L’usurpation d’identité numérique, ou spoofing, fait partie des techniques d’attaque les plus redoutables pour tromper les utilisateurs et contourner les systèmes de sécurité. En falsifiant une adresse e-mail, un numéro de téléphone ou même une adresse IP, les cybercriminels parviennent à se faire passer pour une entité légitime afin de dérober des informations, détourner des fonds ou infiltrer le réseau de l’entreprise.
Découvrez comment identifier, contenir et prévenir le spoofing, ainsi que nos conseils techniques et organisationnels pour protéger durablement votre système d’information.
Le spoofing désigne toute forme d’usurpation d’identité numérique destinée à tromper un système ou un utilisateur. Les attaquants falsifient des identifiants techniques (adresse e-mail, IP, numéro de téléphone, enregistrement DNS ou table ARP), pour se faire passer pour une source légitime.
Cette technique est utilisée pour accéder à des systèmes sans autorisation, détourner des communications, propager des malwares, ou encore manipuler des victimes à des fins de fraude. En matière de cybersécurité en entreprise, les attaques de spoofing peuvent viser aussi bien la messagerie que les réseaux internes ou les systèmes téléphoniques.
Pour mener leurs attaques, les cybercriminels s’appuient sur des procédés de falsification technique, qu’ils adaptent selon la nature de la cible et le vecteur utilisé.
Dans le cas d’un e-mail de spoofing, ils modifient les en-têtes SMTP pour faire apparaître une adresse d’expéditeur trompeuse.
En IP spoofing, ils altèrent l’adresse source d’un paquet pour masquer l’origine du trafic.
D’autres variantes manipulent le protocole ARP pour détourner les flux réseau internes, ou exploitent la VoIP pour modifier les identifiants d’appel.
Des outils automatisés et des scripts open source permettent aujourd’hui de générer en quelques secondes des paquets falsifiés et de simuler des communications légitimes.
Par exemple, lors d’une attaque DDoS, l’IP spoofing est utilisé pour falsifier l’adresse source des paquets. Les flux semblent alors provenir de multiples machines légitimes, compliquant la tâche des équipes SOC chargées d’en retracer l’origine.
Le phishing repose sur l’ingénierie sociale, tandis que le spoofing agit au niveau technique. Le premier vise à manipuler psychologiquement l’utilisateur pour obtenir des informations ou des actions, tandis que le second falsifie les identifiants techniques servant à établir la confiance.
Ces deux approches se complètent souvent : un e-mail de phishing devient bien plus crédible lorsqu’il repose sur une adresse falsifiée.
En 2019, par exemple, l’entreprise Auvray Transports1 a subi une arnaque au président après que des cybercriminels ont usurpé le numéro de leur agence BNP Paribas. Convaincue de l’urgence, la direction a validé plusieurs virements pour un total de 98 000 €, démontrant la puissance du spoofing téléphonique lorsqu’il est combiné à une ingénierie sociale sophistiquée.
L’e-mail spoofing est la forme d’usurpation d’identité numérique la plus répandue. Elle consiste à falsifier l’adresse d’expéditeur d’un e-mail afin de contourner les filtres de sécurité et d’inciter la victime à ouvrir un message piégé.
Les conséquences peuvent être graves : propagation de ransomwares, compromission de comptes (BEC), interception de communications internes sensibles…
Preuve en est, en octobre 20132, un faux communiqué de presse annonçant le rachat de Fingerprint Cards par Samsung a fait bondir le cours de l’entreprise de 50 % en quelques minutes. L’adresse e-mail usurpée imitait celle d’une agence de presse officielle : un exemple typique de spoofing utilisé à des fins de manipulation financière.
L’IP spoofing consiste à modifier l’adresse IP source d’un paquet réseau afin de dissimuler l’identité réelle de l’émetteur. En usurpant une adresse légitime, l’attaquant peut contourner des filtres de sécurité ou détourner la confiance d’un système cible.
Cette technique est fréquemment observée dans les attaques par déni de service distribué (DDoS), où des milliers de paquets falsifiés inondent un serveur pour le saturer tout en rendant leur origine indétectable. Elle peut également être utilisée pour détourner une session TCP, en se faisant passer pour un hôte autorisé afin d’intercepter ou manipuler des données en transit.
Dans un cadre défensif, les experts en cybersécurité emploient aussi l’IP spoofing lors de tests d’intrusion (pentest) ou de simulations d’attaques afin d’évaluer la capacité des pare-feu, IDS ou SIEM à identifier et bloquer ce type d’activité anormale.
Dans un contexte malveillant, cette méthode sert à rendre anonyme l’origine d’une attaque ou à rediriger le trafic vers une infrastructure contrôlée par le pirate, compliquant grandement la détection et la traçabilité du flux réseau par les équipes SOC.
Avec la généralisation de la téléphonie sur IP (VoIP), il est devenu relativement simple de modifier le numéro d’appel affiché sur le terminal du destinataire. En usurpant un numéro légitime (celui d’une banque, d’une institution ou même d’un collaborateur interne), l’attaquant renforce la crédibilité de son appel et augmente ses chances de manipuler sa victime.
Ce type d’usurpation est souvent exploité dans le cadre de fraudes financières, comme les arnaques au support technique. L’objectif est d’obtenir un virement, des identifiants ou un accès distant à un système.
Pour contrer ces manipulations, des protocoles d’authentification comme STIR/SHAKEN ont été développés. Ils permettent aux opérateurs de vérifier la légitimité d’un appel avant sa transmission. Cependant, ces standards ne sont pas encore déployés partout, laissant encore de nombreuses entreprises vulnérables.
En France, l’Autorité des marchés financiers (AMF) a récemment mis en garde contre des appels frauduleux affichant son propre numéro, utilisés pour proposer de faux placements financiers3.
Sur un réseau local, l’ARP spoofing vise à altérer la table ARP (Address Resolution Protocol), qui fait le lien entre les adresses IP et les adresses MAC. En envoyant de fausses réponses ARP, l’attaquant amène les machines du réseau à associer une adresse IP légitime à sa propre adresse MAC.
Résultat : tout le trafic destiné à une autre machine est redirigé vers le poste compromis, permettant au cybercriminel d’intercepter, de modifier ou d’exfiltrer les données échangées. Ce scénario, typique d’une attaque Man-in-the-Middle (MITM), peut compromettre des informations sensibles comme des identifiants d’accès ou des fichiers internes.
Pour s’en prémunir, les entreprises doivent adopter une segmentation réseau stricte à l’aide de VLAN, isoler les environnements critiques, et chiffrer les communications internes via des protocoles sécurisés (HTTPS, SSH, IPsec).
La surveillance des tables ARP et la détection d’anomalies réseau sur un SIEM ou un IDS permettent également de repérer plus tôt ce type de manipulation.
Le DNS spoofing, ou DNS cache poisoning, consiste à injecter de fausses informations dans le cache d’un serveur DNS pour rediriger les utilisateurs vers un site malveillant imitant un domaine légitime (banque, intranet, fournisseur, etc.). Ces attaques peuvent aboutir à la récupération d’identifiants, à l’installation de malwares ou à la diffusion de fausses informations.
De son côté, le GPS spoofing cible les dispositifs de géolocalisation, qu’il s’agisse de flottes de véhicules, de drones ou d’objets connectés (IoT). En émettant un signal GPS falsifié, l’attaquant parvient à tromper le système de navigation et à provoquer un déplacement erroné ou une perte de suivi.
Enfin, le Wi-Fi spoofing, souvent appelé attaque evil twin, repose sur la création d’un faux point d’accès sans fil imitant le réseau légitime d’une entreprise. Les utilisateurs s’y connectent par erreur et transmettent leurs identifiants ou données de session à un pirate informatique.
Pour limiter ces risques, il est recommandé de durcir les serveurs DNS, de surveiller les incohérences de géolocalisation sur les flottes connectées, et d’équiper les environnements Wi-Fi d’outils de détection de points d’accès suspects.
La première étape consiste à identifier la nature et l’ampleur de l’attaque. Il s’agit de déterminer s’il s’agit d’un spoofing e-mail, téléphonique, IP ou DNS, afin d’adapter la réponse technique.
L’analyse approfondie des journaux SMTP, des logs réseau, des enregistrements VoIP ou des alertes SIEM permet de retracer la source apparente de la falsification et de comprendre comment l’attaquant a opéré.
Les adresses IP, domaines ou numéros suspects doivent être immédiatement bloqués ou mis en quarantaine, et les filtres de messagerie ou les règles de pare-feu mis à jour.
Les entreprises dotées d’une supervision en temps réel (SIEM ou XDR) peuvent ainsi détecter les anomalies dès leur apparition et stopper rapidement une campagne de faux e-mails ou d’appels malveillants avant qu’elle ne se propage au reste du système d’information.
Une fois la compromission confirmée, il est impératif de déclarer l’incident aux autorités compétentes. En France, l’ANSSI et le CERT-FR accompagnent les entreprises dans la qualification et la réponse technique à ces cyberattaques.
Si le spoofing a conduit à une violation de données personnelles, une notification à la CNIL dans un délai de 72 heures est également obligatoire4, conformément au RGPD.
En parallèle, une communication claire et mesurée doit être adressée aux parties prenantes internes (direction, DPO, équipes IT) ainsi qu’aux clients et partenaires concernés. L’objectif est de préserver la confiance tout en évitant la diffusion d’informations pouvant compromettre l’enquête ou aggraver l’impact réputationnel.
Une fois l’incident maîtrisé, un audit post-incident est indispensable pour comprendre les causes profondes de l’attaque et renforcer les défenses. Il s’agit d’examiner les configurations DNS, les politiques de filtrage e-mail, les règles de pare-feu et les contrôles d’authentification afin de combler toute faille de sécurité exploitée.
Les organisations doivent ensuite formaliser des procédures de remédiation et de test de restauration, régulièrement mises à jour dans leur politique de sécurité (PSSI).
Des tests de pénétration ciblés et des exercices de simulation (table-top exercises) permettent d’évaluer la réactivité des équipes et la robustesse du dispositif.
Enfin, une formation post-incident des collaborateurs aide à capitaliser sur l’expérience vécue, à renforcer la vigilance humaine et à prévenir toute réitération de l’attaque.
La prévention du spoofing repose sur une approche multicouche, combinant mesures techniques, organisationnelles et de supervision.
Sur la messagerie, la mise en œuvre rigoureuse des protocoles SPF, DKIM et DMARC est indispensable :
SPF (Sender Policy Framework) permet de définir les serveurs autorisés à envoyer des e-mails au nom d’un domaine.
DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique pour garantir l’intégrité du message.
DMARC (Domain-based Message Authentication, Reporting and Conformance) établit des règles de validation et des rapports pour identifier toute tentative d’usurpation.
Une configuration stricte de ces trois protocoles empêche qu’un attaquant puisse envoyer un e-mail frauduleux depuis un domaine légitime.
Sur le plan réseau, la segmentation via VLAN et l’isolement des zones sensibles (serveurs, environnements d’administration, production) limitent la portée d’un spoofing ARP ou IP. Le chiffrement systématique des flux internes, couplé à une surveillance des tables ARP et à des alertes en cas d’anomalies, renforce la résilience du réseau interne face aux attaques locales.
Les infrastructures téléphoniques doivent quant à elles adopter les standards STIR/SHAKEN, conçus pour vérifier l’identité de l’appelant avant l’établissement de la communication. Les opérateurs télécoms peuvent également déployer des filtres anti-spoofing bloquant les appels dont la provenance est incertaine ou non conforme aux métadonnées de signalisation.
Sur les terminaux mobiles, certaines applications anti-spoofing (comme Hiya, Truecaller ou CallApp) analysent les appels entrants, identifient les numéros usurpés et bloquent automatiquement ceux signalés comme frauduleux. Si ces solutions ne remplacent pas une supervision télécom globale, elles offrent une couche de protection complémentaire pour les collaborateurs fréquemment exposés (équipes financières, direction, support client). Leur intégration dans la politique mobile de l’entreprise contribue à réduire significativement les tentatives d’usurpation par téléphone ou SMS.
Côté infrastructure DNS, un durcissement des serveurs est nécessaire : configuration sécurisée des caches, activation de la validation DNSSEC, et mise en place d’outils de détection contre les attaques de type DNS cache poisoning. Cette supervision doit s’étendre aux flottes d’objets connectés (IoT) et aux réseaux sans fil, particulièrement vulnérables au GPS spoofing et aux attaques evil twin. L’usage de sondes Wi-Fi ou IDS spécialisés permet de repérer les points d’accès non autorisés et les signaux GPS incohérents.
Pour renforcer encore cette protection, les entreprises doivent veiller à la sécurisation des accès eux-mêmes. La mise en place d’une gestion centralisée des identifiants et des secrets, grâce à un coffre-fort de mots de passe entreprise comme LockPass, contribue à supprimer les mots de passe partagés, à tracer les connexions et à appliquer des accès nominatifs, temporisés et audités. Ce type d’approche réduit considérablement les risques d’usurpation d’identité interne ou externe, souvent exploités dans les attaques de spoofing.
Aucune mesure technique ne peut suffire sans la vigilance des collaborateurs. Le facteur humain reste en effet le vecteur d’exploitation privilégié des cybercriminels.
Les utilisateurs doivent donc être régulièrement formés à identifier les signaux d’alerte : adresse d’expéditeur légèrement modifiée, ton inhabituel dans un message, demande urgente, contournant les procédures habituelles… Ces signes, souvent discrets, sont les premiers indicateurs d’une tentative d’usurpation d’identité.
L’instauration de procédures de double validation pour les virements, les changements de coordonnées bancaires ou les opérations critiques renforce le contrôle interne et neutralise de nombreuses fraudes basées sur le spoofing téléphonique ou e-mail.
Enfin, au-delà de la sensibilisation, la menace doit être intégrée dans la gouvernance de la sécurité : les politiques internes (PSSI, SMSI) et les audits de conformité ISO 27001 ou NIS2 doivent couvrir explicitement les risques d’usurpation d’identité numérique.
Cette approche continue, mêlant technique, organisation et formation, reste la meilleure garantie pour maintenir une posture de sécurité solide face à la diversité des formes de spoofing.
Sources :
2 https://www.usine-digitale.fr/article/fingerprint-cards-dement-avoir-ete-rachete-par-samsung.N208212