Hameçonnage vocal au soutien technique : l'alerte AL26-028

Le 28 octobre 2026, le Centre canadien pour la cybersécurité a publié l'alerte AL26-028 sur une campagne continue d'hameçonnage vocal visant des organisations canadiennes. Des appelants se font passer pour le soutien technique interne et dirigent les employés vers de fausses pages de connexion. Les activités recensées en octobre visaient principalement le secteur juridique. La cible n'est pas une faille logicielle : c'est la procédure qui permet à un employé, ou au soutien lui-même, de changer un facteur d'authentification au téléphone.

Ce que disent les sources

Qui est visé. Selon l'alerte AL26-028, la campagne touche notamment les secteurs juridique et financier. Depuis juillet, l'activité vise de plus en plus les organisations des finances et du droit, et le Centre précise : « Les activités recensées en octobre ciblaient principalement le secteur juridique et judiciaire. »

Le prétexte. L'appelant se présente comme du « personnel de soutien technique interne » et invoque une migration urgente vers les clés d'accès, une inscription à l'AMF ou un changement de mot de passe. L'employé est ensuite dirigé vers une fausse page de connexion. Le Centre indique que la campagne contourne l'authentification multifacteur classique et que les domaines utilisés changent souvent, ce qui limite l'effet des listes de blocage.

Après l'accès. Toujours selon l'alerte, les attaquants inscrivent leurs propres méthodes d'AMF sur le compte, suppriment les avis de sécurité, extraient des données de Microsoft 365 et des applications infonuagiques connectées, et réclament parfois une rançon.

Ce que le Centre recommande. Déployer une AMF résistante à l'hameçonnage (clés FIDO2, clés d'accès liées à l'appareil, authentificateurs de plateforme), « en particulier pour les utilisatrices et utilisateurs de comptes privilégiés ». Exiger des appareils gérés par l'accès conditionnel et restreindre les connexions depuis les RPV commerciaux, les hébergeurs et les mandataires résidentiels. « Renforcer la vérification lors de la réinitialisation de l'AMF, de la récupération de comptes » et de l'inscription d'un nouvel appareil, et raccourcir la durée des sessions. Demander aux employés de « vérifier par un moyen indépendant la légitimité de tout appel inattendu du soutien informatique », et leur offrir un canal clair pour signaler un appel ou un site suspect. Restreindre les communications externes dans les plateformes de collaboration et revoir régulièrement les accès invités.

Pourquoi ça compte

Le soutien technique est conçu pour dépanner vite. Un employé bloqué hors de son compte doit retrouver l'accès dans la journée, et c'est exactement cette bonne volonté que la campagne exploite, dans les deux sens : l'employé fait confiance à une voix qui se dit du soutien, et le soutien fait confiance à une voix qui se dit employée.

Le secteur juridique se prête bien à l'extorsion. Un cabinet détient des dossiers clients, des documents confidentiels et des échanges sensibles, souvent réunis dans une même suite infonuagique. Un seul compte compromis donne accès à une boîte courriel et à des fichiers dont la divulgation coûterait cher, et l'alerte mentionne justement des demandes de rançon. Et quand le soutien est confié à un fournisseur, les employés ont l'habitude de parler à des techniciens qu'ils ne connaissent pas.

Enfin, l'alerte confirme ce que nous écrivions sur l'AMF résistante à l'hameçonnage : un code à saisir ou une notification à approuver ne protège pas contre une personne qui convainc l'employé de le faire lui-même. Seul un facteur lié au domaine et à l'appareil coupe ce scénario.

Ce que nous en pensons chez Sentrix

1. Écrire la procédure de vérification du soutien technique. Aucune réinitialisation de mot de passe ou d'AMF sur la seule foi d'un appel : rappel au numéro inscrit au répertoire, confirmation par le gestionnaire ou vérification en personne ou par vidéo pour les comptes sensibles. La procédure se rédige, s'approuve et se révise comme une politique, ce que permet notre module de gestion des politiques.
2. Commencer par les comptes privilégiés. Administrateurs, associés, finances et soutien lui-même passent aux clés FIDO2 ou aux clés d'accès en premier, comme le décrit notre article sur le déploiement des clés d'accès.
3. Traiter l'ajout d'une méthode d'AMF comme un événement à surveiller. Une nouvelle méthode, un nouvel appareil ou la suppression de courriels de sécurité déclenchent une alerte et une vérification, pas un simple journal. Notre service identité et accès couvre l'accès conditionnel et ces alertes.
4. Rendre le bon réflexe facile. Dire clairement aux employés que le soutien ne demandera jamais de changer un facteur au téléphone, et leur donner un seul endroit pour signaler un appel douteux. Les données canadiennes sur la fraude, présentées dans hameçonnage et fraude : les chiffres canadiens, montrent pourquoi la sensibilisation doit inclure le téléphone.
5. Préparer la réponse avant l'appel. Révocation des sessions, retrait des méthodes d'AMF non autorisées, conservation des journaux : ces gestes se répètent lors d'un exercice sur table pour être faits en minutes le jour venu.
6. Encadrer le soutien impartial. Si un fournisseur gère votre soutien, sa procédure de vérification fait partie de votre risque. Elle se demande et se documente dans l'évaluation des risques tiers.

La prochaine étape

Appelez votre propre soutien technique cette semaine en vous présentant comme un employé qui a perdu son téléphone, et notez ce qu'il faut pour obtenir une réinitialisation. Si la réponse tient en une phrase, la procédure est à réécrire. Si vous voulez faire cet exercice avec nous, contactez-nous.