Faux support informatique : le piège qui contourne la double authentification

Le 28 octobre 2026, le Centre canadien pour la cybersécurité a publié l’alerte AL26-028 sur une campagne de faux soutien technique ciblant des organisations canadiennes, notamment dans les secteurs juridique et financier. Des fraudeurs se présentent comme le support interne et dirigent les employés vers de fausses pages de connexion.

Cette date correspond à la publication de l’alerte, pas au début des attaques. Cet article explique le signalement et propose une marche à suivre pour les employés et les petites équipes. Informations vérifiées le 30 octobre 2026.

Le piège commence par une demande plausible

Imaginez cet appel fictif : « Bonjour, c’est le support informatique. La migration de votre compte est en retard. Ouvrez le lien que je vous envoie pour terminer avant votre prochaine réunion. » Vous êtes occupé, la personne semble serviable et la page ressemble à votre portail habituel. La conversation vous entraîne dans une connexion que vous n’avez pas initiée.

C’est de l’hameçonnage vocal, aussi appelé vishing. Le guide du Centre sur le vishing explique comment l’usurpation d’identité, l’urgence et un numéro d’appel falsifié créent la confiance. Un nom connu ou un numéro affiché ne constitue pas une vérification indépendante.

Pourquoi certaines validations MFA peuvent être relayées

L’analyse de Google Threat Intelligence du 15 mai sur des usurpations du support (en anglais) décrit un relais en temps réel : une page imitée récupère le mot de passe, le soumet au vrai service et demande à la personne de terminer la validation MFA qui en résulte. Un code ou une approbation relayés peuvent permettre à l’attaquant de se connecter. La complexité du mot de passe n’empêche pas sa saisie sur la mauvaise page.

Gardez la MFA activée. Elle ajoute une protection, mais toutes les méthodes ne résistent pas aux mêmes attaques. Le guide du Centre sur la MFA distingue la fatigue liée aux notifications, le vol de jetons et l’interception, et recommande des méthodes résistantes à l’hameçonnage. La correspondance de nombres peut réduire la fatigue MFA ; elle ne rend pas toute approbation résistante à l’hameçonnage.

Interrompez l’appel et vérifiez par un canal connu

• Mettez fin à un appel inattendu demandant un changement de mot de passe, une réinitialisation MFA ou un nouvel authentifiant.
• Ouvrez votre favori habituel du support ou utilisez les coordonnées de l’annuaire interne. Évitez le lien, le numéro fourni par l’appelant et le rappel du numéro affiché.
• Demandez à votre support vérifié si la demande est réelle avant de poursuivre.
• Ne communiquez ni mot de passe, ni code temporaire, ni code de récupération à l’appelant. N’approuvez pas une connexion que vous n’avez pas initiée et vérifiée.

Vous pouvez répondre : « Je vais contacter le support par notre canal habituel pour vérifier la demande. » Cette vérification doit fonctionner même si la personne raccroche. Une procédure répétable est plus utile que de chercher à reconnaître une voix digne de confiance.

Un prétexte de migration ne signifie pas que les passkeys sont cassées

L’alerte d’octobre mentionne l’inscription urgente à une clé d’accès parmi les prétextes employés. Cela ne démontre pas une défaite de sa cryptographie. La FIDO Alliance explique que les passkeys sont liées au service pour lequel elles ont été créées (en anglais), ce qui aide à résister aux faux sites. La récupération et l’inscription restent à protéger : un fraudeur peut chercher à vous faire autoriser une modification indésirable.

Pour distinguer mot de passe, clé de sécurité et passkey, consultez notre guide des clés d’accès et des mots de passe. Ne désactivez pas une protection existante parce qu’un appelant inattendu affirme qu’elle bloque une migration.

Si vous avez déjà saisi des identifiants

Cessez d’interagir avec la page et contactez immédiatement votre équipe informatique ou de sécurité par le canal vérifié. Indiquez le compte concerné, l’heure et les actions effectuées : saisie du mot de passe, communication d’un code ou approbation d’une demande. N’envoyez pas le véritable mot de passe ou code.

L’alerte d’octobre recommande de révoquer les sessions et jetons actifs, réinitialiser les identifiants, retirer les méthodes MFA ou appareils non autorisés et examiner l’activité du compte. Changer le mot de passe seul peut laisser d’autres accès ouverts. Pour un compte professionnel, laissez l’administrateur coordonner ces actions.

Conservez le message, l’adresse de la page et l’heure de l’appel pour l’enquête, sans rouvrir le lien suspect. Le guide d’intervention du Centre souligne la documentation des événements, la répartition des responsabilités et l’existence d’un autre moyen de contact. Un signalement rapide aide l’équipe à contenir l’incident.

Une courte checklist pour les petites équipes

Le suivi publié par Google le 6 août (en anglais) recommande l’authentification résistante à l’hameçonnage et des contrôles d’accès fondés sur des appareils gérés. Complétez ces mesures par une procédure écrite de récupération de compte et d’inscription d’un nouvel appareil.

Rendez le canal de signalement facile à trouver avant un incident. Ajoutez les coordonnées vérifiées du support et une procédure pour les appels inattendus à votre politique de mots de passe d’équipe. Entraînez-vous avec des informations inventées, sans recueillir les vrais mots de passe ou codes des employés.