On ne vend pas un mensonge, mais un rôle
Un e-mail d'hameçonnage joue sur le nombre: il est envoyé à des milliers de personnes, et quelqu'un finira par cliquer. Le prétextage fonctionne autrement: on construit une histoire autour de toi. Le nom de ton service, le nom de la banque où tu as effectivement un compte, le numéro de commande que tu attends vraiment. Rien de tout cela n'est une information secrète: ces données se trouvent sur les réseaux sociaux, dans des fuites de données ou dans la signature de ton propre e-mail.
Le but des détails n'est pas de prouver quoi que ce soit. Ils écartent la question: «Mais qui est cette personne?» Pendant que tu vérifies un détail et qu'il correspond, tu ne vérifies déjà plus les autres: ton cerveau reconstitue tout le rôle. Un seul petit détail qui tombe juste agit comme une garantie pour toute l'histoire.
La légende. On prépare à l'avance un rôle et un motif: vérifier une connexion, livrer un colis, corriger une erreur dans des documents. Le motif explique pourquoi on t'appelle, toi, et pourquoi maintenant.
Une petite vérité. Dans les premières secondes, on mentionne quelque chose qu'on sait vraiment sur toi. Ce n'est pas une demande, mais un acompte de confiance.
L'urgence. Une fenêtre apparaît: «la demande reste en attente pendant 10 minutes». Le temps de vérifier disparaît volontairement, et non par accident.
L'isolement. On te demande de ne pas raccrocher, de ne pas en parler ou de passer sur une messagerie. La présence d'une tierce personne suffit à faire s'effondrer le scénario.
Une petite demande. On commence par te demander un détail: confirmer, dicter ou appuyer. Une fois la première demande acceptée, il est plus difficile de refuser la deuxième fois.
À quoi ça ressemble
La conversation va presque toujours dans un seul sens: l'autre personne pose des questions et tu réponds. C'est toi qu'on vérifie, alors que c'est elle qui a passé l'appel. Voici un échange typique: ne regarde pas les mots, mais la façon dont le rôle se déplace.
C'est le service de sécurité. Je vois une tentative de connexion à ton compte depuis une autre ville.
Aucune connexion.
C'est bien ce que je pensais. Je peux encore envoyer la demande de blocage, mais il reste dix minutes.
Qu'est-ce que je dois faire?
Dicte-moi le code du message: il confirmera que je parle bien à la titulaire du compte.
D'accord, une seconde.
Ici, trois signaux s'enchaînent. On t'annonce une nouvelle alarmante que tu ne peux pas vérifier. On te donne un délai. Et on te demande de prouver que tu es bien toi, alors que ce n'est pas toi qui as lancé l'appel. Le code du message ne confirme rien à ton interlocutrice: il sert précisément à se connecter, et le vrai support ne te le demandera jamais.
Remarque aussi qui est pressé, ici. Dans ce type de conversation, l'urgence appartient toujours à quelqu'un d'autre: on te l'a apportée. Retire le compte à rebours et le scénario s'effondre; c'est pour cela qu'on le maintient.
Le scénario ne repose pas sur la naïveté, mais sur des réactions normales: aider, ne pas contester, régler vite le problème. C'est pourquoi il piège le plus souvent les personnes occupées et polies.
Pourquoi les personnes qui pratiquent le prétextage citent-elles un petit détail vrai sur toi?
Que faire si on te presse et qu'on te demande un code reçu par message?
Sources
- Mécanismes d'influence: d'après les travaux de Robert Cialdini sur l'autorité, la rareté et la cohérence
- analyse du prétextage: Kevin Mitnick, «L'Art de la supercherie»
- signaux d'alerte: recommandations publiques des banques et des CERT
La suite de la série « Ingénierie sociale »
3 articles en entier sur le site, encore 4 dans l'application
