Tout au long de cette série, nous avons mis en place des protections. Un épisode sur la messagerie. Un sur le MFA. Un sur les sauvegardes. Aujourd’hui, je veux vous parler de ce qui peut rendre tout ça insuffisant.
Pas une faille technique. Pas un logiciel mal configuré. Un collaborateur, bien intentionné, qui a cliqué sur le mauvais lien.
Ce qui se passe un mardi matin ordinaire
Imaginez la situation. Philippe est assistant de direction. Il gère les accès, les outils, les plannings. Ce mardi matin, il reçoit un email de Microsoft. Ton officiel. Logo reconnaissable. Message clair : « Votre session Microsoft 365 a expiré. Veuillez-vous reconnecter pour continuer à accéder à vos fichiers. » Il clique. Une page s’affiche, identique à celle qu’il utilise tous les jours. Il saisit son identifiant. Son mot de passe. Puis le code MFA reçu sur son téléphone. La page se recharge. Il pense à un bug et passe à autre chose. Ce qu’il ne sait pas : cette page n’était pas celle de Microsoft. C’était une copie parfaite, hébergée sur un serveur contrôlé par un attaquant. En quelques secondes, l’attaquant a récupéré ses identifiants et son code MFA. Il est maintenant dans le système. Avec ses droits. Avec ses accès.
Et le MFA n’a rien empêché.
Comment le MFA peut être contourné
Dans l’épisode 2, je vous expliquais que le MFA bloque 99 % des attaques par vol de mot de passe. C’est vrai. Mais il existe une technique qui contourne le MFA classique, et elle est de plus en plus répandue.
Elle s’appelle l’attaque par interception, ou AiTM – Adversary in the Middle. Le principe : l’attaquant crée une copie parfaite d’une page de connexion légitime Microsoft 365, votre VPN, votre outil RH, etc. Il envoie un email qui incite l’utilisateur à s’y connecter. Quand l’utilisateur saisit son mot de passe et son code MFA, ces informations sont transmises en temps réel au vrai site et l’attaquant récupère la session ouverte, pour se connecter immédiatement. Résultat : l’attaquant est connecté. Légitimement. Avec un accès valide. Selon les experts en cybersécurité, ce type d’attaque réussit dans 70 à 80 % des cas contre le MFA classique.
La technique est sophistiquée. Mais le point d’entrée, lui, reste simple. Un email. Un clic. Une page qui ressemble à la vraie.
L’humain reste le maillon central
Le phishing est le vecteur d’attaque numéro un en France. C’est le constat que l’ANSSI réitère dans chacun de ses rapports annuels. Pas parce que les entreprises ne s’équipent pas. Mais parce que les attaquants s’adaptent et continuent de cibler ce qui ne change pas : le comportement humain. Philippe n’est pas incompétent. Il n’est pas négligent. Il a agi comme nous pourrions tous le faire, en accordant sa confiance à un email qui semblait légitime. En 2026, les emails de phishing sont générés par intelligence artificielle. Ils sont rédigés sans faute. Personnalisés avec votre nom, votre entreprise, le nom de votre outil habituel. Ils imitent parfaitement les communications que vos collaborateurs reçoivent tous les jours. Aucun filtre technique ne les bloquera tous.
Ce qu’on fait vraiment quand on forme ses équipes
La réponse n’est pas de blâmer les collaborateurs. C’est de les entraîner, régulièrement, concrètement, dans des conditions réelles. Ce qu’on appelle une campagne de simulation de phishing, c’est simple : on envoie de vrais faux emails à ses collaborateurs pour voir qui clique, qui signale, qui ne réagit pas. Sans sanction. Avec un apprentissage immédiat pour ceux qui tombent dans le piège. Les résultats sont documentés : des campagnes de simulation combinées à une formation trimestrielle réduisent le taux de clics sur les liens malveillants de 75 %. Ce n’est pas une formation PowerPoint d’une heure une fois par an. C’est un entraînement continu, comme un exercice d’évacuation incendie, mais pour la cybersécurité.
Les trois mesures qui auraient tout changé
Organiser des simulations de phishing régulières
Envoyer de vrais faux emails à ses équipes pour mesurer le taux de clic réel. Identifier les profils les plus exposés. Adapter la formation en conséquence. Sans cet entraînement, on ne sait pas où se situe réellement le risque humain dans son entreprise.
Former les collaborateurs aux bons réflexes
Vérifier l’URL avant de saisir ses identifiants. Ne jamais saisir un code MFA sur une page reçue par email. Signaler immédiatement tout email suspect, même si on a déjà cliqué. Ces réflexes s’apprennent. Ils ne sont pas innés.
Passer au MFA résistant au phishing
Le MFA classique par SMS ou application est contournable. Le MFA basé sur des clés physiques ou la technologie FIDO2 ne l’est pas parce qu’il est lié au domaine du site, et non à un code que l’utilisateur saisit. C’est la prochaine étape pour les entreprises qui veulent une protection solide.
Ce que je retiens pour clore cette série
Cette série a commencé par un email frauduleux.
Elle se termine par la même chose mais vue d’un angle différent.
Pas la messagerie du dirigeant. Pas le mot de passe volé. Un collaborateur ordinaire. Un mardi matin. Un clic de trop.
C’est peut-être la leçon la plus importante des quatre épisodes.
Les outils techniques protègent. Mais ils ne remplacent pas les humains. Et former ses équipes, ce n’est pas une dépense. C’est un investissement mesurable, documenté, et souvent moins coûteux qu’on ne le croit.
La question n’est pas seulement : « Est-ce que mes outils sont à jour ? »
C’est aussi : « Est-ce que mes collaborateurs savent quoi faire quand ils reçoivent un email qui ressemble à celui de ce matin ? »
Cette série s’arrête ici… pour l’instant ! Si ces quatre épisodes vous ont amené à vous poser des questions sur votre propre situation, c’est exactement l’objectif qu’ils poursuivaient. N’hésitez pas à m’écrire directement.
Ce que nous faisons chez Koesio Managed Services
La sensibilisation humaine est souvent le dernier maillon de la cybersécurité qu’on adresse et pourtant le plus décisif.
Chez Koesio Managed Services, nous accompagnons nos clients pour mettre en place des campagnes de simulation de phishing adaptées à leur contexte, former leurs équipes aux bons réflexes, et adopter la méthode d’authentification la plus adaptée au niveau de risque et à l’usage.
Parce qu’une entreprise bien équipée techniquement, mais dont les équipes n’ont jamais été entraînées, reste exposée.
Et parce que former ses collaborateurs, c’est leur donner les moyens de devenir la meilleure ligne de défense de l’entreprise pas son point faible.
