Vishing PME : quand un appel vole vos accès SaaS

Votre comptable reçoit un appel sur son téléphone personnel un mardi matin. Une voix professionnelle, au nom du support informatique, lui explique qu'il y a un problème urgent sur son compte Microsoft 365. Pour éviter de perdre l'accès à ses fichiers, elle doit confirmer son identifiant et valider un code reçu par SMS. Deux minutes plus tard, des cybercriminels naviguent librement dans vos outils cloud. Ce scénario n'est pas hypothétique : c'est exactement la méthode utilisée par le groupe UNC6671, identifié récemment par des chercheurs en sécurité, qui cible activement les PME européennes via des campagnes de vishing — autrement dit, des arnaques téléphoniques sophistiquées visant à voler des accès SaaS d'entreprise.

C'est quoi le vishing, concrètement ?

Le vishing, contraction de « voice » et « phishing », est une arnaque téléphonique où l'attaquant se fait passer pour quelqu'un de confiance : le service informatique, un prestataire, Microsoft, votre opérateur télécom. Contrairement aux e-mails frauduleux que beaucoup ont appris à repérer, un appel vocal désarme plus facilement. Le ton humain, l'urgence simulée, les bons mots techniques : tout est calculé pour court-circuiter la méfiance naturelle. Dans les attaques ciblant les PME, les cybercriminels font leurs devoirs avant d'appeler. Ils consultent LinkedIn pour connaître les noms des collaborateurs et leurs rôles, repèrent quels outils SaaS votre entreprise utilise (Slack, HubSpot, Salesforce, Google Workspace…), puis construisent un scénario crédible. L'appel arrive souvent sur le mobile personnel de l'employé, un numéro que l'entreprise ne surveille pas et sur lequel aucune protection professionnelle n'est active.

Comment l'attaque UNC6671 fonctionne étape par étape

Le groupe UNC6671 a perfectionné une technique en trois temps, redoutablement efficace contre les petites et moyennes entreprises. Première étape : la préparation. Les attaquants récoltent des informations publiques sur votre entreprise et vos employés pour rendre l'appel crédible. Deuxième étape : l'appel de manipulation. Un faux technicien contacte un employé ciblé, invoque un incident de sécurité fictif ou une mise à jour urgente, et crée une pression temporelle. L'employé, stressé et convaincu de l'urgence, est guidé pour saisir ses identifiants sur une fausse page de connexion — une copie quasi parfaite de l'interface habituelle — ou pour lire à voix haute un code d'authentification reçu par SMS. Ce code, c'est précisément la double authentification (le fameux MFA) que votre entreprise avait mise en place pour se protéger. Troisième étape : l'exploitation discrète. Une fois connectés à votre outil SaaS, les cybercriminels n'agissent pas forcément tout de suite. Ils peuvent rester invisibles plusieurs semaines, exfiltrant des données clients, des contrats, des coordonnées bancaires, ou préparant une attaque par rançongiciel.

Pourquoi vos employés se font avoir, même les plus prudents

Ne blâmez pas vos collaborateurs : ces attaques sont conçues pour tromper des gens normaux, pas des experts en sécurité. Plusieurs facteurs jouent en faveur des attaquants. L'usurpation de numéro : grâce à des techniques accessibles, les cybercriminels affichent un numéro de téléphone qui ressemble à celui de votre prestataire informatique ou d'un grand éditeur logiciel. L'urgence paralysante : « Votre compte sera bloqué dans 30 minutes si vous ne confirmez pas maintenant » — sous pression, le cerveau cherche à résoudre le problème, pas à analyser la situation. La légitimité du canal : un e-mail suspect, on s'en méfie. Un appel téléphonique, on lui fait instinctivement plus confiance. Enfin, l'appel arrive sur le mobile personnel, hors du cadre professionnel, là où l'employé est en mode « vie privée » et moins vigilant. Résultat : même un salarié formé aux bonnes pratiques peut se faire piéger, surtout s'il n'a jamais entendu parler de vishing PME.

Ce que vous pouvez faire dès maintenant

1. Briefez vos équipes en 10 minutes dès cette semaine. Expliquez simplement ce qu'est le vishing et donnez une règle d'or : votre service informatique (interne ou externe) ne demandera JAMAIS un mot de passe ou un code SMS par téléphone. Jamais. Point.

2. Créez un réflexe « je rappelle ». Si un employé reçoit un appel suspect d'un prétendu technicien, il raccroche et rappelle lui-même le numéro officiel de votre prestataire informatique — celui enregistré dans ses contacts, pas celui fourni par l'appelant.

3. Vérifiez votre MFA et choisissez la bonne méthode. Le code SMS est le maillon faible : il peut être dicté au téléphone sous la pression. Préférez une application d'authentification (Microsoft Authenticator, Google Authenticator) ou mieux encore, une clé physique de sécurité pour vos accès les plus sensibles.

4. Limitez les informations visibles publiquement. Auditez les profils LinkedIn de vos collaborateurs : évitez d'y afficher les outils SaaS utilisés dans l'entreprise. Moins les attaquants en savent, moins leur scénario sera crédible.

5. Mettez en place une procédure de signalement simple. Vos employés doivent savoir à qui signaler un appel suspect, sans craindre d'être jugés. Un simple message sur votre canal de communication interne suffit pour alerter toute l'équipe en temps réel. La première protection contre l'arnaque téléphonique en entreprise, c'est que chacun se sente libre de dire « j'ai failli me faire avoir ».