Interview de Benjamin Oschmann - Responsable technique chez Lookout

Interview réalisée par Alain Establier lors des Assises de la Cybersécurité 2025

SDBR News : Quelle est l’actualité de Lookout ?

Benjamin Oschmann : Nous sommes toujours spécialisés sur la protection mobile mais l’actualité oblige à constater que les collaborateurs sont devenus une cible et que leurs appareils mobiles sont devenus le vecteur des attaques modernes. Ces dernières semaines, vous avez pu voir piratée un milliard de données de Salesforce, le logiciel de gestion de la relation client (CRM) : la cyberattaque a exploité la compromission de jetons OAuth utilisés par Salesloft Drift, un chatbot utilisant l’IA, intégré au CRM, pour dérober entre le 8 et le 18 août d’importantes quantités de données à des entreprises clientes de Salesforce : Google, Cloudflare, CyberArk, Proofpoint, Zscaler, Tenable, Elastic, Qualys, etc. Et puis il y a eu la cyberattaque sur les usines Jaguar Land Rover, qui a paralysé ce groupe automobile pendant des semaines à raison de 50 millions de livres de coût hebdomadaire, et bien d’autres.

Toutes ces attaques ont pour origine des groupes de hackers - Scattered Spider, Lapsus$ et ShinyHunters – qui utilisent tous le facteur humain pour pénétrer les entreprises cibles. Car le maillon faible reste toujours le facteur humain.

SDBR News : Comment opèrent-t-ils?

Benjamin Oschmann : Le mode opératoire de ces différents groupes d'attaquants est d'utiliser le facteur humain sur la partie mobile. Ils utilisent des attaques de social engineering via l'augmentation des attaques multi-vecteurs de phishing. C’est justement ce que Lookout met en avant. Ils utilisent du phishing non conventionnel, pas forcément par email mais plutôt par SMS, à l’aide de l'intelligence artificielle ; via aussi la recréation par l'intelligence artificielle de la voix de collaborateurs pour tromper des collègues et réussir à pénétrer dans le système Et ça marche !

SDBR News : Donc l'humain serait le risque majeur au-delà de la technologie?

Benjamin Oschmann : Exactement. Les entreprises ont beaucoup investi dans les équipements traditionnels, les PC et les serveurs, et ont mis en place des EDR, des XDR et des SOAR pour protéger tout cet écosystème. Et finalement, beaucoup n'ont pas forcément encore équipé leurs terminaux mobiles qui sont devenus le point faible. Or, dans beaucoup d'entreprises, tout le monde a un terminal mobile dans sa poche. Beaucoup d'entreprises ont mis en place du MFA (authentification multifacteurs) mais il n'y a pas forcément d’outils de sécurisation des terminaux mobiles. Donc ils deviennent effectivement le point faible.

SDBR News : Surtout que la génération des 30/40 ans fait tout avec son mobile…

Benjamin Oschmann : Peu importe la génération car, même chez les Exécutifs, il y a un usage extrêmement important du mobile. La plupart des dirigeants vont passer des appels, envoyer des SMS, être dans des boucles WhatsApp, où ils vont même partager des informations assez confidentielles. Et bien sûr nous avons aujourd’hui tous nos emails sur notre portable. C’est devenu finalement le deuxième ordinateur et, dans beaucoup de cas, l'équipement principal de communication en entreprise. Donc il faut protéger son Smartphone.

SDBR News : Avec Lookout ?

Benjamin Oschmann : Tout à fait. Lookout est là pour protéger tous les vecteurs de risque du mobile. Aussi bien les risques classiques des applicatifs que les risques de conformité. La directive européenne NIS2 va aussi englober le mobile dans sa définition. Donc les entreprises qui n'ont pas encore réfléchi à la problématique de la protection mobile vont devoir aborder ce sujet-là, sinon, elles ne seront pas forcément en conformité avec NIS2.

SDBR News : Le risque n’est-il pas qu’un collaborateur d’entreprise puisse rencontrer des applicatifs de la vie courante (ex: les horaires des bus à Monaco) avec son Smartphone d’entreprise qui est finalement dual?

Benjamin Oschmann : Effectivement, il y a plusieurs façons de déployer. Si ce sont des mobiles personnels, à fort usage personnel mais qui vont utiliser des outils de l’entreprise, ils ne permettront pas à l’entreprise de s'assurer de leur conformité, c'est-à-dire de savoir si le téléphone a été compromis avant d'accéder aux données de l'entreprise. Le fait d'avoir une solution comme Lookout Mobile Endpoint Security (MES) permet de s'assurer, au sein de l'entreprise, de récupérer la visibilité sur la conformité des terminaux, qu'ils soient gérés par l'entreprise ou pas. Donc aussi pour les terminaux qui sont à double usage, avec une partie professionnelle et une partie personnelle, Lookout MES va permettre de donner la visibilité sur le container professionnel et sur la partie personnelle. Nous protégeons déjà du phishing* mais nous allons plus loin avec l’annonce récente de l’intégration de l’intelligence artificielle dans notre solution pour lutter contre le smishing* et repérer les sms suspects avec Smishing AI.

Le risque est multifacteurs sur mobile. 77% des entreprises ont subi des attaques de phishing depuis 6 mois: multiplication des SMS malveillants générés par IA, attaques de phishing et fraudes au président*, etc.

SDBR News : N’y a t-il pas aussi un problème d’information des populations ?

Benjamin Oschmann : Pour mieux se protéger, il faut évidemment éduquer au maximum les gens sur le risque mobile. On voit bien que les employés n'ont pas forcément les mêmes réflexes face à un mail et face à un SMS, selon l’endroit où ils se trouvent et selon le moment de la journée. Je n'aurai pas forcément le même niveau d'attention et de perception du risque en plein milieu de ma journée, dans la rue, dans le métro ou dans le train.

Mais le plus préoccupant reste ce que révèle une récente enquête mondiale menée par Lookout, auprès de plus de 700 responsables en cybersécurité, qui met en lumière un décalage préoccupant entre la perception et la réalité en matière de préparation face aux menaces actuelles.

SDBR News : Que dit cette enquête** ?

Benjamin Oschmann : 96% des dirigeants interrogés affirment avoir confiance dans la capacité de leurs collaborateurs à repérer une tentative de phishing sur mobile. Pourtant, plus de la moitié ont déclaré avoir subi des incidents liés à des arnaques par usurpation d’identité de dirigeants, via SMS ou appels vocaux – des attaques ayant entraîné des pertes financières ou la divulgation de données sensibles. Et bien que plus de 75% des organisations aient été confrontées à au moins une attaque de phishing sur mobile au cours des six derniers mois, seule la moitié des répondants se disent réellement préoccupés par ce risque. Pire encore, plus de la moitié des incidents liés à l’ingénierie sociale passent inaperçus ou ne sont pas signalés, créant ainsi un angle mort critique dans la posture de sécurité des entreprises. Or l’ingénierie sociale figure parmi les tactiques les plus redoutables lorsqu’il s’agit de cibler les employés via leurs appareils mobiles…

* Le phishing est une méthode de cyberattaque qui tente de tromper les victimes en les incitant à cliquer sur des liens frauduleux inclus dans des e-mails.

Le smishing ressemble au phishing, sauf qu’il se présente sous la forme d’un message texte (SMS). Un texte de smishing contient souvent un lien frauduleux qui conduit les victimes vers un formulaire ou un site Web utilisé pour voler leurs informations

Le vishing : les appels téléphoniques ou les messages vocaux frauduleux relèvant de la méthode d’attaque par hameçonnage vocal.

La fraude au président est une forme de cyberattaque dans laquelle des cybercriminels se font passer pour le PDG ou d'autres cadres dirigeants.

**Les données présentées dans ce rapport proviennent de l’institut d’études indépendant Censuswide, qui a réalisé l’enquête en juin 2025. Pour en savoir plus sur la manière dont Lookout aide des milliers d’organisations et leurs collaborateurs à se protéger contre les menaces ciblant les environnements mobiles, rendez-vous sur : https://fr.lookout.com