Alerte OPSEC d'un site web concernant le social engineering.

L'ingénierie sociale (social engineering en anglais) est, dans le contexte de la sécurité de l'information, une pratique de manipulation psychologique à des fins d'escroquerie. Les termes plus appropriés à utiliser sont le piratage psychologique ou la fraude psychologique. Dans le contexte de la sécurité de l'information, la désignation ingénierie sociale est déconseillée par l'Office québécois de la langue française, 2021 puisqu'elle n'accentue pas le concept de tromperie^[1].

Les pratiques du piratage psychologique exploitent les faiblesses psychologiques, sociales et plus largement organisationnelles des individus ou organisations pour obtenir quelque chose frauduleusement (un bien, un service, un virement bancaire, un accès physique ou informatique, la divulgation d’informations confidentielles, etc.). En utilisant ses connaissances, son charisme, son sens de l’imposture ou son culot, l’attaquant cherche à abuser de la confiance, de l’ignorance et de la crédulité de sa cible pour obtenir ce qu’il souhaite^[2].

Concept

Dans son ouvrage L'Art de la supercherie, paru en 2002, le hacker Kevin Mitnick a théorisé et popularisé cette pratique de manipulation qui utilise principalement les « failles humaines » d'un système d'information comme « effet de levier », pour briser ses barrières de sécurité.

Le piratage psychologique est aussi appelé processus « d'élicitation » (de l'anglais elicit : trier, faire sortir de, susciter…), ou plus concrètement en français : l'art de soutirer frauduleusement des informations à l'insu de son interlocuteur en lui « tirant les vers du nez ». Ce terme est souvent utilisé dans le jargon informatique pour désigner un processus d'approche relationnel frauduleux et définit plus globalement les méthodes mises en œuvre par certains crackers (pirate, ou black hat), qui usent « d'élicitation » pour obtenir d'une personne manipulée un accès direct à un système informatique ou plus simplement, pour satisfaire leur curiosité.

De nos jours, un effort de formation et de prévention est fourni aux utilisateurs des systèmes informatisés sécurisés. Les services chargés de la sécurité des systèmes informatiques forment les différents personnels de l'entreprise aux règles de sécurité fondamentales : la meilleure façon de choisir un mot de passe (long et ne se trouvant pas dans un dictionnaire), ne jamais révéler son mot de passe à quiconque, pas même à un interlocuteur se faisant passer pour un employé du service informatique, etc. De nombreuses conférences invitent les spécialistes du renseignement ou de la sécurité du système d'information dans les entreprises à instruire le personnel au sein des grandes structures de l'État et des grands groupes du CAC 40, et à sensibiliser davantage leurs nombreux utilisateurs à cette forme de menace. Ces formations visent principalement à prévenir les effectifs internes des entreprises, à ne pas divulguer « accidentellement » ni « involontairement » des informations sensibles, et à leur enjoindre de donner l'alerte en cas de tentative d'intrusion frauduleuse^[3].

Culture de la sécurité de l'information

Les comportements des employés peuvent avoir des conséquences importantes sur les questions de sécurité de l’information au sein d’une organisation. La culture de l’entreprise peut aider différentes parties de l’organisation, d’une part pour des questions d’efficacité et d’autre part pour lutter contre de mauvaises habitudes de sécurité de l’information^[4].

Andersson et Reimers (2014)^[5] ont constaté que les employés ne se considéraient pas comme un maillon de la sécurité de l’information au sein de leur structure. Ils ont aussi constaté qu’il leur arrivait même d’ignorer consciemment certaines règles de sécurité. Dans le texte « Information Security Culture from Analysis to Change », les auteurs estiment que la culture de la sécurité est un travail sans fin d’évaluation et changement ou de maintenance de manière cyclique. Selon eux, pour gérer la culture de la sécurité, il faut suivre 5 étapes : pré-évaluation, planification stratégique, planification opérationnelle, exécution et post-évaluation :

• pré-évaluation : afin d’identifier et de comprendre la culture actuelle de l’entreprise et son fonctionnement actuel ;
• planification stratégique : pour assurer l’efficacité du processus il convient d’identifier clairement les objectifs, le public ciblé et les différents types de personnes ;
• planification opérationnelle : un usage basé sur une communication interne, une culture de la sécurité et des programmes d'entraînement, peuvent être des solutions efficaces. Par exemple, une formation incluant l’inoculation psychologique contre les techniques d’ingénierie sociale ;
• exécution en 4 étapes : un engagement de la direction, une communication officielle, une formation pour l’ensemble des acteurs et enfin un engagement des employés.

Techniques et terminologie

Toutes les techniques d'ingénierie sociale sont basées sur les biais cognitifs qui permettent à une personne de prendre une décision. Ces biais peuvent être exploités de manières très différentes afin de créer des moyens d'attaquer, certaines de ces techniques sont présentées ci-dessous. Les attaques peuvent avoir pour objectif de collecter des informations confidentielles auprès des salariés ou encore de les inciter à prendre de mauvaises décisions. Les techniques les plus simples se font via un appel téléphonique.

Exemples d'ingénierie sociale : un individu entre dans un immeuble et placarde une affiche à l’aspect officiel affirmant que le numéro de service de dépannage informatique a changé. Donc quand les salariés de l'entreprise auront besoin d'une assistance technique ils appelleront cet individu, en ayant une entière confiance en lui. Ainsi ce dernier pourra leur demander login, mot de passe ou d'autres informations confidentielles et personnelles prétextant une intervention à distance par exemple. De cette manière l'individu pourra avoir accès au système d'information de l'entreprise.

Hameçonnage

Exemple d'hameçonnage (faux message utilisé pour obtenir des informations privées).

L'hameçonnage ou phishing est une technique frauduleuse qui vise à obtenir des informations privées. L’escroc prend contact par courrier électronique en faisant croire à sa victime qu’il s’agit d’un organisme de confiance - banque, fournisseur d’électricité, police, etc. - et lui demande la confirmation d’une information (mot de passe, numéro de carte de crédit, code d’accès, identifiant, etc.) sous peine sinon de lourdes conséquences. Le mail contient alors un lien renvoyant vers un site internet piégé mais paraissant tout à fait officiel aux yeux de la victime. C’est pourtant une copie faite par l’escroc qui permettra dès lors que la victime aura renseigné les informations demandées de les récupérer pour pouvoir les réutiliser et également avoir accès aux données personnelles de la victime.

Cette technique peut également être faite par le biais de SMS et porte le nom de SMiShing (hameçonnage par SMS).

Personnalités liées

• Rachel Tobac, hackeuse éthique américaine.

Dans la culture populaire

Notes et références

Voir aussi