Qu’est-ce que l’ingénierie sociale?
L’ingénierie sociale survient lorsqu’un cybercriminel obtient un accès, des renseignements ou des ressources auxquels il ne devrait pas avoir droit, en manipulant des personnes plutôt que la technologie. Vous pensez peut-être que la façon la plus courante pour les pirates de s’introduire dans un système est de contourner un pare-feu ou d’utiliser un algorithme sophistiqué de décryptage de mots de passe, mais le plus souvent, les violations résultent de l’ingénierie sociale. Plutôt que de s’attaquer aux barrières technologiques, les pirates « conçoivent » une façon de manipuler les personnes au sein de votre organisation, partant du principe qu’elles constituent la plus grande faiblesse de l’entreprise en matière de sécurité. Les acteurs malveillants fabriquent une situation « sociale » (généralement un problème que le pirate crée lui-même!) — d’où le nom d’ingénierie sociale. En termes simples, l’ingénieur social invente une histoire très convaincante pour vous amener à faire quelque chose pour lui ou à lui donner accès à des renseignements privés.
Comment cela fonctionne-t-il?
Les cybercriminels utilisent diverses techniques psychologiques pour gagner votre confiance, puis la trahir. En voici quelques-unes.L’amorçage
L’amorçage consiste, pour un ingénieur social, à donner une charge émotive à la conversation afin de briser la glace et de paraître plus légitime. Ses victimes sont ainsi plus susceptibles de répondre à ses questions. Il commence peut-être la conversation en racontant à quel point sa matinée a été difficile, ou fait jouer en arrière-plan un fichier audio d’enfants qui courent, puis fait semblant de leur demander de se calmer parce que papa ou maman est au téléphone. Les enfants, n’est-ce pas?Le cadrage
Vous souvenez-vous des infopublicités (à l’époque où nous regardions une publicité de 20 minutes pour OxiClean simplement parce que nous aimions Billy Mays)? On ne vous annonçait jamais directement le prix du produit. On vous disait plutôt « Seulement 49,99 ! » C’est du cadrage : l’information est présentée de manière à influencer la façon dont vous la percevrez. 78 semblent une aubaine. Les cybercriminels font la même chose; ils vous présentent des renseignements ou des demandes de façon astucieuse afin d’orienter votre réaction. La prochaine fois que vous recevrez un courriel d’un inconnu qui n’a pas les moyens de nourrir sa famille à moins que vous ne lui envoyiez une carte-cadeau iTunes, demandez-vous : « S’il me l’avait simplement demandé directement, aurais-je dit oui? »L’aversion à la perte
Si, au plus fort de l’engouement pour Tidying Up with Marie Kondo, vous vous êtes lancé dans un grand désencombrement pour finalement constater que vous n’étiez prêt à vous séparer de pratiquement rien, vous n’êtes pas seul. Les êtres humains ont une aversion extraordinaire à se départir de ce qui leur appartient. Les ingénieurs sociaux en tirent parti en brandissant la perte de quelque chose — souvent de l’argent — devant leur victime potentielle, ce qui brouille son jugement et la rend plus disposée à coopérer ou à divulguer des renseignements personnels.Le biais d’autorité
Combien de temps vous a-t-il fallu pour comprendre que vos parents n’ont pas toujours raison? Les gens ont tendance à faire instinctivement confiance aux opinions de ceux qui ont autorité sur eux; ils sont aussi beaucoup plus susceptibles d’agir contre leur propre intérêt lorsqu’une figure d’autorité le leur demande. Les ingénieurs sociaux se font souvent passer pour une figure d’autorité, comme un dirigeant, afin de dissuader les victimes potentielles d’examiner attentivement leurs demandes.Le biais de familiarité
Vous êtes au restaurant pour commander une boisson gazeuse et la serveuse vous demande si vous voulez un Coke ou un Dacey Fizz. Lequel choisissez-vous? Le Coke, n’est-ce pas? Devant un choix, les gens sont nettement plus susceptibles de choisir (et de croire) l’option la plus familière. Les ingénieurs sociaux peuvent en tirer parti en proposant plusieurs lignes de conduite, en comptant sur le fait que vous choisirez la plus familière — celle qu’ils veulent que vous choisissiez.
Quelques exemples
Vous pensez peut-être que la façon la plus courante pour les pirates de s’introduire dans un système est de contourner un pare-feu ou d’utiliser un algorithme sophistiqué de décryptage de mots de passe, mais le plus souvent, les violations résultent de l’ingénierie sociale.L’hameçonnage
L’hameçonnage est de loin la forme d’ingénierie sociale la plus courante, les fraudes par courriel en étant le type le plus répandu. Ces courriels vous incitent à communiquer des renseignements privés, à cliquer sur un lien ou à ouvrir une pièce jointe qui infecte votre appareil avec un maliciel. Nous reparlerons de l’hameçonnage le mois prochain. L’hameçonnage par message texte (smishing) et l’hameçonnage vocal (vishing) sont des variantes de l’hameçonnage qui se produisent respectivement par message texte et par appel vocal. Les fraudeurs peuvent faire afficher le nom de leur choix comme identification de l’appelant; ils peuvent donc se faire passer pour une personne de confiance et vous dire qu’ils ont un nouveau numéro ou qu’ils ont besoin que vous fassiez quelque chose pour eux. EXEMPLE : Vous recevez un message vocal « urgent » de Janet, d’une autre succursale, qui dit que sa base de données est en panne et qu’elle a besoin au plus vite de renseignements sur le compte d’un client en particulier. Lorsque vous rappelez « Janet », vous communiquez des renseignements personnels à l’hameçonneur, qui s’en sert pour compromettre le compte bancaire de ce client.Les intrusions physiques
Les ingénieurs sociaux se font parfois passer pour des employés ou pour des visages sympathiques, comme des livreurs, afin d’entrer dans un immeuble; une fois laissés sans surveillance à l’intérieur, ils compromettent des ordinateurs ou fouillent dans des documents privés. EXEMPLE : Une personne portant un uniforme de facteur arrive derrière vous en jonglant avec une pile de colis. Vous lui tenez gentiment la porte en entrant dans votre bureau, mais il s’avère que le facteur était un cybercriminel déguisé. Que contiennent les colis? Des dispositifs de piratage, qu’il branche aux ordinateurs et aux serveurs de l’entreprise pour compromettre votre réseau.Le savoir, c’est le pouvoir!
Les ingénieurs sociaux sont des maîtres de la manipulation, mais ils ne pratiquent pas le contrôle mental. Certes, les pirates essaieront de vous tromper, mais vous avez le pouvoir de mieux protéger votre organisation. En vous renseignant davantage sur les techniques d’ingénierie sociale, vous vous donnez les connaissances nécessaires pour repérer les acteurs malveillants. Soyez fier de votre incidence et transmettez vos nouvelles connaissances à vos collègues (et à vos proches) afin que chacun demeure en sécurité.