Qu'est-ce qu'un IoH ?
Un Indicator of HUMINT Operation (IoH) est un signe observable qu'une personne est la cible — ou le relais — d'une opération d'ingénierie sociale en cours. C'est l'écho humain de l'IoC : certains praticiens lisent le même sigle comme un « indicateur de compromission humaine », et les deux désignent la même chose — les signaux, côté humain, d'une attaque en cours.
Un IoC vit dans une machine : une empreinte, une adresse IP, un processus suspect. Un IoH vit dans une interaction : une demande inhabituelle, une émotion fabriquée, un canal qui ne correspond pas à l'identité revendiquée. L'IoC est lu par un outil ; l'IoH est lu par un humain — et c'est précisément pour cela qu'il lui faut un framework.
Pourquoi les IoH comptent — et pourquoi le décompte ne suffit pas
Les indicateurs techniques sont largement binaires : une empreinte malveillante connue est malveillante. Les indicateurs humains, non. L'urgence, l'autorité ou un service rendu peuvent tous être parfaitement légitimes. Pris isolément, un seul IoH ne prouve rien et génère des faux positifs qui érodent la confiance.
Mais compter les signaux est tout aussi fragile : un seul signal décisif peut suffire, tandis que trois signaux faibles portant sur la même tactique ne prouvent pas grand-chose. HACT v1.0 remplace donc l'ancienne « règle des trois » par un score pondéré qui corrige ces deux angles morts.
Poids des signaux
| Niveau | Poids | Signification |
|---|---|---|
| Critique | 3 | Quasi-signature d'une opération — p. ex. isolement actif du canal de vérification, ou refus d'en changer. |
| Élevé | 2 | Signal fort, rarement anodin en contexte — p. ex. profil récent portant un historique dense et rétroactif. |
| Modéré | 1 | Signal contributif, ambigu isolément — p. ex. disponibilité permanente à toute heure, canal inhabituel. |
| Faible | 0,5 | Peu diagnostique seul ; significatif seulement en combinaison. |
Seuils de décision (fenêtre de 90 jours)
| Score cumulé | Niveau | Action |
|---|---|---|
| 0 – 2 | Base | Vigilance normale. Aucune action particulière. |
| 3 – 4 | Attention | Vérification standard : rappel indépendant sur un canal connu avant toute action sensible. |
| ≥ 5 | Suspension | Stop. Vérification complète par un canal indépendant avant TOUTE action financière, d'accès ou de données — aucune exception, ni hiérarchie ni urgence. |
Règles de correction
- Diversité plutôt que répétition. Comptez le premier IoH de chaque tactique à plein poids, les IoH suivants d'une même tactique à demi-poids. Une seule opération déclenche des signaux corrélés ; les additionner naïvement surestime la certitude.
- Coupe-circuit. Tout IoH Critique qui isole ou refuse le canal de vérification (refus d'un contrôle indépendant, exigence de secret avant une interaction clé) impose la Suspension à lui seul, quel que soit le total.
- Fenêtre de 90 jours. Cumulez le score sur les signaux observés sur une même personne ou un même contact en 90 jours, puis remettez à zéro.
- Orientation, pas preuve. Le score oriente une décision de vérifier. C'est une aide au tri, jamais une preuve de culpabilité.
IoC vs IoH
| Dimension | IoC — Indicateur de compromission (cyber) | IoH — Indicator of HUMINT Operation |
|---|---|---|
| Objet | Un système, un réseau, un fichier | Une personne et sa décision |
| Nature du signal | Artefact technique (empreinte, IP, domaine, clé de registre) | Indice comportemental / relationnel (urgence, autorité, secret) |
| Force du signal | Souvent forte, quasi binaire | Faible et contextuelle par nature |
| Lu par | Un outil (EDR, SIEM, antivirus) | Un humain, idéalement formé |
| Règle de décision | Une seule correspondance peut déclencher un blocage | Score pondéré des signaux convergents (Critique 3 / Élevé 2 / Modéré 1 / Faible 0,5) |
| Exemple | Connexion à une adresse IP de C2 connue | Une demande de virement « urgente et confidentielle » depuis un nouveau canal |
IoH courants
Aucun n'est suspect à lui seul. Leur valeur tient à leur convergence, pondérée, au sein d'une même interaction.
- Urgence fabriquée Une échéance impérative qui retire le temps de réfléchir ou de vérifier.
- Autorité + secret Un ordre présenté comme venant du sommet, « à garder entre nous ».
- Canal incohérent Une demande sensible arrivant par un canal inhabituel ou nouveau.
- Vérification refusée De la résistance ou de l'agacement quand on propose un rappel ou un second contrôle.
- Contournement du process Une demande qui saute le circuit de validation normal « juste cette fois ».
- Pression émotionnelle Peur, flatterie, culpabilité ou excitation instillées dans l'échange.
- Écart identité–contexte Identité revendiquée incohérente avec le ton, le moment ou les connaissances.
- Hameçon de réciprocité Un petit service rendu d'abord, pour rendre le refus inconfortable.
De l'indicateur à la détection
Chaque technique HACT porte l'IoH qu'elle produit typiquement et une contre-mesure. La détection n'est donc pas affaire de repérer une phrase habile, mais de pondérer les signaux convergents et, au-delà du seuil, de faire passer l'interaction de la confiance à la vérification.