Points clés
- Certaines équipes concentrent structurellement des risques humains disproportionnés : IT/admin, finance, RH, direction et équipes de recherche sont les principales cibles documentées.
- Ces équipes sont ciblées en raison de leurs accès (IT), de leur capacité à valider des transactions (finance), de la valeur des données qu'elles gèrent (RH, recherche) ou de leur visibilité (direction).
- Identifier les équipes à exposition critique permet de concentrer les ressources de sensibilisation et de protection sur les populations dont le risque justifie un investissement renforcé.
- Les équipes à exposition critique ont besoin de formations spécifiques, de contrôles adaptés et d'une attention managériale particulière — pas uniquement des mêmes formations que le reste de l'organisation.
Le risque humain n'est pas uniformément distribué dans une organisation. Certaines équipes présentent des profils de risque significativement plus élevés que d'autres — soit parce qu'elles sont les cibles privilégiées des attaquants, soit parce que leurs erreurs ou leurs comportements à risque ont un impact disproportionné sur l'organisation. Identifier ces équipes et concentrer les ressources de protection et de sensibilisation sur elles est une approche de gestion des risques plus efficiente que d'appliquer les mêmes mesures uniformément.
Cette différenciation n'est pas discriminatoire — elle est fondée sur une analyse rigoureuse du profil de risque réel de chaque population, et elle permet d'utiliser les ressources limitées disponibles là où leur impact est maximal.
Les équipes IT et les administrateurs système
Les équipes IT et les administrateurs système ont les accès les plus étendus aux systèmes critiques, les droits d'administration les plus puissants, et les connaissances les plus précises de l'architecture interne. Ils sont à la fois les défenseurs de premier rang et les cibles de valeur maximale pour les attaquants — un compte d'administrateur compromis donne accès à l'ensemble des systèmes qu'il administre. Les mesures spécifiques pour cette population incluent des formations renforcées, des contrôles d'accès privilégiés (PAM), une surveillance accrue des comportements d'accès et des procédures d'accès d'urgence documentées.
Les équipes financières : cibles des fraudes à fort impact
Les équipes financières — directeurs financiers, comptables, trésoriers, approbateurs de virements — sont les cibles privilégiées des fraudes au président et des BEC (Business Email Compromise) pour leur capacité à valider des virements. Leur profil de risque spécifique exige des formations sur ces types d'attaques précisément, des procédures de vérification robustes pour les virements significatifs, et une sensibilisation aux techniques de manipulation utilisées dans les fraudes financières — très différentes des techniques de phishing générique.
Les équipes RH : données personnelles et organigramme
Les équipes RH ont accès aux données personnelles de l'ensemble des employés, aux informations salariales et organisationnelles, et aux processus d'onboarding et d'offboarding qui touchent directement à la gestion des accès. Elles sont ciblées pour les données qu'elles gèrent (vente à des tiers, extorsion) et pour leur rôle dans les processus d'accès (phishing imitant des processus RH). Des formations spécifiques sur la protection des données personnelles, la détection des demandes suspectes et les procédures de vérification des demandes d'accès constituent le socle minimal pour cette population.
Les équipes de direction et les assistants
Les membres du comité exécutif sont des cibles de choix pour les usurpations d'identité et les fraudes — leur profil visible sur les réseaux sociaux, leurs voyages fréquents et leur autorité sur les décisions financières les rendent précieux comme vecteurs de fraude. Leurs assistants, qui ont souvent accès à leurs agendas, leurs emails et parfois leurs accès systèmes, sont des cibles secondaires que les attaquants ont appris à exploiter. Des formations spécifiques et des procédures de vérification adaptées à leurs usages réels sont indispensables pour ces populations.
Études de cas
Twitter 2020 — Équipe helpdesk comme point d'entrée
L'attaque contre Twitter en 2020 a ciblé spécifiquement des membres des équipes IT et helpdesk de Twitter — les personnes avec les accès aux outils d'administration internes. Les attaquants ont identifié ces employés spécifiques via leurs profils LinkedIn et ont conçu leur ingénierie sociale pour exploiter précisément les processus et les responsabilités de ces équipes. Cette précision dans le ciblage illustre pourquoi les équipes IT sont particulièrement exposées et méritent des mesures de protection et de formation spécifiques.
Fraude au président — Directeur financier comme cible principale
Le FBI IC3 documente que les directeurs financiers sont la cible principale des fraudes BEC — impliqués dans 62% des cas documentés comme valideurs finaux des virements frauduleux. Cette concentration n'est pas aléatoire : les attaquants ciblent précisément la fonction qui combine l'autorité de validation, la familiarité avec les virements internationaux urgents et la pression opérationnelle qui peut court-circuiter les vérifications habituelles. Des formations spécifiques pour les DAF sur la détection des fraudes BEC réduisent significativement cette exposition documentée.
Staffing agency compromis via équipe RH — Secteur santé américain
Une agence de recrutement médicale américaine a subi une compromission débutant par le ciblage de son équipe RH via des emails imitant des candidats envoyant des CV malveillants. Les équipes RH ouvrent des CV et des fichiers de candidats quotidiennement — c'est leur travail — créant un vecteur d'attaque naturel par lequel les fichiers malveillants se fondent dans le flux de travail normal. Cet incident a conduit à des recommandations spécifiques sur la sécurisation des processus de réception et d'ouverture des CV dans les équipes RH — une formation ciblée sur ce vecteur spécifique.
États-Unis — Verizon DBIR, attaques par secteur fonctionnel
Le Verizon DBIR analyse chaque année les incidents par fonction organisationnelle ciblée, documentant la concentration des attaques sur certaines équipes. Les résultats sont stables : les équipes IT/admin sont ciblées pour leurs accès, les équipes financières pour les fraudes, les équipes RH pour les données personnelles et comme vecteur de phishing via les processus de recrutement. Ces données, accessibles gratuitement, permettent à chaque organisation d'évaluer son exposition relative et de prioriser ses investissements en sensibilisation sur les équipes documentées comme les plus exposées.
France — ANSSI, ciblage des équipes sensibles
L'ANSSI a documenté dans ses analyses d'incidents une concentration des attaques initiales sur des équipes spécifiques — équipes IT des opérateurs d'importance vitale, équipes financières des grandes entreprises, équipes R&D des entreprises stratégiques. Ces constats fondent des recommandations de l'ANSSI sur la différenciation des programmes de sensibilisation et des contrôles de sécurité selon le profil de risque de chaque population — une approche plus efficiente que l'application uniforme des mêmes mesures à toutes les équipes.
Corée du Nord — Ciblage sectoriel des équipes via LinkedIn
Le Korea Internet & Security Agency (KISA) a documenté des campagnes de Lazarus Group ciblant spécifiquement les chercheurs en sécurité (pour accéder aux recherches sur les vulnérabilités), les développeurs blockchain (pour accéder aux systèmes de cryptomonnaie), et les équipes financières des entreprises d'investissement (pour les fraudes). Cette spécialisation dans le ciblage de populations fonctionnelles précises est représentative de la maturité des groupes APT modernes dans l'exploitation des profils de risque différenciés des équipes organisationnelles.