Kevin Mitnick : ce que le plus célèbre hacker nous a appris sur l'ingénierie sociale

Qui était Kevin Mitnick

Kevin Mitnick (1963-2023) est probablement le hacker le plus célèbre de l'histoire. Dans les années 1980 et 1990, il a compromis les systèmes de Pacific Bell, Nokia, Motorola, Sun Microsystems, Fujitsu et d'autres entreprises majeures. Sa particularité : son arme principale n'était pas la technologie, mais l'ingénierie sociale.

Arrêté en 1995 après une traque de deux ans par le FBI, il a passé cinq ans en prison (dont huit mois en isolement). Après sa libération, il est devenu consultant en sécurité et a fondé Mitnick Security Consulting. Il est décédé le 16 juillet 2023 d'un cancer du pancréas.

L'ingénierie sociale selon Mitnick

Mitnick a codifié les techniques d'ingénierie sociale dans son livre "The Art of Deception" (2002). Son principe central : la faille la plus facile à exploiter n'est pas dans le logiciel, c'est dans l'humain.

Prétexting : créer un scénario crédible pour obtenir des informations. Mitnick appelait les standards téléphoniques des entreprises en se faisant passer pour un technicien, un manager ou un auditeur. Avec chaque appel, il obtenait un fragment d'information qui rendait l'appel suivant plus crédible.

Piggybacking : exploiter la confiance établie par d'autres. Si vous connaissez le nom du responsable IT et les termes techniques de l'entreprise, les employés supposent que vous êtes légitime.

Quid pro quo : offrir quelque chose en échange de l'information. Mitnick se faisait passer pour le support technique et "aidait" les employés à résoudre un problème fictif, obtenant leurs identifiants au passage.

Ses techniques qui fonctionnent encore en 2026

L'appel au support technique

Mitnick appelait les employés en se faisant passer pour le support IT. En 2026, cette technique est utilisée par les groupes de ransomware (comme dans l'attaque Uber 2022) via des appels Teams, des messages Slack et des notifications MFA.

La collecte d'informations par fragments

Chaque information obtenue rend l'attaque suivante plus crédible. Un nom d'employé, un numéro de téléphone interne, un nom de projet. Mitnick n'avait besoin que d'un annuaire et d'un téléphone. En 2026, LinkedIn, les réseaux sociaux et les fuites de données fournissent ces fragments à grande échelle.

L'exploitation de l'autorité

Se faire passer pour quelqu'un de haut placé dans la hiérarchie pour court-circuiter les procédures de sécurité. Mitnick se faisait passer pour des managers. En 2026, les deepfakes audio et vidéo rendent cette technique encore plus convaincante.

L'urgence artificielle

Créer un sentiment d'urgence pour empêcher la cible de réfléchir. "Le serveur est en panne, j'ai besoin de votre mot de passe immédiatement." Cette technique est la base du phishing moderne.

Ce que Mitnick nous a appris

1. La sécurité technique sans sensibilisation humaine est incomplète. Les meilleures firewalls ne protègent pas contre un employé qui donne ses identifiants par téléphone.

2. L'information est la clé. Plus un attaquant connaît votre organisation (noms, rôles, projets, technologies), plus il est convaincant. Limitez les informations publiquement disponibles.

3. Les procédures doivent résister à la pression sociale. Un processus de vérification d'identité qui peut être contourné par un appel "urgent" d'un "manager" n'est pas un processus de sécurité.

4. La confiance est une vulnérabilité. Les humains sont câblés pour faire confiance et aider. Les attaquants exploitent cette disposition naturelle.

L'héritage en 2026

Malgré les progrès technologiques, l'ingénierie sociale reste le vecteur d'attaque le plus efficace. Les attaques Uber 2022, MGM Resorts 2023 et des dizaines d'autres incidents majeurs reposent sur les mêmes principes que Mitnick a décrits il y a 25 ans.

La différence en 2026 : l'IA amplifie les capacités de l'attaquant. Les deepfakes audio permettent de cloner la voix d'un dirigeant. Les LLM génèrent des emails de phishing parfaits dans n'importe quelle langue. Mais les défenses restent les mêmes : vérification d'identité robuste, procédures résistantes à la pression, et sensibilisation continue.

CleanIssue intègre l'évaluation de la résistance à l'ingénierie sociale dans ses audits. Parce que la meilleure technologie du monde ne protège pas contre un humain qui fait confiance à la mauvaise personne.