Ingénierie sociale et hameçonnage

L’ingénierie sociale s’attaque aux personnes plutôt qu’à la technologie. Au lieu de franchir des pare-feu, l’attaquant trompe une personne pour lui faire divulguer des informations, un accès ou de l’argent, en exploitant la confiance, la peur, la curiosité ou la serviabilité.

C’est souvent le moyen le plus facile d’entrer : pourquoi casser un mot de passe quand on peut convaincre quelqu’un de le donner ? Les êtres humains constituent fréquemment le maillon le plus faible de la sécurité.

L’hameçonnage est l’attaque d’ingénierie sociale la plus courante : des courriels ou messages frauduleux qui semblent provenir d’une source de confiance et incitent les victimes à cliquer sur des liens malveillants, à ouvrir des pièces jointes infectées ou à saisir leurs identifiants sur de faux sites.

Un courriel d’hameçonnage peut imiter votre banque ou votre service informatique, en créant un sentiment d’urgence pour vous pousser à agir avant de réfléchir. Il ratisse large et est envoyé à de nombreuses personnes à la fois.

Les variantes ciblées sont plus dangereuses. L’hameçonnage ciblé adapte le message à une personne précise en utilisant des informations la concernant, ce qui le rend beaucoup plus convaincant. Le ciblage des dirigeants vise des cadres importants comme les PDG.

Comme ces messages sont personnalisés et soigneusement préparés, ils sont bien plus difficiles à repérer qu’un hameçonnage générique et réussissent souvent là où les campagnes massives échouent.

L’hameçonnage ne se limite pas aux courriels. L’hameçonnage vocal utilise des appels téléphoniques, par exemple lorsqu’un faux agent d’assistance cherche à obtenir des mots de passe. L’hameçonnage par SMS utilise des messages texte contenant des liens malveillants.

Les attaquants utilisent plusieurs canaux, car les gens peuvent se méfier d’un courriel suspect tout en répondant volontiers à un appel téléphonique ou en touchant un lien dans un message texte, surtout si celui-ci semble urgent.

Le prétextage consiste à inventer un scénario crédible pour soutirer des informations, par exemple lorsqu’un attaquant se fait passer pour le support informatique et prétend devoir vérifier vos identifiants pour résoudre un problème. L’usurpation d’identité consiste à se faire passer pour une personne de confiance, en présence ou à distance.

Le contexte fabriqué baisse la garde de la victime et l’amène à répondre à des demandes qu’elle remettrait normalement en question.

Une partie de l’ingénierie sociale repose sur des moyens physiques. Le suivisme (ou entrée dans le sillage) consiste à suivre une personne autorisée à travers une porte sécurisée sans présenter de badge. L’observation par-dessus l’épaule consiste à regarder quelqu’un saisir un mot de passe ou un PIN.

La fouille de poubelles permet de récupérer des informations sensibles dans des documents et des appareils jetés. Ces exemples nous rappellent que la sécurité inclut la vigilance physique, et pas seulement les ordinateurs.

L’appâtage met en avant quelque chose de tentant, comme une clé USB portant l’étiquette « Paie » laissée sur un parking, dans l’espoir qu’une personne curieuse la branche et infecte son appareil.

Le donnant-donnant propose un avantage en échange d’informations ou d’un accès, par exemple un faux support technique qui promet son aide si vous lui accordez un accès à distance. Ces deux techniques exploitent le désir humain d’obtenir un avantage ou de recevoir de l’aide.

L’ingénierie sociale réussit en exploitant la psychologie : l’autorité (nous obéissons aux personnes qui semblent être aux commandes), l’urgence (nous agissons rapidement sous pression), la peur, la confiance et la serviabilité.

Reconnaître ces déclencheurs est la première défense. Lorsqu’un message vous pousse à agir immédiatement ou à contourner la procédure habituelle, cette pression est en elle-même un signe d’alerte qui mérite de vous faire marquer une pause.

Les meilleures défenses sont humaines et procédurales :

• Formation à la sensibilisation à la sécurité pour que les utilisateurs reconnaissent les attaques.
• Procédures de vérification, comme rappeler un numéro connu avant de donner suite à une demande.
• Authentification multifacteur, afin qu’un mot de passe volé ne suffise pas à lui seul.
• Une culture dans laquelle il est encouragé, et non sanctionné, de remettre en question les demandes suspectes.

Les signaux d’alerte comprennent une urgence inattendue, des salutations génériques, des fautes d’orthographe et de grammaire, des adresses d’expédition incohérentes ou inhabituelles, des liens dont la véritable destination diffère du texte affiché, ainsi que des demandes d’identifiants ou de paiement.

Passer le curseur sur un lien pour examiner son URL réelle avant de cliquer et vérifier les demandes inhabituelles par un autre moyen suffisent à bloquer la plupart des tentatives d’hameçonnage.

L’ingénierie sociale s’attaque aux personnes, et non aux machines, en utilisant l’hameçonnage (notamment l’hameçonnage ciblé, la fraude au président, le hameçonnage vocal et le hameçonnage par SMS), le prétextage, l’appâtage, le suivisme, et bien d’autres techniques. Elle exploite l’autorité, l’urgence, la peur et la confiance. Les défenses sont principalement humaines : formation à la sensibilisation, procédures de vérification et authentification multifacteur.

Testez vos connaissances sur l’ingénierie sociale.

L’ingénierie sociale manipule les personnes plutôt que la technologie. L’hameçonnage et ses variantes (hameçonnage ciblé, fraude au président, hameçonnage vocal, hameçonnage par SMS), ainsi que le prétextage, l’appâtage et le suivisme, exploitent l’autorité, l’urgence et la confiance. Les défenses sont humaines : formation à la sensibilisation, procédures de vérification et authentification multifacteur.