Premier jour dans une nouvelle entreprise, badge tout neuf autour du cou : la photo pour LinkedIn part presque toute seule. On comprend l’envie, c’est un moment sympa à partager. Le problème, c’est que cette photo, et d’autres habitudes qu’on ne remarque même plus, donnent des informations utiles à quelqu’un qui voudrait s’en prendre à votre entreprise.

En brefUn badge photographié, un écran visible en arrière-plan, un post-it avec un mot de passe : chaque détail partagé sans y penser peut servir à une arnaque ciblée ou à une intrusion physique dans vos locaux. Un téléphone pro séparé du perso réduit ce qu’un piratage peut exposer, mais des alternatives plus légères existent. Ces manipulations qui jouent sur la confiance plutôt que sur la technique, le social engineering, se nourrissent de ces petits détails publics, que des professionnels sont parfois payés pour exploiter en conditions réelles.

Le badge qu’on ne devrait pas poster

Une photo de badge d’entreprise semble anodine. Elle contient pourtant votre nom complet et votre fonction, souvent le format d’adresse mail de l’entreprise déductible du nom affiché, parfois un QR code ou un numéro de badge RFID lisible si la photo est prise de près, et le design interne du badge, de quoi en fabriquer un faux crédible.

Un attaquant qui prépare une opération ne part jamais de zéro : il commence par collecter un maximum d’informations publiques, ce que les professionnels appellent la reconnaissance. Chaque photo de badge, multipliée par le nombre d’employés qui font pareil au fil des mois, finit par dessiner le portrait de l’organisation. Le réflexe reste simple : partagez votre joie de rejoindre une entreprise sans montrer le badge, ou en le floutant.

Vie pro, vie perso : quand le mélange en dit trop

Beaucoup de gens partagent sur les réseaux sociaux, LinkedIn en tête, leur vie professionnelle : nouveau poste, déplacements, conférences. Prise isolément, chaque publication semble anodine, mais recoupée avec celles d’autres employés au fil des mois, elle en dit long sur l’entreprise : qui travaille avec qui, quand certains bureaux se vident pendant un déplacement collectif. Un post «en conférence à Lyon toute la semaine» peut aussi servir de prétexte à une arnaque ciblée. Un faux mail «urgent» prétendant venir de cette personne absente gagne alors en crédibilité auprès d’un collègue resté au bureau, qui n’a aucun moyen simple de vérifier rapidement auprès de l’intéressé.

Ce qui traîne derrière vous sur une photo

Le badge n’est qu’un cas particulier d’un problème plus large : ce qui apparaît en arrière-plan d’une photo prise au bureau. Un cliché «ambiance équipe» peut révéler, sans que personne ne le fasse exprès :

  • un écran resté allumé avec un mail ouvert ;
  • un badge qui traîne à côté du clavier ;
  • un post-it avec un mot de passe collé sur l’écran ;
  • un tableau blanc affichant une feuille de route produit, en fond de visioconférence.

Ça arrive juste parce qu’on cadre un peu large. Un coup d’œil rapide à l’arrière-plan avant de publier suffit la plupart du temps ; en cas de doute, mieux vaut recadrer, flouter, ou renoncer à la publier.

Le même problème se prolonge dans les transports en commun, où l’écran laissé bien visible est le risque le plus sous-estimé : un ordinateur portable ouvert avec un document interne, parfaitement lisible par la personne assise juste à côté sans même qu’elle cherche à regarder. Un filtre de confidentialité d’écran (une fine feuille qui rend l’écran illisible dès qu’on le regarde de travers) règle ce problème pour quelques dizaines de francs.

La conversation tenue à voix haute pose un risque tout aussi concret : le grade ou l’expérience n’immunisent pas contre un moment d’inattention en public.

Cas réelEn mai 2022, un officier haut gradé de l’armée suisse a passé plusieurs appels téléphoniques dans un train bondé entre Berne et Zurich, critiquant ouvertement des responsables politiques et évoquant des sujets militaires sensibles sans remarquer qu’un journaliste assis à proximité suivait toute la conversation. L’affaire, révélée en janvier 2023 par l’Aargauer Zeitung, s’est soldée par un licenciement avec effet immédiat, présenté officiellement par l’armée comme une résiliation «d’un commun accord».

Un téléphone pro, un téléphone perso

Séparer vie professionnelle et vie personnelle sur deux téléphones distincts réduit le nombre de portes d’entrée pour un attaquant : les applications personnelles (réseaux sociaux, jeux, apps de rencontre) sont plus souvent le point de départ d’un piratage que les outils pro, mieux surveillés par l’IT, et un téléphone perso piraté ne donne pas automatiquement accès aux mails professionnels. Sur un seul appareil, le risque le plus concret reste une session personnelle restée connectée à côté de la messagerie pro, ou une sauvegarde cloud personnelle qui embarque sans le vouloir des documents de travail.

Un deuxième téléphone n’est pas accessible à tout le monde, entre le coût et la contrainte de charger un objet de plus. Si un seul appareil est possible, des alternatives moins lourdes existent : un profil professionnel séparé sur Android (Android Work Profile), qui cloisonne les données pro dans un espace chiffré distinct, des comptes et mots de passe strictement séparés entre pro et perso gardés dans des coffres distincts d’un gestionnaire de mots de passe, ou simplement l’évitement des applications personnelles à risque sur l’appareil qui contient aussi la messagerie de l’entreprise.

Le social engineering, concrètement

L’ingénierie sociale, c’est l’art de manipuler une personne pour qu’elle donne accès à quelque chose sans s’en rendre compte : un mot de passe, une porte, une information. Contrairement à ce qu’on imagine, ça ne ressemble presque jamais à un film de hackers.

Le faux livreur ou le faux technicien se présente à l’accueil, carton sous le bras ou caisse à outils à la main, en expliquant qu’il vient livrer un colis pour les RH ou dépanner l’imprimante du 3ème étage. Personne ne veut bloquer un livreur pressé, et la porte s’ouvre souvent sans vérification.

Un appel qui se fait passer pour l’IT, ton pressé et professionnel au bout du fil : «on a détecté une activité suspecte sur votre compte, j’ai besoin de vérifier votre mot de passe.» Un service IT légitime ne demande jamais un mot de passe au téléphone, mais avec le bon ton, la demande semble normale sur le moment. C’est la version téléphonique du phishing, le vishing : le réflexe est le même, ne jamais vérifier une identité via les coordonnées fournies par l’interlocuteur, mais via un canal de confiance déjà connu, comme le numéro interne officiel du support.

Le petit nouveau qui n’a pas encore son badge fonctionne aussi étonnamment bien : «je viens de commencer, tu peux m’ouvrir la porte ?» C’est redoutablement efficace, parce que ça joue sur l’envie d’être serviable et que dans une grande entreprise, personne ne connaît tout le monde. Un attaquant qui connaît quelques noms de collègues, l’apparence exacte d’un badge ou le jargon interne rend ces scénarios d’autant plus crédibles.

Le pentest physique, ou tester les humains

Un test d’intrusion informatique classique, c’est simple dans le principe : des professionnels autorisés sont payés pour essayer de s’introduire dans les systèmes d’une entreprise, afin d’en trouver les failles avant qu’un vrai attaquant ne le fasse. Le test d’intrusion physique en est le pendant, centré sur les locaux et les personnes : des professionnels essaient concrètement de rentrer dans les bureaux ou de récupérer une information sensible, exactement comme dans les scénarios ci-dessus. L’intérêt, c’est de compléter les tests purement techniques : un audit de serveurs ne révèle jamais ce qui se passe quand quelqu’un portant un carton se présente simplement à l’accueil.

Ce que l’entreprise peut faire de son côté

Le pentest physique est un bon point de départ : c’est déjà une action pilotée par l’entreprise, pas un simple réflexe individuel. Une politique claire sur ce qui se poste ou non sur les réseaux sociaux aide déjà beaucoup, avec une consigne simple («pas de badge visible, pas d’écran en arrière-plan») communiquée dès l’intégration, plutôt qu’une règle tacite que personne ne connaît vraiment.

La sensibilisation fonctionne mieux répétée que ponctuelle : un rappel unique lors de l’arrivée se dilue vite. Une campagne de phishing simulée de temps en temps, sans conséquence pour ceux qui se font avoir, ancre le réflexe bien plus durablement qu’une slide vue une seule fois en formation. C’est aussi par là que passe un réflexe simple à rappeler : ne pas tenir la porte par politesse à quelqu’un qui n’a pas badgé lui-même, ce qu’on appelle le tailgating : se glisser dans les locaux juste derrière une personne autorisée, sans jamais présenter son propre badge.

Enfin, les processus de vérification aux points d’accès comptent autant que la vigilance individuelle : badge avec photo contrôlée à l’accueil, visiteurs accompagnés, et procédure claire pour un livreur ou un technicien externe, en appelant le service concerné pour confirmer sa venue.

Si le mal est fait

La façon de réagir dépend de ce qui s’est passé. Pour une photo compromettante qui traîne déjà en ligne (un badge posté l’an dernier, un post-it lisible en zoomant), le réflexe n’est pas de culpabiliser mais d’agir : supprimez-la ou floutez-la, et si un badge RFID ou une information sensible y était clairement lisible, prévenez votre équipe sécurité sans attendre. Eux seuls peuvent juger s’il faut désactiver l’accès, et plus l’alerte arrive tôt, plus vite se referme la fenêtre d’exploitation.

Si vous soupçonnez d’avoir été la cible d’une tentative d’ingénierie sociale, un appel bizarre de «l’IT» qui raccroche sec dès que vous posez une question, un «nouveau collègue» qui insiste trop pour ouvrir une porte, ça vaut la peine d’être signalé même sans certitude. La honte de s’être presque fait avoir, ou la peur de déclencher une fausse alerte pour rien, retient pourtant beaucoup de monde. L’équipe préfère largement vérifier une fausse piste en cinq minutes plutôt que découvrir l’incident des mois plus tard ; la marche à suivre est la même que pour signaler un cyberincident en général.

Les réflexes à retenir

Pas besoin de devenir paranoïaque pour se protéger. Quelques habitudes suffisent :

  • Le badge ne se poste pas, quitte à le flouter si la photo doit vraiment le montrer, et un rapide coup d’œil à l’arrière-plan avant de publier suffit à repérer écran, post-it ou tableau blanc.
  • Un filtre de confidentialité sur l’écran protège ce qui s’affiche dans les transports en commun et les lieux publics.
  • Vérifiez l’identité de quelqu’un avant d’ouvrir une porte ou de donner une information, même face à un prétexte sympathique ou pressant : par téléphone ou par mail, un service IT légitime ne demande jamais un mot de passe.
  • Une tentative suspecte, ou une photo compromettante déjà publiée, mérite d’être signalée à votre équipe sécurité, même sans certitude à 100%.
  • Côté entreprise, une politique claire et une sensibilisation régulière ancrent ces réflexes bien mieux qu’une règle tacite.

Ce sont ces gestes ordinaires, individuels autant qu’organisationnels, qui finissent par rendre une entreprise difficile à cibler.