface d'attaque humaine, mais inoffensif pour la personne : une réinitialisation générique de mot de passe IT, un suivi fournisseur de routine, une notification de livraison anodine — et, surtout, convenu à l'avance dans les règles d'engagement. Maintenir les prétextes dans des limites documentées signifie que le client consent aux méthodes, que les cibles ne sont pas traumatisées et que vous restez du bon côté de la loi. Le but est d'apprendre comment l'organisation réagit, pas de briser des employés individuels.

Pourquoi les autres options sont fausses

• Se faire passer pour l'enfant malade d'un employé nommé. Cela instrumentalise la famille d'une personne réelle et exploite un véritable point de pression émotionnel. Cela cause une détresse réelle et nuit à la confiance envers l'équipe de sécurité bien après la fin du test.
• Menacer la cible de licenciement. La coercition n'est pas de l'ingénierie sociale, c'est de l'intimidation. Elle nuit à l'employé, ne représente pas le levier typique d'un attaquant que l'on voudrait mesurer éthiquement, et peut créer une responsabilité RH et juridique.
• Se faire passer pour les forces de l'ordre. Usurper l'identité de la police ou de fonctionnaires est un délit grave dans de nombreuses juridictions et n'est généralement pas quelque chose qu'un client peut légalement autoriser. Cela induit aussi une peur qui franchit la ligne éthique.

Ce que sonde un recruteur

Il veut voir que vous comprenez que le consentement et la minimisation du préjudice s'appliquent aux humains dans le périmètre, pas seulement aux systèmes. Un bon candidat propose des prétextes efficaces tout en nommant les lignes rouges — pas d'autorités, pas de menaces, pas d'exploitation d'urgences médicales ou familiales — et insiste pour que ces limites figurent dans les règles d'engagement.