Qu'est-ce que l'ingénierie sociale

La rédaction de Miqo · 2 sources

Sur quoi repose-t-elle ?

Urgence. Il n'y a pas le temps de vérifier : le compte sera bloqué, l'accès disparaîtra et la personne qui te supervise attend tout de suite.
Autorité. La personne qui appelle dit être du service de sécurité, de la direction ou d'un fournisseur. Il ne faut pas discuter avec elle, et tout repose là-dessus.
Réciprocité. Tout commence par un petit service, suivi d'une demande. Après avoir reçu un service, il est psychologiquement plus difficile de refuser.
Légende crédible. L'attaquant rassemble à l'avance des détails : noms de collègues, noms de projets et événements récents.

Le quatrième point explique pourquoi ces appels semblent authentiques. Les informations de la légende viennent de sources publiques : le site de l'entreprise, les réseaux sociaux des employés et les offres d'emploi. Rassembler un dossier sur une organisation peut se faire en une soirée.

Un scénario classique consiste à appeler le support en se faisant passer pour une employée qui a perdu son accès. L'insistance et la connaissance de quelques détails internes paraissent souvent plus convaincantes que n'importe quelle procédure de vérification.

Pourquoi la technique ne suffit pas

Toute mesure de sécurité part du principe qu'une utilisatrice légitime peut se connecter. L'ingénierie sociale exploite précisément cette voie : elle ne force pas la serrure, elle obtient la clé de la personne qui la détient.

C'est là tout le problème : renforcer les mesures techniques aide très peu et peut même aggraver les choses. Plus les procédures sont complexes, plus les employés cherchent des moyens de les contourner, et ces contournements deviennent le point d'entrée.

Vérifie par un autre canal : rappelle un numéro connu, pas celui qu'on t'a transmis.
Considère l'urgence comme un signal d'alerte : les vraies procédures supportent une pause.
Aucun service ne demande les codes reçus par message ni ton mot de passe complet.
Une demande de garder la conversation secrète vis-à-vis de tes collègues est presque toujours un signe d'attaque.
Le signalement d'un appel suspect doit être sûr et ne donner lieu à aucune recherche de responsabilité.

Le dernier point compte davantage que les mesures techniques. Si une employée a peur d'être punie pour une erreur, elle gardera le silence, et l'organisation peut ne découvrir l'attaque que plusieurs semaines plus tard. Une culture du signalement des incidents protège mieux que des consignes.

Il faut aussi se rappeler que la cible n'est pas toujours un mot de passe. Souvent, on demande une petite chose : confirmer le poste d'une collègue, donner un numéro interne ou transférer un fichier. Ce sont ces petits détails qui servent à construire la légende suivante, déjà convaincante.

Teste-toi1 / 2