Arnaque au honeytrap : la définir et la repérer

Honeytrap ou honeypot : quelle différence ?

Les deux termes sont sans cesse confondus, et la différence compte.

Un honeypot est un outil défensif. Les équipes sécurité déploient un système ou un compte d’apparence vulnérable comme leurre pour attirer les attaquants, étudier leurs méthodes et détecter tôt les intrusions. C’est vous qui l’installez pour protéger un réseau (voir comment les honeypots protègent votre réseau).

Un honeytrap est une tactique offensive visant une personne. Pas de serveur leurre. L’appât est une fausse relation humaine, et la cible votre jugement. L’un est un piège tendu aux attaquants ; l’autre, un piège qu’un attaquant vous tend. S’il s’agit d’un « système », c’est un honeypot ; s’il s’agit d’un sentiment, c’est un honeytrap.

Comment fonctionne un honeytrap ?

La plupart des honeytraps suivent un schéma type, qu’ils visent l’argent ou les données.

1. Sélection. L’attaquant choisit une cible : parfois au hasard via des approches de masse sur applis de rencontre et réseaux, parfois exprès, comme un employé ayant accès à la finance ou à la propriété intellectuelle.
2. Contact et mise en confiance. Il ouvre par une approche chaleureuse et personnalisée et crée un lien sur des jours ou semaines. L’intimité avance souvent trop vite, car l’élan émotionnel neutralise l’esprit critique.
3. Confiance et isolement. Il devient un confident et vous dissuade souvent d’impliquer amis, famille ou collègues qui pourraient douter.
4. La demande. Le vrai but apparaît enfin : un virement pour une « urgence », un « placement » crypto, une photo intime, un document de travail ou votre identifiant « juste pour aider ».
5. Escalade ou extorsion. Si vous cédez, les demandes croissent. Si vous avez livré quelque chose de compromettant, il peut servir au chantage.

Au travail, le même scénario peut amorcer une compromission d’e-mail professionnel ou livrer les identifiants d’une campagne de spear phishing. La relation est le vecteur ; la brèche, la destination.

Comment repérer un honeytrap ?

Aucun signe isolé ne prouve rien, mais les honeytraps partagent les mêmes comportements. Guettez le schéma, pas un seul signal.

• La relation reste obstinément en ligne. Il y a toujours une raison d’éviter une rencontre ou un appel vidéo : voyage, travail offshore, caméra cassée. Un visage caché est le signe le plus fort.
• L’intimité monte vite. Des déclarations d’amour ou de confiance en quelques jours, de quelqu’un jamais vu en personne, sont une manipulation, pas une romance.
• Son histoire ne résiste pas à une recherche. Une recherche inversée de ses photos montre quelqu’un d’autre, ou son profil est maigre, récent et pauvre en détails vérifiables. Les attaquants réutilisent des images volées, comme les attaques par usurpation des noms de confiance.
• Tout converge vers une demande. Tôt ou tard, la conversation glisse vers l’argent, la crypto, les cartes cadeaux, des images intimes ou un accès au travail.
• Urgence et secret arrivent ensemble. Une crise soudaine que vous seul pouvez régler, avec la pression de la garder entre vous, est le coup final.

Pour une liste plus large pour distinguer vrais contacts et faux, voyez comment repérer les faux e-mails et arnaques.

Comment vous protéger, vous et votre organisation ?

Un honeytrap attaque la confiance, pas la technologie : les défenses sont donc surtout procédurales et humaines.

• Vérifiez l’identité par un autre canal. Exigez un appel vidéo en direct et vérifiez ses dires vous-même avant tout échange d’argent ou d’informations. Un personnage invérifiable n’est pas réel.
• Sortez l’argent du registre émotionnel. N’envoyez jamais de fonds, de crypto ou de cartes cadeaux à quelqu’un jamais rencontré, quelle que soit l’urgence.
• Rendez les règles de sécurité intangibles. Au travail, aucune relation, même amicale, ne justifie de contourner les validations de paiement, partager des identifiants ou envoyer des fichiers sensibles. Une règle qu’on peut charmer n’est pas un contrôle.
• Formez à l’angle humain. Les leurres sentimentaux et relationnels ont leur place dans la sensibilisation à la sécurité aux côtés de l’hameçonnage, car les attaquants mêlent de plus en plus les deux.
• Limitez et surveillez les accès. Avec le moindre privilège, un seul employé compromis ne peut livrer toute l’entreprise, et la surveillance repère tôt les mouvements de données inhabituels.

Repérer un honeytrap : difficultés courantes

La personne semble réelle : comment en être sûr ?

Vérifiez par des canaux qu’elle ne contrôle pas. Faites une recherche inversée de ses photos, demandez un appel vidéo spontané et vérifiez vous-même toute organisation ou fonction revendiquée. Une vraie personne accepte une vérification raisonnable ; un personnage de honeytrap esquive, culpabilise ou disparaît.

Ça a commencé par un échange pro, pas une romance

C’est de plus en plus courant. Les honeytraps visant les entreprises peuvent commencer par un recruteur flatteur, un nouveau contact sympa ou un pair admiratif sur un réseau pro, sans romance explicite. Le signe reste le même : la chaleur d’abord, puis une demande qui vous pousse à enfreindre une règle ou à déplacer de l’argent.

J’ai déjà partagé photos ou infos : que faire ?

Coupez tout contact et ne payez aucune demande d’extorsion : payer en attire d’autres. Gardez les preuves, signalez à la plateforme et aux forces de l’ordre, et si des systèmes de travail sont exposés, prévenez tout de suite votre équipe sécurité pour réinitialiser les identifiants et guetter les abus. Rapidité et honnêteté limitent bien plus les dégâts que le silence.

À lire aussi

• Attaques d’ingénierie sociale courantes et comment s’en protéger
• Spear phishing : définition
• Comment le BEC (compromission d’e-mail) menace-t-il votre entreprise ?