L’ingénierie sociale exploite la psychologie humaine pour contourner les défenses techniques et accéder à des données personnelles. Selon le Verizon Data Breach Investigations Report 2026, la dimension humaine (erreur, manipulation ou mauvaise utilisation) est présente dans 62 % des brèches confirmées. Ce chiffre place la manipulation des individus loin devant les failles logicielles comme vecteur d’attaque. Mesurer l’ampleur du phénomène et comprendre ses mécanismes récents permet d’identifier les points de vulnérabilité réels.
Brèches de données et ingénierie sociale : les chiffres qui comptent
Les rapports récents permettent de distinguer le poids relatif de l’ingénierie sociale parmi les autres vecteurs de compromission. Le tableau ci-dessous synthétise les données disponibles.
| Indicateur | Valeur (DBIR 2026) |
|---|---|
| Brèches impliquant la dimension humaine | 62 % |
| Brèches directement liées à l’ingénierie sociale | 17 % |
| Progression du pretexting (usurpation d’identité contextuelle) | En hausse, dépasse le phishing classique dans certains secteurs |
Le pretexting a gagné du terrain face au phishing par e-mail. Cette technique repose sur un scénario crédible construit à partir d’informations réelles sur la cible : poste occupé, nom du supérieur, projet en cours. Les attaquants ne se contentent plus d’un e-mail générique imitant une banque.
17 % des brèches attribuées à l’ingénierie sociale peuvent sembler modestes comparés aux 62 % de la dimension humaine globale. L’écart s’explique par la catégorie « erreur humaine » (mauvaise configuration, envoi de fichiers au mauvais destinataire), qui n’implique pas de manipulation externe mais relève du même facteur : le comportement des individus.
Données de fuite et phishing personnalisé par intelligence artificielle
L’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens) a documenté dans son rapport 2025 un phénomène en expansion. Les données personnelles issues de violations précédentes servent à alimenter des campagnes de phishing et d’ingénierie sociale qualifiées de « hautement personnalisées ».
Le mécanisme est direct. Une fuite expose des noms, adresses e-mail, numéros de téléphone, parfois des identifiants internes. Ces données sont ensuite croisées avec des informations publiques (profils sur les réseaux sociaux, organigrammes d’entreprise). Le résultat : un message qui mentionne le bon interlocuteur, le bon contexte, la bonne référence de dossier.
L’intelligence artificielle accélère cette chaîne. Des outils génératifs permettent de rédiger des messages dans la langue et le registre de la cible, sans les fautes d’orthographe qui servaient autrefois de signal d’alerte. Les données de fuites antérieures alimentent directement les attaques suivantes, créant un cycle où chaque brèche renforce l’efficacité des campagnes futures.
Deepfakes vocaux et vidéo dans les attaques ciblées
L’ingénierie sociale ne se limite plus aux e-mails. En 2024, le cabinet d’ingénierie Arup a subi une fraude de 200 millions de dollars hongkongais après qu’un employé a participé à un appel vidéo où ses interlocuteurs étaient des deepfakes générés par IA. LastPass a également signalé une tentative d’attaque utilisant un deepfake vocal imitant la voix de son PDG.
Ces cas illustrent un déplacement du vecteur d’attaque. Le phishing textuel reste dominant en volume, mais les deepfakes vocaux et vidéo ciblent des transactions à forte valeur. La confiance accordée à un appel vidéo ou téléphonique dépasse celle d’un simple e-mail, ce qui rend la détection plus difficile pour la victime.
Signaux d’ingénierie sociale et limites de la détection technique
Les solutions logicielles de cybersécurité filtrent une partie des tentatives de phishing en analysant les en-têtes d’e-mails, les URL suspectes et les pièces jointes. En revanche, elles sont largement inefficaces contre les attaques qui passent par un canal vocal, une visioconférence ou un message sur les réseaux sociaux.
Les signaux à surveiller pour identifier une tentative d’ingénierie sociale diffèrent selon le canal utilisé :
- Par e-mail : demande urgente de virement ou de transmission de credentials, adresse d’expéditeur légèrement modifiée (une lettre, un domaine voisin), lien pointant vers un domaine récemment enregistré
- Par téléphone ou vidéo : interlocuteur qui insiste sur la confidentialité de la demande, refuse de passer par les canaux habituels de validation, ou invoque l’autorité d’un dirigeant absent
- Sur les réseaux sociaux : prise de contact progressive avec un profil professionnel, demande d’informations sur l’organisation interne ou les outils utilisés, avant toute tentative d’exploitation
La détection repose davantage sur les réflexes des personnes ciblées que sur les logiciels. Un filtre anti-phishing ne bloque pas un appel téléphonique convaincant. Cette réalité explique pourquoi les programmes de sensibilisation des employés sont devenus un poste budgétaire récurrent en cybersécurité, en particulier dans les entreprises exposées à des flux financiers.
Réglementation et pression sur la protection des données personnelles
Le cadre réglementaire européen renforce les obligations de notification et de prévention. Le RGPD impose de signaler une violation de données à l’autorité compétente dans un délai de 72 heures. Les amendes prononcées en 2025 et 2026 pour manquement à la sécurité des données personnelles montrent que les régulateurs tiennent compte du facteur humain dans l’évaluation des manquements.
Une entreprise qui n’a pas formé ses équipes à reconnaître une attaque d’ingénierie sociale s’expose à une appréciation plus sévère en cas de brèche. L’absence de sensibilisation est considérée comme un défaut de mesure organisationnelle au sens du RGPD.
Le règlement européen sur l’intelligence artificielle (AI Act) ajoute une couche supplémentaire. Les systèmes de génération de contenu synthétique (deepfakes) devront à terme respecter des obligations de transparence, mais leur usage malveillant par des acteurs hors juridiction européenne limite la portée de ces règles pour la prévention des attaques.
Le cycle est désormais documenté : les fuites de données nourrissent des campagnes d’ingénierie sociale plus crédibles, qui provoquent de nouvelles fuites. Briser cette boucle passe par la réduction de la surface d’exposition des données personnelles et par la capacité des personnes ciblées à identifier les tentatives de manipulation, quel que soit le canal utilisé.
