Les attaques d’ingénierie sociale désignent un large éventail de techniques trompeuses utilisées pour inciter les victimes à effectuer certaines actions ou à divulguer des informations confidentielles. Ces attaques se distinguent du piratage informatique traditionnel en ce qu’elles n’impliquent pas l’exploitation de vulnérabilités techniques. Elles reposent plutôt sur l’erreur humaine pour accéder à des informations privées.
Selon PurpleSec, 98 % des cyberattaques reposent dans une certaine mesure sur l’ingénierie sociale. Les outils antivirus, bien que toujours utiles, ne suffisent pas à se protéger contre ces menaces. Les entreprises doivent mettre en place des programmes complets de sensibilisation à la sécurité, qui intègrent des volets consacrés aux menaces d’ingénierie sociale.
Ce guide décrit l’ingénierie sociale et son fonctionnement, et fournit des recommandations pour se défendre contre ces attaques.
Cycle de vie d’une attaque d’ingénierie sociale
Une attaque d’ingénierie sociale se déroule généralement en quatre étapes : investigation, prise de contact, exploitation et sortie.
Investigation
Une fois qu’un acteur malveillant a identifié une cible ou une victime, il commence à recueillir autant d’informations que possible sur cette personne. Ce processus est également appelé phase de collecte d’informations.
L’ingénieur social recherche les informations accessibles au public, comme les noms, les fonctions, les centres d’intérêt, l’adresse, les réseaux sociaux et d’autres données personnelles susceptibles de l’aider à mener une attaque.
Prise de contact ou établissement d’une relation
Après avoir recueilli des informations sur leurs victimes, les attaquants prennent contact avec elles via les réseaux sociaux, les e-mails, les appels téléphoniques, les SMS ou tout autre moyen disponible afin d’établir une relation et, à terme, de gagner leur confiance.
Exploitation
À cette étape, les ingénieurs sociaux renforcent leur emprise et commencent à exploiter les vulnérabilités qu’ils ont découvertes tout en développant une relation avec la victime.
Ils peuvent envoyer un lien qui semble légitime et encourager la victime à cliquer dessus, donnant ainsi à l’attaquant accès à des données confidentielles.
Ils peuvent également tenter de manipuler leurs victimes pour les inciter à effectuer certaines actions, comme transférer de l’argent, effectuer des achats, annuler des commandes ou divulguer des informations plus sensibles.
Sortie
Après une attaque réussie, les ingénieurs sociaux tentent généralement d’effacer leurs traces afin d’éviter d’être détectés et poursuivis. Ils peuvent supprimer des journaux, chiffrer des données ou utiliser des identifiants volés pour commettre d’autres infractions.
7 types d’attaques d’ingénierie sociale
Il existe plusieurs types d’attaques d’ingénierie sociale, notamment l’hameçonnage, l’appâtage, le talonnage, le prétextage et bien d’autres, chacun reposant sur une méthode différente. Ces méthodes peuvent être utilisées pour accéder à des informations précieuses et sensibles appartenant à votre organisation ou à ses employés.
Hameçonnage
De loin le type d’attaque par ingénierie sociale le plus courant, l’hameçonnage survient lorsqu’un attaquant use de tromperie pour inciter des personnes à divulguer des informations personnelles, comme des noms d’utilisateur, des mots de passe ou des coordonnées de carte bancaire.
Les attaques par hameçonnage sont généralement menées par e-mail ou via la messagerie instantanée. Parmi les types d’hameçonnage figurent notamment :
- Hameçonnage vocal : hameçonnage vocal utilisant des systèmes de réponse vocale interactive.
- Hameçonnage ciblé : attaques par hameçonnage visant des organisations ou des personnes précises.
- Hameçonnage par le faux service client : attaques menées via de faux comptes de service client sur les réseaux sociaux.
- Hameçonnage par SMS : hameçonnage fondé sur les SMS.
Appâtage
L’appâtage est une autre forme d’attaque d’ingénierie sociale dans laquelle l’attaquant attire sa victime en lui proposant quelque chose qu’elle désire. Il peut s’agir d’une nouvelle offre d’emploi, de billets gratuits pour un festival de musique, de produits gratuits ou d’appareils infectés.
L’idée centrale est que l’appâtage consiste à attirer les victimes avec quelque chose qu’elles veulent ou dont elles ont besoin afin de les inciter à divulguer des informations confidentielles.
Talonnage
Un fraudeur pratiquant le talonnage est une personne qui suit de près quelqu’un d’autre à travers une porte ou un portail ouvert, sans autorisation. Par exemple, en sécurité informatique, le talonnage se produit lorsqu’une personne non autorisée pénètre dans une zone sécurisée en suivant de près une personne autorisée disposant de moyens d’accès valides.
Cette technique est souvent décrite comme l’art de s’introduire discrètement dans des lieux, car elle repose sur la diversion et la dissimulation plutôt que sur la force brute. Elle exploite la bienveillance naturelle des personnes, qui cherchent à aider des inconnus ayant pu perdre ou oublier leurs identifiants.
Whaling
Le whaling est un type d’attaque d’ingénierie sociale visant les cadres dirigeants. Ces attaques impliquent généralement une usurpation d’identité et cherchent à exploiter l’avidité, la négligence, voire le désespoir.
Lorsqu’elle est bien exécutée, cette forme d’attaque peut être particulièrement efficace, car les dirigeants disposent généralement de niveaux d’autorisation plus élevés et de davantage de ressources.
Prétextage et « quid pro quo »
L’une des formes les plus insidieuses d’attaque d’ingénierie sociale est le prétextage. Un prétexte est une excuse destinée à justifier une demande d’informations, notamment au cours d’un appel téléphonique ou d’un échange par e-mail.
Le quid pro quo (littéralement « quelque chose contre quelque chose » en latin) est une attaque d’ingénierie sociale dans laquelle l’attaquant formule une demande en apparence anodine et propose quelque chose de valeur.
Scareware
Cette attaque d’ingénierie sociale sert à effrayer les utilisateurs pour les inciter à acheter des logiciels ou des services dont ils n’ont pas besoin. Le scareware est une forme de maliciel qui crée un sentiment d’urgence en mentant aux utilisateurs finaux et en les alarmant avec des affirmations exagérées concernant une infection, une infestation ou un danger imminent.
Compromission des e-mails professionnels (BEC)
Le BEC est un type d’attaque d’ingénierie sociale qui vise les comptes de messagerie professionnels et devient rapidement l’une des menaces les plus dangereuses pour les entreprises.
Selon le FBI Internet Crime Report 2022, l’IC3 a reçu 21 832 plaintes liées au BEC, pour des pertes ajustées de plus de 2,7 milliards de dollars en 2022.
Les entreprises doivent mettre en place des mesures permettant de vérifier et de valider les paiements et les demandes d’achat en dehors des e-mails afin d’éviter les attaques par BEC.
7 bonnes pratiques pour prévenir l’ingénierie sociale
Les attaques d’ingénierie sociale peuvent être étonnamment faciles à mener. Toutefois, plusieurs méthodes, comme le suivi régulier des actions d’éducation et de formation et la mise en place de politiques robustes en matière de mots de passe et d’authentification multifacteur, permettent aux professionnels avertis de la sécurité de l’information — ainsi qu’aux autres employés — de garder une longueur d’avance sur ces stratagèmes.
Voici quelques bonnes pratiques en matière d’ingénierie sociale qui peuvent vous aider :
Sensibiliser les employés aux attaques d’ingénierie sociale
Si vos employés ne savent pas ce qu’est une attaque d’ingénierie sociale, ils ne la reconnaîtront pas lorsqu’elle se produira. Les informer sur l’apparence d’une attaque, les signaux d’alerte à surveiller et la personne à qui signaler toute activité suspecte contribuera à protéger votre organisation.
Former les employés aux bons comportements en matière de sécurité
Après avoir informé vos employés des menaces potentielles, apprenez-leur à gérer correctement ces situations grâce à des possibilités de formation pratiques.
Par exemple, apprenez-leur à ne pas ouvrir les pièces jointes provenant d’expéditeurs inconnus ; si quelque chose semble suspect, à contacter immédiatement le service informatique ; et à ne jamais communiquer d’informations personnelles par e-mail ou par téléphone sans avoir vérifié l’identité du demandeur.
Simuler une attaque d’ingénierie sociale
Simuler un scénario d’ingénierie sociale au sein de l’organisation est un bon moyen de tester la réaction des employés face à une attaque. Cette simulation peut être réalisée sans prévenir les employés ; le pourcentage de réussites et d’échecs donnera aux entreprises une idée du niveau de préparation du personnel et des domaines nécessitant des améliorations.
Il est important de ne pas utiliser ce test pour sanctionner les employés qui ne respectent pas les règles. Servez-vous-en plutôt comme d’un indicateur à l’échelle de l’organisation afin d’évaluer l’efficacité globale de vos initiatives de formation et de déterminer les domaines dans lesquels des mesures correctives supplémentaires pourraient être nécessaires.
Mettre en place des politiques robustes en matière de mots de passe
Les mots de passe robustes comportent des caractères spéciaux, des lettres majuscules et minuscules, des chiffres et des symboles. Ils doivent en outre comporter au moins 12 à 16 caractères et être modifiés tous les trois mois.
Les mots de passe faibles, quant à eux, incluent des dates d’anniversaire, des noms de membres de la famille ou d’animaux domestiques et des mots faciles à deviner figurant dans les dictionnaires.
Modifier régulièrement votre mot de passe complique la tâche des ingénieurs sociaux qui cherchent à le deviner ou à le casser pour accéder à vos comptes. Utilisez un gestionnaire de mots de passe pour vous aider à créer et à stocker des mots de passe sécurisés.
Utiliser l’authentification à deux facteurs ou multifacteur (2FA ou MFA)
La MFA ajoute une couche de protection supplémentaire en exigeant des utilisateurs qu’ils vérifient leur identité par une autre méthode qu’un simple nom d’utilisateur et un mot de passe. Il s’agit souvent de saisir un code envoyé par SMS ou de recevoir un appel automatisé avant d’obtenir l’accès, mais cela peut également prendre la forme de jetons, de données biométriques, de cartes à puce ou même d’analyses rétiniennes.
Limiter les privilèges d’accès des employés
Limiter l’accès d’un employé aux seules ressources dont il a besoin pour son travail réduit les risques d’exposition accidentelle ou intentionnelle d’informations sensibles. De même, n’accorder aux employés l’accès aux informations sensibles que lorsqu’ils en ont besoin contribuera à éviter qu’ils ne les partagent involontairement ou délibérément avec d’autres personnes.
Mettre régulièrement les logiciels à jour avec des correctifs
La mise à jour régulière des logiciels garantit que toutes les vulnérabilités connues ont été corrigées. Les correctifs sont conçus pour combler les failles de sécurité des logiciels, mais les pirates peuvent les exploiter s’ils ne sont pas installés ; installez-les donc dès qu’ils sont disponibles.
En résumé : prévenir les attaques d’ingénierie sociale
Les acteurs malveillants perfectionnent constamment leurs techniques d’ingénierie sociale et imaginent de nouveaux moyens de gagner la confiance de leurs victimes. Les entreprises doivent sensibiliser régulièrement leurs employés pour prévenir ces incidents, tout en maintenant une bonne hygiène des mots de passe, des contrôles d’accès et une solution antivirus robuste.
Un prestataire de sécurité géré (MSP) peut aider votre organisation à surveiller et à améliorer votre dispositif de sécurité global. Voici les meilleurs MSP pour protéger vos réseaux et vos données.