Vous avez déployé la MFA, segmenté les accès, durci vos politiques de mots de passe et équipé vos postes d’un EDR, mais savez-vous vraiment qui se cache derrière le compte que vous créez pour un nouveau collaborateur ? Pendant que les équipes IT et les RSSI concentrent leurs efforts sur la protection des comptes existants, une étape reste souvent traitée comme une simple formalité administrative : la création des identités et la remise des premiers accès. Avec la généralisation du recrutement à distance et la montée en puissance des deepfakes, cette étape est pourtant devenue un point d’attention à part entière.

Dans cet article, nous verrons pourquoi l’onboarding informatique se transforme en angle mort de la sécurité, en quoi les processus traditionnels ne suffisent plus, et comment Specops Secure Onboarding permet de vérifier l’identité d’un nouvel arrivant avant de lui remettre ses accès.

Faut-il repenser l’onboarding IT ? Autant répondre à la question principale dès maintenant : oui. Avec le télétravail, l’essor des deepfakes et la multiplication des usurpations d’identité, la création d’un compte et la remise des accès sont devenues une étape sensible. Un workflow d’onboarding moderne doit permettre de vérifier réellement l’identité du nouvel arrivant, notamment grâce à ce que l’on appelle la détection du vivant. On en parle dans la suite de cet article.

Cet article contient une communication commerciale pour Specops Software.

L’onboarding, un angle mort dans des SI pourtant bien protégés

La sécurité des identités a beaucoup progressé. L’authentification multifacteur s’est généralisée, la gestion des accès des comptes à privilèges s’est démocratisée, et de nouvelles briques apparaissent pour aller au-delà de la MFA en validant l’appareil utilisé pour se connecter. En comparaison, la porte d’entrée du système d’information reste étonnamment peu surveillée.

Mon raisonnement est le suivant : si une personne a été recrutée, c’est qu’elle a été vérifiée en amont par les ressources humaines. L’IT se contente alors de provisionner un compte Active Directory, de générer un mot de passe temporaire et de transmettre les accès. Cependant, ceci repose sur une hypothèse fragile, à savoir que la personne recrutée est bien celle qu’elle prétend être. En présentiel, cette hypothèse tient la route, mais avec le recrutement à distance, elle mérite d’être réexaminée. Surtout, les risques d’usurpation d’identité sont réels et plus nombreux.

Faux candidats, deepfakes et télétravail, une menace réelle

Le télétravail a normalisé un parcours entièrement dématérialisé : candidature en ligne, entretiens en visioconférence, signature électronique du contrat, puis livraison du matériel par transporteur. À aucun moment le nouvel arrivant ne rencontre physiquement un membre de l’entreprise. Cette fluidité, appréciable au quotidien, ouvre la voie à des actes malveillants qui étaient marginaux il y a peu.

Quand le candidat n’est pas celui qu’il prétend être…

Les outils d’IA générative permettent désormais de créer une identité crédible à moindre coût : profils professionnels synthétiques, curriculum vitae bien ficelés, et surtout deepfakes vidéo capables de tromper un entretien en visioconférence. Il y a beaucoup d’exemples là-dessus sur le Web. Le clonage de la voix complète la panoplie, à partir de quelques secondes d’enregistrement seulement.

Le cabinet Gartner estime que, d’ici 2028, un profil de candidat sur quatre dans le monde pourrait être falsifié. Dans une enquête menée auprès de 3 000 candidats, la même source rapporte que 6 % ont reconnu une forme de fraude à l’entretien, en se faisant passer pour quelqu’un d’autre ou en confiant l’entretien à un tiers.

Les motivations varient. Certains cherchent simplement à décrocher un poste pour lequel ils ne sont pas qualifiés. D’autres suivent une voie plus offensive : obtenir un accès légitime pour dérober des données, déployer un ransomware ou détourner des fonds. Un faux collaborateur qui franchit l’étape du recrutement démarre avec des identifiants valides, ce qui en fait une menace interne difficile à détecter : son activité est légitime (au moins dans un premier temps).

L’affaire KnowBe4, un cas d’école

Vous connaissez l’éditeur KnowBe4 ? Son histoire et ce qu’il a vécu illustrent parfaitement les risques évoqués dans cet article. Les faits remontent à juillet 2024, KnowBe4 a révélé avoir recruté sans le savoir un faux informaticien opérant pour le compte de la Corée du Nord. Le candidat avait utilisé l’identité volée d’un citoyen américain, complétée par une photo retouchée à l’aide de l’IA. Il avait passé avec succès quatre entretiens en visioconférence et l’ensemble des vérifications d’usage. Son passé n’était pas suspect non plus, puisque l’identité empruntée était authentique.

Le stratagème n’a été découvert qu’après l’envoi du poste de travail : la machine a commencé à charger un malware dès sa réception. Même si aucun système n’a été compromis, en particulier parce que le nouvel arrivant ne disposait au départ que de droits limités, c’est un cas réel. Cet incident rappelle deux choses au DSI :

• Un processus de recrutement sérieux ne garantit pas à lui seul l’identité réelle d’un candidat,
• Limiter un nouveau compte à des droits minimaux tant que l’identité n’est pas confirmée reste une sage décision.

Pourquoi les processus d’onboarding traditionnels ne suffisent plus

Le parcours d’onboarding classique a été pensé pour un monde où l’on connaissait la personne en face de soi et où l’IA n’est pas ce qu’elle est aujourd’hui. Désormais, trois de ces réflexes historiques deviennent des faiblesses.

• Le mot de passe temporaire

La pratique la plus répandue consiste à générer un mot de passe temporaire, puis à le communiquer par e-mail, par SMS ou par téléphone. Ce secret transite par des canaux peu sûrs, il peut être intercepté, réutilisé ou transmis à la mauvaise personne, et il repose souvent sur un modèle prévisible. J’ai déjà consacré un article complet à la manière d’intégrer un nouvel utilisateur sans créer de mot de passe temporaire, tant ce point constitue un maillon faible récurrent des procédures d’onboarding.

Le mot de passe temporaire à changer à la première connexion, c’est le strict minimum que l’on puisse espérer. Mais ce n’est pas suffisant. Et malheureusement, c’est toujours le même dans de nombreuses entreprises.

• Une identité supposée plutôt que vérifiée

Dans un onboarding traditionnel, l’IT ne vérifie pas l’identité, elle la présume. La validation manuelle repose au mieux sur un contrôle visuel lors d’un appel, sauf que c’est exactement ce qu’un deepfake vidéo est capable de contourner. Sans mécanisme fiable pour confirmer qu’une pièce d’identité est authentique et que la personne qui la présente est bien physiquement présente, la remise des accès s’appuie sur une confiance qui ne se vérifie jamais réellement.

On voit quelqu’un en appel vidéo, donc c’est rassurant. On se dit que c’est forcément la bonne personne. Mais ça, c’était avant, lorsque les deepfakes vidéos n’existaient pas.

• Le support informatique, cible privilégiée

Le parcours d’intégration d’un nouveau salarié est susceptible de multiplier les sollicitations du support informatique : compte à débloquer, mot de passe à réinitialiser, accès à accorder dans l’urgence du premier jour. Un attaquant qui usurpe l’identité d’un nouvel arrivant peut profiter de ce flou pour manipuler l’un de ses nouveaux collègues, d’autant que ce dernier ne connaît pas encore la personne (et je ne vous parle pas quand c’est un prestataire qui gère les accès). Ce risque n’est pas propre à l’onboarding, mais il y est exacerbé. Je l’ai détaillé dans un article dédié à la façon de sécuriser le helpdesk face aux attaques d’ingénierie sociale.

Specops Secure Onboarding, l’identité vérifiée avant les accès

Pour répondre à cette problématique et aux nouveaux risques, l’éditeur Specops Software propose une solution applicative nommée Specops Secure Onboarding. En réalité, il ne s’agit pas d’un nouveau produit isolé, mais d’un ensemble réunissant trois briques existantes complémentaires : First Day Password, Specops Verified ID et Specops Secure Service Desk. Chacun va jouer un rôle pour sécuriser les moments clés du parcours d’intégration d’un nouveau salarié.

La logique consiste à imposer une identité vérifiée avant toute création, activation ou modification d’accès. Le tout s’appuie sur Active Directory comme sur Microsoft Entra ID.

Note : Specops Secure Onboarding est une solution commerciale. Elle adresse la couche identité et accès de l’onboarding, elle ne remplace pas le travail de vérification mené en amont par les ressources humaines lors du recrutement, mais elle vient le compléter lorsque l’IT reprend la main.

Avant le premier jour, un mot de passe défini par le collaborateur

La première brique, First Day Password, supprime purement et simplement la transmission d’un mot de passe temporaire. L’IT envoie un lien d’enrôlement sécurisé au nouvel arrivant, qui définit lui-même son premier mot de passe Active Directory avant son arrivée. L’équipe informatique ne crée ni ne partage jamais d’identifiant, ce qui élimine le risque d’interception lié aux e-mails et aux SMS. Cette approche moderne dans la gestion du mot de passe du premier jour a déjà fait l’objet d’un tutoriel dédié sur First Day Password, pour ceux qui souhaitent en voir le fonctionnement en détail.

Le jour J, une identité confirmée par la biométrie

La deuxième brique, Specops Verified ID, ajoute une vérification d’identité au parcours. Le collaborateur scanne une pièce officielle (passeport, permis de conduire ou carte d’identité nationale) via l’application mobile Specops:ID, gratuite sur iOS et Android. La solution prend en charge plus de 16 000 documents officiels dans 254 pays et territoires, et analyse les zones lisibles par machine et les éléments de sécurité pour détecter les falsifications. Elle est donc compatible avec les documents français, mais pas que.

À cette vérification s’ajoute la liveness detection. L’application analyse en temps réel les mouvements du visage et des indices de profondeur pour confirmer que la personne est physiquement présente, et non représentée par une photo, une vidéo ou un masque. C’est précisément ce type de contrôle qui met en échec un deepfake. Les attributs extraits du document sont ensuite comparés à l’enregistrement de l’utilisateur dans Active Directory ou Microsoft Entra ID, afin de s’assurer que la personne est bien le titulaire légitime du compte. Specops indique par ailleurs que ses algorithmes sont pré-entraînés et n’exploitent pas les données des clients à des fins d’apprentissage, un point que je me devais de préciser à propos de la protection des données.

Cette même technologie de vérification peut d’ailleurs servir au-delà de l’onboarding, pour vérifier l’identité d’un utilisateur avec certitude avant d’agir sur son compte, lors d’une réinitialisation de mot de passe ou d’une récupération de compte.

Au support, aucune action sans vérification

La troisième brique, Specops Secure Service Desk, sécurise les interactions entre l’utilisateur et le support informatique. Elle empêche un technicien d’effectuer la moindre action sensible (réinitialisation de mot de passe, déverrouillage de compte, attribution d’accès) tant que l’identité de l’appelant n’a pas été confirmée. La vérification s’intègre nativement aux outils ITSM du marché comme ServiceNow et Jira, ce qui évite de créer un processus parallèle.

La logique reste la même sur tout le parcours : ne jamais agir sur un compte sans avoir confirmé qui se trouve à l’autre bout.

Ce que Secure Onboarding change pour les DSI

Pour un DSI, l’intérêt d’une telle approche ne se résume pas à disposer d’un gadget anti-deepfake. C’est applicable au niveau de l’architecture et de la matrice des accès : faire de l’identité vérifiée une condition préalable à l’ouverture des accès, au lieu d’un contrôle a posteriori. Ce déplacement du curseur réduit la surface d’exposition dès le premier jour, au moment où le nouveau compte est le plus difficile à corréler avec un comportement de référence.

Le deuxième bénéfice est la cohérence. Plutôt que d’empiler des contrôles isolés, Secure Onboarding applique la même exigence de vérification sur trois moments critiques, à savoir la création du mot de passe, la confirmation de l’identité et les interactions avec le support.

Il faut toutefois garder une lecture mesurée. La vérification de l’identité renforce la sécurité sur certaines actions bien spécifiques (un maillon dans une chaîne complète), mais elle ne dispense pas des autres bonnes pratiques : principe du moindre privilège et sensibilisation des équipes.

Conclusion

L’onboarding a longtemps été protégé par l’idée confortable que la personne recrutée était forcément la bonne. Le recrutement à distance et la banalisation des deepfakes (qui est directement liée à l’émergence de l’IA) ont fragilisé cette certitude. Repenser l’onboarding IT ne signifie pas soupçonner chaque nouvel arrivant (personne n’a parlé d’acheter un détecteur de mensonges), mais reconnaître que la remise des accès mérite un niveau d’exigence plus élevé.

En vérifiant l’identité par l’intermédiaire d’un document officiel et un contrôle par liveness detection, et en supprimant le mot de passe temporaire, une solution comme Specops Secure Onboarding replace la confiance là où elle doit être : sur une vérification réelle, et non sur une hypothèse.

Pour aller plus loin : découvrez la solution sur le site officiel Specops Secure Onboarding

Et vous, comment vérifiez-vous l’identité de vos nouveaux collaborateurs avant de leur ouvrir les accès ? Partagez vos pratiques et vos retours d’expérience dans les commentaires.