Ingénierie sociale

L’ingénierie sociale désigne la manipulation d’une personne pour obtenir un bien, une information ou un accès. Le CyberDico de l’ANSSI la définit comme une manipulation « en exploitant la confiance, l’ignorance ou la crédulité de tierces personnes ». Le terme officiel français est « manipulation psychosociale », publié au Journal officiel du 14 septembre 2021. FranceTerme déconseille « ingénierie sociale » en ce sens.

Comment ça fonctionne ?

L’ingénierie sociale exploite des ressorts humains plutôt qu’une faille technique. Selon FranceTerme, la victime est choisie « en fonction de l’organisation à laquelle elle appartient et de la fonction qu’elle y occupe ». L’auteur se présente comme un tiers de confiance : banque, fournisseur, dirigeant, service informatique. Il installe ensuite une urgence ou une pression d’autorité pour obtenir un virement, un mot de passe ou un document.

L’hameçonnage constitue la forme la plus répandue de manipulation psychosociale. FranceTerme le décrit comme une fraude par « messages ou sites usurpant l’identité » d’institutions financières ou d’entreprises. La fiche précise que l’hameçonnage « relève de la manipulation psychosociale ». La fraude au président, qui imite un dirigeant pour obtenir un virement, repose sur le même ressort. Les informations publiées en sources ouvertes, comme un organigramme, servent à rendre le prétexte crédible.

Exemple

Le FBI chiffre chaque année la compromission de messagerie d’entreprise (Business Email Compromise, BEC). Selon le rapport 2024 de l’Internet Crime Complaint Center (IC3), 21 442 plaintes pour BEC ont été déposées aux États-Unis. Les pertes déclarées atteignent 2 770 151 146 dollars. L’IC3 précise que ces escroqueries passent « through social engineering or computer intrusion techniques ». Le même rapport recense 193 407 plaintes pour hameçonnage et usurpation (phishing/spoofing) en 2024.

À ne pas confondre avec

• HUMINT : famille de sources de renseignement, pas technique d’attaque. Le renseignement d’origine humaine recueille des informations auprès de personnes ou par observation. L’ingénierie sociale constitue une technique d’attaque fondée sur la tromperie.
• Hameçonnage : forme d’ingénierie sociale par message ou site frauduleux. L’ingénierie sociale passe aussi par le téléphone, la visite sur place ou la messagerie professionnelle.
• Désinformation : manipulation d’un public large par des informations fausses ou trompeuses. L’ingénierie sociale vise une personne précise pour obtenir un bien, une information ou une action.

Ce que dit le droit

Le Code pénal réprime les actes obtenus par ingénierie sociale, pas la manipulation elle-même. Cybermalveillance.gouv.fr cite ces infractions dans sa fiche sur l’hameçonnage, mise à jour le 7 mai 2026.

• Article 313-1 : l’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Elle suppose un faux nom, une fausse qualité ou des manœuvres frauduleuses.
• Article 226-4-1 : l’usurpation d’identité est punie d’un an et de 15 000 euros. Le texte vise l’usurpation destinée à troubler la tranquillité d’un tiers ou à atteindre son honneur.
• Article 226-18 : la collecte déloyale de données personnelles est punie de cinq ans et de 300 000 euros. Le texte vise tout moyen frauduleux, déloyal ou illicite.
• Article 323-1 : l’accès frauduleux à un système est puni de trois ans et de 100 000 euros. Le maintien frauduleux dans le système est puni des mêmes peines.

À jour au 27/09/2026.