Les entreprises investissent massivement pour protéger leurs données, leurs serveurs et leurs messageries. Pourtant, pour Anthony Derbes le président d’Open Lake Technology, elles continuent de négliger un outil qu’elles utilisent des dizaines, parfois des centaines de fois par jour : leur téléphone.
À l’heure où les cyberattaques se sophistiquent et où l’intelligence artificielle permet désormais d’imiter une voix, la téléphonie d’entreprise pourrait bien être l’une des portes d’entrée les plus sous-estimées des cybercriminels. Et si nous protégions tout, sauf nos conversations ?
Nous avons appris à nous méfier des e-mails. Pas encore des appels téléphoniques.
Un e-mail suspect ? Nous vérifions l’expéditeur. Une pièce jointe inhabituelle ? Nous hésitons avant de l’ouvrir. Un lien douteux ? Nous avons appris à nous en méfier. Mais lorsqu’un téléphone sonne, notre premier réflexe reste souvent de décrocher.
Et c’est précisément là que réside le danger.
Car derrière un appel apparemment anodin peut désormais se cacher une tentative d’usurpation d’identité, une fraude financière, une opération d’ingénierie sociale ou une attaque destinée à compromettre le système d’information d’une entreprise.
La voix conserve un pouvoir de persuasion considérable. Elle rassure, crée de la proximité et donne une impression d’authenticité que les cybercriminels savent parfaitement exploiter.
Nous avons développé une culture de la méfiance numérique. Mais nous continuons d’accorder une confiance presque instinctive à la voix humaine. Une contradiction qui pourrait coûter très cher aux entreprises.
L’intelligence artificielle a fait tomber une barrière : reconnaître une voix ne suffit plus à identifier une personne.
Pendant longtemps, entendre la voix d’un dirigeant, d’un collaborateur ou d’un partenaire constituait une forme de garantie.
Cette époque est révolue.
Les technologies de clonage vocal permettent aujourd’hui de reproduire des caractéristiques vocales à partir d’enregistrements, parfois très courts. Associées à des informations récupérées sur les réseaux sociaux ou dans des données compromises, elles ouvrent la voie à des scénarios de fraude particulièrement crédibles.
Imaginez un responsable financier recevant un appel de son dirigeant lui demandant de procéder à un virement urgent. Le ton est familier. La voix semble identique. Le contexte paraît cohérent.
Et pourtant, son interlocuteur n’est pas celui qu’il croit.
Ce scénario illustre une transformation profonde de la menace cyber : l’attaque ne cherche plus nécessairement à forcer une infrastructure informatique. Elle peut simplement chercher à convaincre un être humain.
Demain, le danger ne sera pas seulement de se faire voler ses identifiants. Ce sera aussi de croire reconnaître son interlocuteur.
Face à cette évolution, la sensibilisation des collaborateurs devient aussi essentielle que la protection technique des infrastructures.
La téléphonie d’entreprise est devenue un système informatique à part entière. Pourquoi ne la sécurisons-nous pas comme tel ?
La téléphonie professionnelle a profondément changé.
Les standards traditionnels ont progressivement laissé place à la voix sur IP (VoIP), aux communications unifiées et aux solutions de téléphonie hébergées dans le cloud, notamment les plateformes UCaaS.
Cette transformation a apporté davantage de flexibilité, de mobilité et de collaboration.
Mais elle a également modifié la nature des risques.
Désormais, un système téléphonique peut être exposé à des tentatives de compromission de comptes, à l’interception de communications insuffisamment protégées, au détournement de lignes, à la fraude aux appels surtaxés ou encore à des attaques visant à interrompre les services.
Les téléphones professionnels, les applications de communication et les équipements réseau constituent autant de points d’accès potentiels.
Pourtant, dans de nombreuses organisations, la téléphonie demeure considérée comme un simple service technique, parfois géré indépendamment de la politique globale de cybersécurité.
C’est une erreur stratégique.
Un standard téléphonique connecté au réseau de l’entreprise n’est pas seulement un outil de communication. C’est aussi une infrastructure numérique qu’il faut défendre.
Et cette infrastructure transporte parfois les informations les plus sensibles de l’organisation : négociations commerciales, décisions stratégiques, échanges confidentiels, informations financières ou données personnelles.
Le véritable risque ? Une entreprise peut être compromise sans même s’en rendre compte.
Lorsqu’un logiciel malveillant bloque des ordinateurs, l’attaque devient immédiatement visible.
Mais que se passe-t-il lorsqu’un compte téléphonique est utilisé frauduleusement ? Lorsqu’un appel est redirigé à l’insu de son destinataire ? Lorsqu’un collaborateur divulgue des informations confidentielles à un faux interlocuteur ?
La compromission peut rester discrète.
Et c’est justement cette discrétion qui rend certaines attaques particulièrement dangereuses.
Les conséquences ne se limitent pas à une facture téléphonique anormalement élevée.
Elles peuvent toucher la confidentialité des échanges, la continuité de l’activité, la relation client et la réputation de l’entreprise.
Dans certains secteurs, une interruption des communications peut même paralyser des opérations essentielles.
Une entreprise qui ne maîtrise pas la sécurité de ses communications ne maîtrise pas totalement la sécurité de son activité.
La cybersécurité ne peut donc plus se limiter aux ordinateurs, aux serveurs et aux messageries électroniques.
Elle doit intégrer l’ensemble des canaux par lesquels l’information circule.
Il est temps de faire entrer la téléphonie dans les comités de cybersécurité.
Sécuriser la téléphonie professionnelle ne signifie pas uniquement installer un équipement supplémentaire ou choisir une solution réputée fiable.
Cela suppose de repenser les pratiques.
Les entreprises doivent commencer par identifier précisément leurs infrastructures téléphoniques, les accès administrateurs, les équipements connectés et les prestataires intervenant sur leurs communications.
Elles doivent également renforcer l’authentification des comptes, appliquer les mises à jour de sécurité, chiffrer les communications lorsque les technologies le permettent et surveiller les usages inhabituels.
Les procédures internes doivent, elles aussi, évoluer.
Une demande de virement formulée par téléphone, même avec une voix familière, ne devrait jamais suffire à déclencher une opération sensible sans vérification indépendante.
La formation des collaborateurs est indispensable. Car aucune technologie ne pourra compenser totalement une organisation qui continue de confondre familiarité et authenticité.
Enfin, la téléphonie doit être intégrée aux audits de cybersécurité, aux plans de continuité d’activité et aux stratégies de gestion des incidents.
Il ne s’agit plus d’opposer télécommunications et cybersécurité.
Il s’agit de comprendre qu’elles sont désormais indissociables.
La prochaine grande faille de cybersécurité ne sera peut-être pas dans votre ordinateur. Elle sera dans votre poche.
Nous vivons une époque paradoxale.
Jamais les entreprises n’ont autant investi dans leur protection numérique. Jamais elles n’ont disposé d’autant d’outils pour détecter les menaces.
Et pourtant, un simple appel peut encore suffire à contourner des dispositifs de sécurité particulièrement sophistiqués.
Parce qu’un téléphone inspire confiance.
Parce qu’une voix semble familière.
Parce que l’urgence pousse parfois à agir avant de vérifier.
La question n’est donc plus seulement de savoir si nos systèmes informatiques sont protégés.
Elle est de savoir si nos communications le sont réellement.
Nous avons passé des années à sécuriser les données que nous stockons. Il est désormais urgent de sécuriser celles que nous échangeons.
Car la prochaine cyberattaque ne commencera pas nécessairement par un clic sur un lien frauduleux.
Elle pourrait tout simplement commencer par : « Bonjour, c’est moi. Tu as deux minutes ? »
