Vous recevez un appel. La voix est celle d’un collègue, le numéro semble interne, la personne connaît son matricule et le nom de son manager. Tout concorde. Sauf que ce n’est pas lui. Avec le clonage vocal, les deepfakes et le vishing, les signaux sur lesquels reposait la vérification d’identité, la voix, le visage, les informations personnelles, sont devenus falsifiables en quelques minutes. Le vrai sujet n’est plus de reconnaître une personne, mais de prouver son identité au moment où l’on crée ou restaure un accès.
Article réalisé en partenariat avec Specops Software.
L’IA et les fuites de données, un cocktail qui change la donne
Pendant des années, nous avons protégé les systèmes d’information avec des pare-feux, de la segmentation réseau, l’installation des correctifs de sécurité sur les postes et les serveurs, etc…. Tout cela reste essentiel aujourd’hui. Mais les attaquants ont déplacé leur cible. Ils ne cherchent plus seulement une faille technique, ils s’attaquent aussi à l’humain, et plus précisément à une décision : celle de faire confiance à quelqu’un.
Dans le domaine de la gestion des accès, cette décision se prend à des moments bien identifiés :
Quand un salarié arrive dans l’entreprise.
Quand il faut lui redonner un accès qu’il a perdu, comme un mot de passe oublié
Quand une personne nous contacte en se présentant comme le support informatique.
Le problème, c’est que ces dernières années ont été marquées par de très nombreuses fuites de données. De quoi constituer d’énormes bases d’informations personnelles exploitables. Autrement dit, connaître des informations sur quelqu’un ne prouve plus que l’on est cette personne. Les questions de vérification classiques au téléphone, matricule, date d’embauche, nom du responsable, reposent justement sur ce type d’informations.
Trois scénarios d’attaque concrets
L’embauche piégée par un deepfake
Imaginez un entretien en visioconférence. Le candidat est à l’écran, il répond à vos questions, tout paraît normal. Sauf que ce visage n’existe pas. Il est appliqué en temps réel par-dessus celui de l’attaquant. C’est ce que l’on appelle un deepfake.
Ce scénario n’est pas théorique. L’éditeur KnowBe4 a embauché sans le savoir un faux informaticien, opérant avec une identité volée et une photo retouchée par IA. Dès la réception de son ordinateur professionnel, l’individu a tenté d’installer un logiciel malveillant. L’entreprise a publié elle-même le récit détaillé de l’incident, ce qui en fait un cas bien documenté.
Le deepfake appliqué en temps réel à l’image de votre webcam, c’est tout à fait possible. Voici un exemple rapide ci-dessous avec Deep Live Cam, un outil disponible à la fois en version communautaire et professionnelle. Avec un bon GPU et quelques réglages, il est possible d’avoir des résultats vraiment très bons, et ça peut aller jusqu’à avoir la synchronisation labiale avec le visage usurpé.
La restauration d’accès et la voix clonée
Le deuxième scénario concerne la restauration d’un accès, par exemple lorsqu’un utilisateur a perdu son mot de passe. Cloner une voix est aujourd’hui à la portée de tous. Quelques secondes d’audio suffisent, via des services en ligne comme ElevenLabs ou des solutions open source qui s’appuient sur de l’IA locale : VoiceStudio est un bon exemple.
ElevensLabs intègre de nombreux outils pour la manipulation des audios, d’où une fonctionnalité de clonage de voix instantané. Bien entendu, ces outils n’ont pas été conçus dans l’objectif de faciliter la mise en place de cyberattaques. Mais comme tous les outils, leur usage peut être détourné.
Le déroulé de l’attaque est simple. L’attaquant appelle le support informatique et demande la réinitialisation du mot de passe d’un compte utilisateur pris pour cible. Le technicien pose les questions habituelles pour vérifier l’identité (ou pas, d’ailleurs). Mais cette méthode est faillible, car pour les cybercriminels, une grande partie de ces réponses est accessible en ligne (inutile de vous rappeler que les fuites de données sont nombreuses).
La réinitialisation du mot de passe est alors accordée. Et si vous consultez les journaux de votre annuaire Active Directory, c’est bien le technicien, avec son accès légitime, qui a réalisé l’opération. L’attaquant, lui, n’apparaît nulle part.
Ce type d’attaque a coûté plus de 100 millions de dollars au groupe MGM Resorts (qui possède notamment de prestigieux hôtels-casinos à Las Vegas), chiffre que l’entreprise a elle-même communiqué dans un dépôt auprès de la SEC. D’après les analyses de l’incident, l’accès initial aurait été obtenu via le support informatique, à partir d’informations collectées en amont. Ces techniques d’ingénierie sociale contre les centres de support sont décrites dans un avis de la CISA et elles sont loin d’être de la fiction.
L’usurpation du support informatique
Pour le troisième scénario, on inverse les rôles. Cette fois, l’attaquant ne se fait plus passer pour un salarié, mais pour le support informatique, et il prend contact avec un employé. Le message peut arriver via l’accès externe de Microsoft Teams, désormais accompagné d’un avertissement signalant l’interlocuteur externe.
Une fois la discussion engagée, l’attaquant demande à l’employé de lancer un outil de prise en main à distance, comme l’Assistance rapide native de Windows. Les utilisateurs les plus exposés sont souvent les nouveaux arrivants, car ils ne connaissent pas encore les procédures ni les visages de l’équipe support. En 2026, plusieurs grands fonds d’investissement ont été visés par ce type d’appels s’appuyant sur des voix générées par IA.
Ces trois attaques sont différentes, mais elles ont un point commun : elles frappent toutes au moment où l’on crée, où l’on restaure ou où l’on vérifie un accès. La bonne nouvelle, c’est qu’il existe des réponses techniques adaptées.
Sécuriser chaque moment critique
Pour illustrer ces réponses, je prends l’exemple des solutions Specops, qui adressent précisément ces trois problématiques.
À l’embauche : vérifier l’identité, pas le visage
Le problème de fond, c’est que l’on demande à un humain de juger si un visage est réel. Avec Specops Verified ID, ce n’est plus à lui d’en juger. L’outil s’appuie sur une pièce d’identité officielle et une détection du vivant, aussi appelée liveness detection, pour lier une personne réelle et réellement présente au compte visé. J’ai présenté cette solution plus en détail dans un article dédié sur IT-Connect.
Une fois l’identité confirmée, reste à créer l’accès. Et là, on retrouve une autre faille classique : le mot de passe du premier jour, transmis par mail ou par SMS, qui peut être intercepté. Avec First Day Password, c’est le nouvel arrivant, déjà vérifié, qui définit lui-même son premier mot de passe. Le service informatique ne le connaît jamais. Pas de mot de passe temporaire qui circule.
À la restauration d’accès : imposer un facteur fort
Face à l’appel au support informatique et à la voix clonée, la réponse est Secure Service Desk. Le technicien n’agit pas tant que l’utilisateur n’a pas validé un facteur fort, par exemple une notification sur son téléphone ou une vérification via Verified ID. La voix ne suffit plus, l’utilisateur doit prouver qui il est.
Surtout, la vérification n’est plus une question de jugement, elle est imposée par l’outil. Même un vendredi soir, en fin de journée, quand vous êtes nazes, le processus appliqué par la solution logicielle reste identique et efficace.
Et pour le salarié qui n’a personne à appeler, en télétravail ou en dehors des horaires de bureau ? La solution s’appelle Specops uReset. Elle permet à l’utilisateur de réinitialiser lui-même son mot de passe Active Directory depuis l’écran de connexion Windows, après une vérification multifacteur. L’humain n’intervient pas, il est remplacé par les mécanismes de vérification de la solution.
Face au faux support : une vérification réciproque
Dans le dernier scénario, le problème est que la vérification ne fonctionne que dans un sens. L’informatique vérifie le salarié, mais le salarié n’a aucun moyen de vérifier que son interlocuteur est bien l’informatique. La réponse consiste à rendre cette vérification réciproque, en donnant à l’employé un moyen de confirmer, par un canal de confiance, que son interlocuteur est légitime.
Mises bout à bout, ces réponses forment une chaîne de confiance continue : à l’arrivée, à la restauration d’un accès et au moment de la prise de contact.
Renforcer les bases avec les outils natifs
Les solutions dédiées ne dispensent pas d’un socle d’hygiène solide. Voici les réglages natifs que vous devriez appliquer. Même s’ils ne vont pas aussi loin que des outils spécifiques, ils font partie de la base.
Côté Active Directory
Créez une stratégie de mot de passe affinée adaptée aux différents profils, et configurez le verrouillage de compte contre les attaques basiques de type brute force. Par exemple, verrouiller un compte pendant 15 minutes après 10 tentatives échouées en 15 minutes.
Activez les stratégies d’audit Active Directory pour journaliser l’activité des comptes. Vous obtiendrez des événements utiles dans le journal de sécurité des contrôleurs de domaine, notamment l’événement 4724, déclenché lors d’une tentative de réinitialisation de mot de passe. Ces journaux peuvent ensuite être collectés dans un SIEM pour générer des alertes.
Complétez avec Windows LAPS pour les mots de passe administrateur locaux et des comptes de service managés de groupe (gMSA) pour les services.
Soyez vigilant sur la délégation des permissions, en particulier le droit de réinitialiser les mots de passe et de créer des comptes, afin que chaque opérateur dispose de permissions limitées à son périmètre.
Le verrouillage de compte natif reste très basique et n’a pas évolué depuis longtemps. Pour aller plus loin, Specops Password Policy ajoute des fonctions comme la détection des mots de passe compromis, et ce, de façon continue.
Côté Microsoft Teams
Dans le centre d’administration Teams, section Collaboration, l’entrée External Access gère les accès externes de votre organisation. C’est ici que vous pouvez bloquer la technique du faux support contactant vos utilisateurs depuis l’extérieur. Vous pouvez bloquer tous les domaines externes, ou n’autoriser que des domaines spécifiques correspondant à vos partenaires et prestataires.
Côté Microsoft Entra ID
Mettez en place des stratégies d’accès conditionnel pour protéger l’accès aux applications cloud et aux applications fédérées. Dans les contrôles d’octroi, l’option de force d’authentification permet d’exiger un MFA résistant à l’hameçonnage (grâce aux méthodes dites phishing-resistant).
Pour rappel, Microsoft prévoit de faire des clés d’accès (passkeys) la méthode par défaut et de retirer le MFA par SMS et par appel vocal fournis nativement. Ce calendrier a été ajusté à la mi-septembre, il convient donc de suivre les communications officielles (référence Microsoft MC1426371). Ces changements vont dans le sens de la lutte contre le phishing et les usurpations assistées par IA.
Conclusion
Les fuites de données et l’IA forment un cocktail qui a rapidement renforcé la capacité des attaquants à tromper la vigilance des utilisateurs et des services informatiques. Les exemples de cet article le montrent, et il n’y a pas besoin d’être un expert pour arriver à des résultats satisfaisants.
Trois principes doivent guider votre approche :
Partez du principe que tout ce que l’on sait sur vous peut être volé ou reconstitué.
Appliquez la vérification la plus forte au moment où un accès est créé, modifié ou restauré.
Rendez cette vérification obligatoire et, si possible, valable dans les deux sens.
À une époque où n’importe qui peut usurper votre visage et votre voix, l’identité ne doit plus se deviner. Elle doit se prouver.
Cofondateur d’IT-Connect et Microsoft MVP “Cloud and Datacenter Management”. Mon obsession depuis près de 15 ans ? Rendre l’administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu’un métier, l’IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.