Qu’est-ce que le social engineering ?

À titre d’exemple, au lieu de trouver une faille à exploiter dans un programme, un hacker peut appeler un salarié et usurper l’identité d’un collaborateur du service informatique. De cette manière, il peut piéger la personne afin de le contraindre à révéler une information sensible, télécharger un exécutable malveillant ou encore valider une notification liée à la double authentification.

Le mot ingénierie sociale a été rendu célèbre par Kevin Mitnick dans les années 1990. Néanmoins, cette méthode existe certainement depuis très longtemps, lors des premières escroqueries.

Ainsi, l’investissement dans des solutions de cybersécurité et la solution physique d’une organisation ne suffisent plus. Même avec une politique de cyberdéfense robuste, un hacker pourra toujours utiliser des techniques innovantes pour piéger un employé. C’est pourquoi il est essentiel de former les employés aux bonnes pratiques de sécurité de l’information.

La notion de social engineering implique plusieurs méthodes qui ont un seul objectif commun : exploiter les vulnérabilités universelles de l’humain comme la politesse, la cupidité, le respect de l’autorité ou encore la curiosité.

Le social engineering est capable de prendre place dans l’univers réel. À titre d’exemple, un attaquant déguisé en uniforme de livreur peut s’infiltrer dans un local professionnel.

Néanmoins, la majorité des interactions sociales se déroulent actuellement en ligne. Ainsi, la plupart de ces attaques ont lieu sur internet.

Parmi les attaques les plus courantes, on peut citer le smishing et le phishing. Ces cyberattaques sont totalement créées sur l’usurpation d’identité et la tromperie, car elles ont pour objectif de persuader la cible d’installer un malware sur son appareil ou de rentrer ses identifiants personnels.

En général, l’ingénierie sociale est la première phase d’une cyberattaque d’une ampleur plus importante. Par exemple, un pirate informatique peut se servir du phishing et voler l’identité du proche de la cible pour que cette dernière télécharge le malware. Ensuite, il pourra contrôler l’appareil infecté et l’exploiter grâce à ses compétences techniques.

Le social engineering est particulièrement dangereux, car les humains font des erreurs. Même si les cibles sont conscientes qu’elles doivent faire très attention aux courriels qui proposent des rabais ou encore des appels téléphoniques les obligeant à effectuer un virement, elles peuvent être prises au dépourvu.

La réussite de l’ingénierie sociale dépend de la nature humaine : être occupé, complaisant, être trop confiant, ne pas faire attention ou tout simplement oublier les fondamentaux de la sensibilisation à la cybersécurité. D’ailleurs, c’est la raison pour laquelle une personne peut être la cible de ce type d’attaque à plusieurs reprises.

Pour un hacker, un être humain est plus facile à pirater qu’un réseau d’entreprise. Ainsi, il est important de bien former les salariés aux techniques de la sécurité de l’information. Cela leur permet d’avoir les ressources et les outils essentiels pour maintenir leur vigilance face à cette attaque.

Des informations confidentielles

L’un des objectifs que l’on peut atteindre à partir de l’ingénierie sociale est l’accès à des données confidentielles. Les attaquants peuvent essayer de récupérer des :

• Mots de passe ;
• Données personnelles ;
• Numéros de carte de crédit ;
• Informations sensibles pour réaliser un sabotage, un vol d’identité, des fraudes ou encore du cyberespionnage.

Pour accéder à des zones sécurisées

Le social engineering peut être utilisé pour accéder de manière physique à des zones sécurisées. Le cybercriminel peut se faire passer pour un livreur, un technicien ou pour tout autre professionnel afin d’escroquer le responsable de sécurité et accéder à des locaux fermés.

Une fois sur place, il peut poser des dispositifs d’écoute, voler des biens, réaliser d’autres actes malveillants et compromettre des systèmes informatiques.

Contact direct

Les attaques par social engineering peuvent se réaliser par contact direct avec la cible. Cette dernière sera souvent plus fragile et plus confiante pendant un échange physique.

Ce type d’attaque peut être associée à des échanges à partir d’autres canaux : mail, téléphone, SMS, etc. pour rendre encore plus crédible l’identité de l’individu.

Une personne malveillante peut s’immiscer dans les locaux d’une entreprise en prétendant réaliser un entretien d’embauche ou en volant l’identité d’une nouvelle recrue.

Courrier Postal

Le courrier postal est aussi l’un des moyens utilisés par l’ingénierie sociale. Le cybercriminel envoie ainsi de faux courriers en usurpant l’identité d’une organisation ou d’un individu pour compromettre sa cible. La lettre à votre destination pourra contenir une adresse et un logo de l’entreprise usurpée.

Vous allez certainement accorder votre confiance à un courrier de votre banque avec les informations associées à l’agence et son logo.

Phishing

Il s’agit d’une pratique frauduleuse qui consiste à extorquer des données personnelles comme les données bancaires, les pièces d’identité et les mots de passe. Le hacker vole l’identité d’une organisation dont la victime utilise les services : fournisseurs, Slack, Google, etc.  Cette attaque a généralement lieu à travers un courrier électronique sollicitant la cible à ouvrir une pièce jointe ou à cliquer sur un lien.

Smishing

Connu aussi sous le nom de SMS-phishing, le smishing est une variante du phishing. Au lieu d’utiliser l’email, le hacker envoie un SMS pour attaquer ses victimes. L’attaque peut être aussi utilisée pour les messageries instantanées.

Vishing

Cette attaque est aussi une variante du phishing. Le vishing ou voice-phishing est une pratique qui a pour principal objectif de réunir des informations sensibles ou réaliser des actions compromettantes par la cible à travers un appel téléphonique ou par message vocal.

À l’image du contact physique, le fait d’avoir un contact plus humain qu’un simple message texte peut établir plus de confiance avec la victime.

Éducation et sensibilisation 

Il est indispensable de former et sensibiliser aux techniques d’ingénierie sociale et aux risques associés. Pour ce faire, il est possible de réaliser des ateliers, des formations ou encore des simulations.

Notez qu’un attaquant cible principalement les personnes les plus vulnérables de l’entreprise, notamment le personnel non technique comme le personnel administratif, les secrétaires, le personnel d’entretien des locaux, les comptables, etc. Il cible aussi les derniers recrutés qui ne connaissent pas très bien le fonctionnement interne ainsi que les procédures de l’organisation.

Mettre en place des politiques de sécurité

Établissez des politiques de sécurité distinctes et strictes pour renforcer la protection des données sensibles ainsi que les systèmes informatiques. Faites en sorte que ces politiques soient respectées et mises à jour fréquemment.

Vérification de l’identité

Il est judicieux de toujours vérifier l’identité d’une personne avant de communiquer avec elle, surtout si elle demande des données sensibles. Évitez de partager des renseignements personnels ou d’entreprises sans s’assurer de l’identité de l’individu concerné.

Restez vigilant avec les pièces jointes et les liens

Lorsque vous recevez des courriels ou des messages qui contiennent des pièces jointes ou des liens, il faut rester prudent, particulièrement face à des expéditeurs inconnus. Vous devez vérifier au préalable l’e-mail de l’expéditeur et ne pas cliquer sur les liens avant d’en avoir la certitude qu’il s’agit de quelque chose de légitime.