Une centaine de questions, 43 appels téléphoniques et une finale sous tension positive. Au Hackfest de Québec, j’ai décroché la deuxième place du concours de Social Engineering. Fin octobre 2026, j’ai participé pour la 7ème fois au Social Engineering CTF du Hackfest de Québec, une compétition où vingt concurrents s’affrontaient autour d’un exercice de renseignement et de manipulation téléphonique. Au programme : 28 entreprises, un rapport OSINT à constituer, des centaines de recherches et trente minutes pour obtenir un maximum d’informations auprès de véritables employés. Pour m’accompagner, j’avais développé plusieurs outils : un annuaire intelligent, un synthétiseur d’ambiances sonores et une IA maison capable de réagir aux objections. Résultat : une deuxième place et une conviction renforcée. Les outils ne remplacent pas la compréhension de l’humain. Une semaine pour enquêter, trente minutes pour convaincre Mes cinq outils pour transformer le renseignement en conversation Changer de personnage pour atteindre la finale Deuxième place, 43 rappels et une leçon sur l'humain Une semaine pour enquêter, trente minutes pour convaincre Tout commence une semaine avant le Hackfest. Pas de salle obscure, pas de clavier qui crépite, pas de piratage spectaculaire. Juste un document à remplir. Un rapport de reconnaissance comprenant une longue série de questions sur des entreprises parmi lesquelles Decathlon, Ikea, Air Canada ou encore Home Depot. Au total, 28 organisations figurent dans le périmètre de la compétition. Nous sommes vingt concurrents. Je n’ai pas choisi ma cible. Je suis encore plus joueur que ça. J’ai demandé au jury de m’attribuer ma premiére cible. Et les questions ont parfois de quoi faire sourire : « Existe-t-il un contrat de lutte antiparasitaire ? » ; « Quelle entreprise gère les distributeurs automatiques ? » ; « Quels jours les poubelles sont-elles ramassées ? » ; « L’entreprise dispose-t-elle d’une cafétéria ? » … Vous retrouverez mes outils et les 100 questions SE, dans la boîte à outils de ZATAZ. Et ma préférée, presque archéologique : « Les employés peuvent-ils encore consulter du contenu Flash ? » Derrière ces interrogations apparemment anodines se cache une logique redoutable. Connaître le prestataire qui intervient dans un bâtiment, les horaires d’une livraison ou les habitudes du personnel permet de comprendre le fonctionnement d’une organisation. Une petite information, isolée, ne vaut parfois rien. Reliée à dix autres, elle peut devenir une véritable mine de renseignements. Chaque réponse doit être justifiée. Pas question d’affirmer sans preuve. Il faut fournir les sources, les références, les éléments permettant de vérifier les découvertes. Même exigence pour les numéros de téléphone. Impossible d’appeler n’importe qui. Les coordonnées doivent être documentées dans le dossier de reconnaissance. De mon côté, je décide de laisser les intelligences artificielles commerciales et les outils automatisés d’OSINT de côté pour cette phase de recherche. Ils savent aspirer, corréler, classer. Mais je veux privilégier un autre aspect du renseignement : comprendre les comportements humains, les contextes et les petites informations qui passent inaperçues. Vidéos, enregistrements audio, publications professionnelles, échanges accessibles publiquement… Je multiplie les sources et les recoupements. Il faut lire, écouter, comparer, vérifier. Il faut parfois s’intéresser à une conversation, un vlog aux dix vues apparemment insignifiants pour découvrir une information qui permettra de répondre à une question. Au terme de cette première étape, j’ai trouvé environ 95 % des réponses. C’est encourageant, puisque ce dossier représente la moitié de l’évaluation. Mais l’autre moitié va se jouer au téléphone. L’heure de passage est tirée au sort. Or, appeler à 8 heures du matin, à midi ou à 15 heures, ce n’est pas la même histoire. F*ck ! Je tombe sur la pause déjeuner. Certains employés disposent de quinze petites minutes pour manger. Autant dire que discuter avec un inconnu ne figure pas au sommet de leurs priorités. Les appels sont laborieux. Je cherche mes mots (Anglais, Québécois, Français), je tente de retenir l’attention, je sens les occasions passer. Les trente minutes réglementaires défilent beaucoup trop vite. Finalement, je m’en sors de justesse. Suffisamment pour poursuivre l’aventure. Direction les demi-finales, puis la finale. Mes cinq outils pour transformer le renseignement en conversation Pour préparer cette compétition, je ne me suis pas contenté d’accumuler des informations. J’ai également développé cinq outils destinés à m’accompagner pendant les échanges téléphoniques. Des outils que j’offrirai en cours ou lors d’ateliers cyber. Car une chose est de posséder un renseignement. Une autre consiste à savoir l’utiliser au bon moment, face à une personne qui peut refuser de répondre, s’interroger sur votre identité ou simplement raccrocher. Mon premier outil ressemble à un annuaire. Mais un annuaire un peu particulier. Il ne se contente pas d’afficher des numéros de téléphone. Il permet d’associer des coordonnées à des personnes, à des fonctions et à des services précis. Son intérêt apparaît lorsqu’un appel n’aboutit pas comme prévu. Dans un annuaire classique, l’histoire s’arrête généralement là. Dans le mien, cette réponse ouvre d’autres possibilités. L’outil me permet d’identifier les contacts associés au service, les interlocuteurs susceptibles de connaître le sujet ou les coordonnées complémentaires déjà découvertes. Il organise les possibilités de rebond en temps réel. Je peux ainsi garder une vision des relations entre les personnes, leurs fonctions et les services, sans perdre de temps à rechercher mes notes au milieu d’une conversation. Fini le temps des post-it Ma finale remportée en 2024… et mes scénarios collés sur la cabine ! Toutes les coordonnées utilisées sont issues de sources ouvertes et doivent pouvoir être justifiées. Aucun numéro sorti du chapeau, aucune base de données mystérieuse. Fuites de données, piratages, arnaques : recevez l’essentiel sur votre téléphone, gratuitement et sans pub. L'objectif n'est pas d'obtenir davantage de numéros. C'est de comprendre qui fait quoi, qui connaît qui et comment circule l'information dans une organisation. Mon deuxième outil est beaucoup plus sonore. Un synthétiseur d'ambiances, comprenant une cinquantaine de fichiers MP3. Mes étudiants connaissent bien ce dispositif. On y trouve notamment des pleurs de bébé, un collègue qui semble faire un malaise, des alarmes incendie et différentes situations sonores du quotidien. Parce qu'une conversation téléphonique ne repose pas uniquement sur les mots. Le bruit de fond participe à la perception d'une situation. Il peut influencer l'attention, introduire une émotion, suggérer un environnement particulier ou modifier la manière dont une personne interprète ce qu'elle entend. Un bébé qui pleure peut évoquer un parent débordé. Une alarme peut suggérer une situation d'urgence. Une personne qui semble en difficulté peut déclencher un réflexe d'assistance. Dans un exercice de Social Engineering, ces ambiances permettent d'illustrer à quel point notre cerveau construit spontanément une histoire à partir de quelques signaux. Nous ne croyons pas uniquement ce que quelqu'un nous dit. Nous interprétons aussi ce que nous pensons entendre autour de lui. C'est précisément ce mécanisme que je présente à mes étudiants. Un environnement sonore crédible ne constitue jamais, à lui seul, une preuve de la réalité d'une situation. Mon troisième outil est plus technologique. Cette fois, j'ai recours à une intelligence artificielle maison. Non pas pour produire automatiquement mon dossier OSINT, mais pour m'assister pendant les échanges. Elle fonctionne comme un moteur de contextualisation et de réponses aux objections. C'est une réponse légitime. Et même plutôt rassurante du point de vue de la sécurité. Mon outil peut alors rechercher, dans les renseignements que j'ai préalablement collectés, les éléments de contexte susceptibles d'éclairer cette objection. Qui, quoi, comment de l'objection ! Il exploite des informations provenant exclusivement de sources ouvertes : forums, vidéos, contenus audio, publications et autres documents publics. Il les restitue en temps réel pour m'aider à comprendre la situation et à adapter mon discours. Autrement dit, l'intelligence artificielle ne remplace pas ma recherche. Elle me permet d'exploiter plus rapidement des informations que j'ai moi-même identifiées et vérifiées. Je ne veux pas qu'une machine invente une réponse convaincante. Je veux qu'elle retrouve des éléments documentés, contextualisés, utilisables immédiatement. Cela reste un outil d'assistance. Il ne décide pas de la conversation à ma place. Le ton, le rythme, les silences, les hésitations et les réactions de mon interlocuteur demeurent essentiels. Et aucun logiciel ne peut garantir la lecture parfaite d'un comportement humain. Ce dispositif met aussi en évidence une difficulté croissante pour les entreprises. Un interlocuteur malveillant peut désormais mobiliser instantanément des renseignements publics pour donner à son discours une apparence de familiarité. L'information n'a pas besoin d'être secrète pour devenir dangereuse. Il suffit parfois qu'elle soit utilisée au bon endroit et au bon moment. Ces trois outils (je ne présente les autres que dans un cadre précis, comme mes ateliers) partagent finalement la même logique. Ils sont construits autour de l'humain, et non l'inverse. L'annuaire m'aide à comprendre les relations professionnelles. Le synthétiseur illustre la puissance du contexte sonore. Mon IA maison accélère la restitution des informations disponibles. Mais aucun des cinq outils ne compose, à lui seul, une conversation crédible. Changer de personnage pour atteindre la finale Shane, l'organisateur, double vainqueur du CTF de Social Engineering de la DEF CON à Las Vegas, est aussi celui qui m'enseigne cette discipline depuis bientôt 10 ans (cela fait 20 ans que je travailler sur ce sujet). Nouvelle entreprise tirée au hasard. Nouvel horaire. Visiblement, le sort a décidé que je devais devenir spécialiste des pauses déjeuner québécoises. Je pense que mon petit ventre rond est un message pour 'sieur "Hasard" :) Mais j'ai compris quelque chose pendant les premières épreuves. Les prétextes classiques, comme se présenter comme un membre du service informatique ou un salarié ayant besoin d'aide, ne suffisent pas toujours. Je construis un personnage : celui d'un syndicaliste chargé de finaliser un sondage interne concernant des revendications salariales, alors que des discussions sur les rémunérations doivent réellement avoir lieu dans les jours suivants. Depuis mon arrivée, je me suis plongé dans la presse locale. Dix jours de lecture du Journal de Québec, du Journal de Montréal et des Affaires. (vous comprenez mieux pourquoi il y a eu moins de contenus sur zataz et les réseaux sociaux ces derniéres semaines.) J'ai suivi les débats politiques, les prises de position des élus, les préoccupations économiques et les discussions sur les relations entre le Québec et l'Europe ou la régulation du numérique (la loi c-34 par exemple). L'objectif n'est pas seulement de connaître l'actualité. Il est de comprendre les mots employés, les références culturelles, les préoccupations des salariés. Pour convaincre quelqu'un, il faut d'abord comprendre son environnement. Il devient beaucoup plus simple de retenir l'attention lorsqu'on connaît les sujets qui occupent réellement les conversations. En finale, nous disposons de cinquante minutes. Vingt minutes pour réunir des renseignements, avec l'aide du public, puis trente minutes pour téléphoner. Les spectateurs deviennent nos alliés. Ils recherchent les éléments demandés, notamment des coordonnées téléphoniques, que nous pouvons ensuite exploiter pendant les appels. Je tiens d'ailleurs à remercier l'ensemble des spectateurs, nombreux, à avoir donné un coup de mains à toutes et tous les concurrent.e.s. C'est aussi à ce moment que l'organisation préalable des informations prend tout son sens. Avec seulement vingt minutes de préparation, impossible de tout recommencer à zéro. De tout connaitre par coeur. Il faut savoir que j'apprends par coeur l'ensemble des informations afin qu'elles soient naturelles dans ma tête, dans ma bouche. Le questionnaire est particulièrement fourni. Il faut notamment découvrir : « Quel VPN l'entreprise utilise-t-elle ? » ; « Dispose-t-elle d'un intranet ? » ; « Quelle version de son antivirus est installée ? » ; Etc. Et un objectif autrement plus délicat : convaincre un employé de consulter une adresse Internet proposée pendant la conversation. Sur les 67 objectifs à atteindre pour la finale, je parviens à obtenir 39 réponses directement auprès de mes interlocuteurs. Certaines questions rapportent 50 points, d'autres 5. Pas auprès d'une intelligence artificielle. Je ne révélerai pas les entreprises dont les salariés ont été les plus bavards. En revanche, une rencontre mérite d'être racontée. Un Français, superviseur, particulièrement sûr de lui. Le profil du responsable qui aime rappeler son statut, son parcours et sa capacité à maîtriser toutes les situations. Une assurance presque caricaturale. Il répond à plusieurs questions. Puis vient le moment de lui proposer une adresse Internet. Pourtant, il vient de suivre une formation à la cybersécurité trois semaines auparavant. Il va le dire en direct, devant les spectateurs ! Sa justification restera l'un de mes souvenirs préférés : « Je l'ai tapée car il y a le nom de mon entreprise, sinon je ne tape rien ! » Il pense avoir appliqué les bons réflexes. Il estime avoir identifié un signe de confiance. Mais ce signe, la présence du nom de son entreprise dans une adresse, ne garantit absolument rien. D'autres conversations m'ont marqué pour des raisons différentes. Certains employés semblent avoir davantage retenu la peur vendues dans leurs formations de sensibilisation. Ils discutent, donnent des informations concernant leur VPN ou leur accès à l'intranet en télétravail. Puis, soudain, réalisent qu'ils viennent peut-être d'en dire trop. Ces réactions interrogent directement l'efficacité de certaines formations. Répéter qu'il ne faut jamais communiquer d'informations ne suffit pas. Il faut apprendre à reconnaître les situations ambiguës, à vérifier l'identité d'un interlocuteur, à interrompre une conversation sans attendre le dernier moment. Il y a des rencontres et des phrases qui vous accompagnent toute une vie. Je repense souvent à un échange avec Kevin Mitnick, il y a bientôt dix ans, lors de son passage à Lille, dans les Hauts-de-France. Au détour de notre conversation sur le Social Engineering, il m'avait lancé cette phrase que je n'ai jamais oubliée : "ou "know, Damien, the hardest part isn't talking to them, it's listening to them breathe!" - « Tu sais, Damien, le plus compliqué, ce n'est pas de leur parler, c'est d'entendre leur respiration ! » Sur le moment, cette réflexion m'avait marqué. Avec les années et les expériences, j'en mesure encore davantage la portée. Au téléphone, les mots ne racontent pas tout. Il y a les silences, les hésitations, les changements de rythme, les respirations qui s'accélèrent ou les pauses qui s'éternisent. Autant de signaux à écouter, sans jamais prétendre pouvoir lire avec certitude dans les pensées de son interlocuteur. Et pendant ces trois jours de compétition au Hackfest de Québec, cette petite phrase de Kevin Mitnick n'a cessé de me revenir en mémoire. Les conseils de Shane ont renforcé certaines de mes techniques. Car dans le Social Engineering, savoir parler est une compétence. Savoir écouter en est une autre. La cybersécurité n'est pas une compétition entre celui qui sait et celui qui ignore. C'est aussi une question de contexte, de confiance et de réflexes. Et pour pousser la pression encore plus loin, Shane avait prévu un dispositif redoutable : nous brancher à un détecteur de mensonges et à un moniteur cardiaque pendant nos appels ! Chaque respiration, chaque montée de stress, chaque accélération du cœur était surveillée en temps réel. Impossible de cacher la tension derrière une voix assurée. Et là, surprise : le cœur de l’un des concurrents s’est emballé jusqu’à 155 battements par minute ! Le tout, sans courir un marathon, simplement en décrochant un téléphone ! Deuxième place, 43 rappels et une leçon sur l'humain Je termine derrière une concurrente magnifiquement efficace, au terme de trois jours où les autres participants ont démontré de remarquables capacités d'adaptation. Une autre leçon se dessine : le Social Engineering est aussi un travail collectif. La qualité des recherches, la circulation des renseignements et la complémentarité des compétences font souvent la différence. Une compétition où concurrentes et concurrents se sont entraidés. Pas de chasse à l'égo, à la petite phrase qui finira sur une plaquette marketing. S'aider, comprendre, tester, rate, recommencer ! Les véritables escrocs qui pratiquent l'arnaque téléphonique organisée, ces « allôteurs », l'ont compris depuis longtemps. Ce concours m'a également permis de mesurer l'évolution des moyens disponibles. Il y a quelques années, mener ce type d'exercice nécessitait surtout de la documentation, des notes et une bonne capacité d'improvisation. Aujourd'hui, des outils peuvent faciliter la recherche d'un interlocuteur, l'organisation de renseignements publics, l'analyse d'une objection ou la restitution d'informations au cours d'une conversation. Les scénarios sonores rappellent, de leur côté, que les mécanismes psychologiques les plus anciens restent parfaitement d'actualité. Je ne vous parle même pas de l'odeur et autres élèments exploitables en "physique". La technologie progresse. Les ressorts humains, eux, changent beaucoup moins vite. Mais mon histoire ne s'arrête pas au classement. Pendant les trois jours de compétition, j'ai appelé 43 personnes. Pour leur expliquer le contexte, préciser ce qui venait de se passer et les rassurer. J'ai cette démarche depuis mon premier CTF. Derrière chaque appel, il y avait une personne qui travaillait, faisait son métier et n'avait pas nécessairement conscience de participer à un exercice de manipulation. Une dernière réaction m'a fait éclater de rire : « Ben voyons donc, j'me suis fait pogner ! J'étais tellement content de vous dire non et de penser vous avoir piégé. J'ai-tu été assez colon, moi là ! » Cette phrase résume presque toute l'expérience. On peut avoir refusé une demande et avoir pourtant communiqué plusieurs renseignements utiles. On peut avoir suivi une formation et mal interpréter un indice. On peut être parfaitement compétent dans son métier et se laisser entraîner dans une conversation bien préparée. On débute par un barbecue, un chalet, la péche et on finit par donner ses accés. C'est aussi ce que je pratique dans mes formations (écoles ou entreprises). La sensibilisation ne devrait pas seulement expliquer ce qu'il ne faut pas faire. Elle devrait confronter les salariés à des situations réalistes, avec des interlocuteurs crédibles, des informations contextuelles exactes et des réactions parfois imprévisibles. Un salarié doit pouvoir dire qu'il ne sait pas, demander une vérification ou refuser de répondre sans avoir l'impression de manquer à ses obligations professionnelles. Et surtout, il doit comprendre pourquoi un appel parfaitement banal peut constituer une tentative de collecte de renseignements. Car le véritable piège n'est pas nécessairement une demande spectaculaire, un faux courriel grossier ou une urgence invraisemblable. Il peut commencer par une conversation sympathique, une référence à l'actualité locale, une question sur un service ou une information que l'on juge sans conséquence. Je repars du Québec avec une deuxième place, beaucoup d'enseignements et une certitude renforcée. En cyber intelligence, le renseignement le plus précieux n'est pas toujours celui qu'un outil découvre. C'est parfois celui qu'un humain accepte de partager, sans même comprendre pourquoi on le lui demande. Chercheur / Journaliste / Conférencier / Enseignant Damien Bancal est journaliste spécialisé en cybersécurité, expert en cyber intelligence, enseignant, conférencier, auteur de 20 livres et fondateur du projet ZATAZ en 1989. Depuis plus de 30 ans, il enquête sur la cybercriminalité, les fuites de données, le piratage informatique et la protection de l’identité numérique. Réserviste citoyen de la Gendarmerie nationale au sein de l’UNCyber, il a remporté le CTF Social Engineering du HackFest 2024 après avoir été finaliste de la compétition nord-américaine en 2023. Lauréat du Prix spécial du livre du FIC / InCyber 2022, son travail a notamment été relayé par le New York Times. Il figure également parmi les 500 personnalités tech les plus influentes recensées par Tyto PR. Le site ZATAZ.COM s’est imposé comme une référence dans l’actualité de la cybercriminalité, du piratage informatique, des violations de données et de la défense numérique. À travers ses enquêtes, ses analyses et ses alertes, Damien Bancal contribue activement à mieux informer sur les menaces qui touchent les particuliers comme les organisations. Damien Bancal poursuit son engagement à travers ses activités journalistiques, ses conférences, ses ateliers, ses cours et sa société veillezataz.com, lancée en 2022. Crédit Mutuel Arkéa : 133 millions de dollars détournés ? Ce site utilise Akismet pour réduire les indésirables. Découvrez comment les données de vos commentaires sont traitées. LA VEILLE CYBER QUI VA DROIT À L'ESSENTIEL. Chaque vendredi, recevez les alertes cyber, brèves inédites et menaces émergentes de ZATAZ. S'informer, c'est déjà se cybersécuriser. Vos données ont-elles fuité ?Un service Pro de ZATAZ DERNIÈRES ACTUALITÉS ●jeudi 5 novembre 2026 à 03:00 CTF Social Engineering : trois jours pour piéger l’humainCrédit Mutuel Arkéa : 133 millions de dollars détournés ?TikTok, une passerelle vers les casinos illégaux ? Meilleure formation Data Analyst en 2025 : notre sélection des programmes les plus solides 1 Français sur 4 piégé par une escroquerie sentimentale en ligne Virus sur ton ordinateur pendant que tu visitais un site pour adulte Veni, Vidi, Vinci : piratage pour une manipulation boursière ?