Attaque
Ingénierie sociale
Aussi appeléSocial engineeringPretextingFraude au président
En résumé
L’ensemble des méthodes qui exploitent le comportement humain plutôt qu’une faille technique pour obtenir un accès, une information ou une action. L’attaquant s’appuie sur la confiance, l’urgence ou l’autorité apparente, que ce soit par courriel, téléphone ou en présence physique.
Ingénierie sociale, en détail
Le principe est de faire faire à une personne légitime ce qu’un attaquant ne peut pas faire seul : réinitialiser un mot de passe, ouvrir une porte, valider un virement, communiquer un code. Le scénario, appelé prétexte, est construit pour sembler normal : un faux technicien du support, un dirigeant en déplacement qui demande un paiement urgent, un candidat qui envoie un document piégé à un service de recrutement.
Les services d’assistance et les procédures de réinitialisation sont des cibles de choix, parce qu’elles sont conçues pour aider. Un appelant qui connaît quelques informations publiques (nom, poste, manager) et crée une pression de temps obtient parfois une réinitialisation d’authentification. À l’accueil des locaux, une tenue adaptée, un badge imité ou le simple fait de suivre quelqu’un à travers une porte suffisent dans de nombreux cas.
Plutôt que de demander à chacun d’être infaillible, la parade consiste à bâtir des procédures qui résistent à la pression : vérification d’identité par un canal indépendant, double validation des opérations sensibles, interdiction de contourner la procédure même pour un interlocuteur très haut placé. La sensibilisation vise à ce que la personne sache quoi faire et à qui signaler, sans craindre d’avoir été dupée.
Qu’est-ce que cela change pour vous ?
Une procédure qui s’efface devant l’urgence ou l’autorité est un défaut de sécurité au même titre qu’une vulnérabilité technique. Elle se teste par des scénarios réalistes, et se corrige en rendant la bonne pratique plus simple que le contournement.
Exemple illustratif (fictif)
Par exemple, lors d’un exercice autorisé, un appelant se présente comme un collaborateur en déplacement, sans accès à son téléphone. Avec quelques informations trouvées sur un réseau professionnel, il peut obtenir du support informatique la réinitialisation de son authentification multifacteur.
La confusion fréquente
Réduire l’ingénierie sociale au courriel d’hameçonnage. Le téléphone, le support informatique et l’accès physique aux locaux sont des vecteurs fréquents, et une formation limitée aux courriels ne les couvre pas.
Comment le détecter chez vous ?
- Ingénierie sociale : la prestationMesurer ce qu’un inconnu obtient avec un bon prétexte et un peu d’aplomb.
- Sensibilisation : la prestationDes équipes qui savent quoi faire devant un message douteux.
Aller plus loin
- ArticleSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
Termes liés
- AttaqueHameçonnage : définitionUne technique de fraude qui se fait passer pour un tiers de confiance, par courriel, SMS, appel ou site factice, afin d’amener la victime à révéler des identifiants, ouvrir une pièce jointe piégée ou effectuer une action.
- MéthodeRed team : définitionUn exercice qui simule un adversaire réaliste, avec un objectif précis (accéder à une donnée, prendre le contrôle d’un système), sur plusieurs semaines et de manière discrète.
- DéfenseMoindre privilège : définitionLe principe selon lequel chaque utilisateur, application ou service ne dispose que des droits strictement nécessaires à sa tâche, pour la durée nécessaire.
- DéfenseDéfense en profondeur : définitionUne stratégie qui superpose plusieurs mesures de sécurité indépendantes, de sorte que la défaillance ou le contournement de l’une ne suffise pas à compromettre le système.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début