Qu’est-ce que l’ingénierie sociale ?
L’ingénierie sociale désigne le procédé par lequel un cybercriminel obtient un accès, des informations ou des ressources auxquels il ne devrait pas avoir droit, en manipulant des personnes plutôt que la technologie. Vous pensez peut-être que les pirates compromettent le plus souvent un système en contournant un pare-feu ou en recourant à un algorithme sophistiqué de craquage de mots de passe, mais, le plus souvent, les violations résultent de l’ingénierie sociale. Plutôt que de s’attaquer aux barrières technologiques, les pirates « conçoivent » un moyen de manipuler les personnes au sein de votre organisation, partant du principe qu’elles constituent la principale faiblesse de l’entreprise en matière de sécurité. Les acteurs malveillants fabriquent une situation « sociale » (généralement un problème que le pirate crée lui-même !), d’où le nom d’ingénierie sociale. En d’autres termes, l’ingénieur social invente une histoire très convaincante pour vous amener à faire quelque chose pour lui ou à lui donner accès à des informations privées.
Comment cela fonctionne-t-il ?
Les cybercriminels s’appuient sur diverses techniques psychologiques pour gagner votre confiance, puis la trahir. En voici quelques-unes.L’amorçage (priming)
L’amorçage consiste, pour un ingénieur social, à donner une charge émotionnelle à la conversation afin de briser la glace et de paraître plus légitime. Les victimes sont ainsi plus enclines à répondre à ses questions. Il peut commencer la conversation en racontant à quel point sa matinée a été difficile, ou diffuser un fichier audio d’enfants qui courent en arrière-plan, puis faire semblant de leur demander de se calmer parce que maman ou papa est au téléphone. Les enfants, vous savez ce que c’est !Le cadrage (framing)
Vous souvenez-vous des émissions de télé-achat (à l’époque où nous regardions une publicité de 20 minutes pour OxiClean simplement parce que nous adorions Billy Mays) ? Elles n’annonçaient jamais directement le prix du produit. Elles disaient plutôt « Seulement 49,99 ! ». C’est du cadrage : l’information est présentée de manière à influencer la façon dont vous la percevrez. 78 paraissent une aubaine. Les cybercriminels font de même : ils vous présentent des informations ou des demandes de manière astucieuse, afin d’orienter votre réaction. La prochaine fois que vous recevrez un courriel d’un inconnu qui ne peut nourrir sa famille que si vous lui envoyez une carte-cadeau iTunes, demandez-vous : « S’il me l’avait simplement demandé, aurais-je dit oui ? »L’aversion à la perte
Si, au plus fort de l’engouement pour Tidying Up with Marie Kondo, vous vous êtes lancé dans un grand désencombrement pour finalement constater que vous ne vouliez vous séparer de pratiquement rien, vous n’êtes pas seul. Les êtres humains ont une aversion extraordinaire à se séparer de ce qu’ils possèdent. Les ingénieurs sociaux en tirent parti en faisant miroiter la perte de quelque chose, souvent de l’argent, devant leur victime potentielle, ce qui obscurcit son jugement et la rend plus disposée à coopérer ou à communiquer des informations personnelles.Le biais d’autorité
Combien de temps vous a-t-il fallu pour comprendre que vos parents n’ont pas toujours raison ? Les gens ont tendance à faire spontanément confiance à l’opinion de ceux qui détiennent une autorité sur eux ; ils sont aussi beaucoup plus susceptibles d’agir contre leur propre intérêt lorsqu’une figure d’autorité le leur demande. Les ingénieurs sociaux se font souvent passer pour une figure d’autorité, comme un dirigeant, afin de dissuader leurs victimes potentielles d’examiner attentivement leurs demandes.Le biais de familiarité
Vous êtes dans un restaurant et commandez une boisson gazeuse, et la serveuse vous demande si vous préférez un Coca-Cola ou un Dacey Fizz. Lequel choisissez-vous ? Le Coca-Cola, n’est-ce pas ? Face à un choix, les gens sont nettement plus susceptibles de choisir (et de croire) l’option la plus familière. Les ingénieurs sociaux peuvent en tirer parti en présentant plusieurs options et en comptant sur le fait que vous choisirez la plus familière, celle qu’ils souhaitent précisément vous voir choisir.
Quels sont quelques exemples ?
Vous pensez peut-être que les pirates compromettent le plus souvent un système en contournant un pare-feu ou en recourant à un algorithme sophistiqué de craquage de mots de passe, mais, le plus souvent, les violations résultent de l’ingénierie sociale.L’hameçonnage
L’hameçonnage est de loin la forme d’ingénierie sociale la plus répandue, les escroqueries par courriel en étant le type le plus courant. Ces courriels vous incitent à communiquer des informations privées, à cliquer sur un lien ou à ouvrir une pièce jointe qui infecte votre appareil avec un logiciel malveillant. Nous reviendrons plus en détail sur l’hameçonnage le mois prochain. Le smishing et le vishing sont des variantes de l’hameçonnage qui se déroulent respectivement par message texte et par appel vocal. Les fraudeurs peuvent faire afficher le nom de leur choix comme identifiant de l’appelant ; ils peuvent donc se faire passer pour une personne de confiance et vous dire qu’ils ont un nouveau numéro ou qu’ils ont besoin que vous fassiez quelque chose pour eux. EXEMPLE : Vous recevez un message vocal « urgent » de Janet, d’une autre succursale, qui indique que sa base de données est hors service et qu’elle a besoin au plus vite des informations de compte d’un client en particulier. Lorsque vous rappelez « Janet », vous communiquez des informations personnelles à l’hameçonneur, qui utilise ces données pour compromettre le compte bancaire du client en question.Les intrusions physiques
Les ingénieurs sociaux se font parfois passer pour des employés ou pour des personnes au visage avenant, comme des livreurs, afin de pénétrer dans un bâtiment. Puis, une fois laissés sans surveillance à l’intérieur, ils compromettent des ordinateurs ou fouillent dans des documents privés. EXEMPLE : Une personne portant un uniforme de facteur arrive derrière vous, jonglant avec une pile de colis. Vous lui tenez aimablement la porte ouverte en entrant dans vos bureaux, mais il s’avère que le facteur était un cybercriminel déguisé. Que contiennent les colis ? Des dispositifs de piratage, qu’il branche sur les ordinateurs et les serveurs de l’entreprise pour compromettre votre réseau.Le savoir, c’est le pouvoir !
Les ingénieurs sociaux sont des maîtres de la manipulation, mais ils ne pratiquent pas le contrôle mental. Certes, les pirates essaieront de vous tromper, mais vous avez le pouvoir de mieux protéger votre organisation. En vous informant davantage sur les techniques d’ingénierie sociale, vous vous donnez les connaissances nécessaires pour repérer les acteurs malveillants. Soyez fier de votre impact et partagez vos nouvelles connaissances avec vos collègues (et vos proches) afin que tout le monde reste en sécurité.