Ingénierie sociale

L'ingénierie sociale est une attaque qui vise la personne plutôt que l'ordinateur, où quelqu'un joue sur la peur ou l'urgence pour obtenir un code ou un paiement.

Également appelé manipulation humaine arnaque téléphonique fraude à la confiance

Définition

L'ingénierie sociale est une attaque contre une personne, pas contre un ordinateur. Personne ne casse votre mot de passe, on vous le demande simplement en vous donnant une bonne raison de le céder, et la peur, la hâte et la politesse font le reste.

Voici un scénario réel, presque mot pour mot. Le téléphone sonne à seize heures trente, un jeudi, et une voix calme annonce : « Bonjour, service fraude de votre banque. Nous avons bloqué deux paiements sur votre compte, et pour les annuler il me faut le code à six chiffres que nous venons de vous envoyer. » Le code arrive pendant qu'il parle, parce qu'il se connecte à cet instant précis, et la personne à l'accueil le lit à voix haute. L'argent part avant dix-sept heures.

La même ruse change simplement d'habit. Un message WhatsApp venu d'un numéro inconnu porte le nom et la photo de votre patron, et explique qu'il est en réunion alors qu'un fournisseur doit être payé aujourd'hui. Un technicien dans le couloir tient une échelle et vous demande de tenir la porte, parce que son badge est resté dans la camionnette. Les attaques qui arrivent par e-mail portent même un nom à elles, le hameçonnage, mais la méthode en dessous reste la même.

Une seule habitude arrête presque tout, et c'est de rappeler vous-même. Composez le numéro imprimé sur votre carte bancaire ou le poste interne de votre annuaire, jamais celui qui vous a appelé ni un numéro écrit dans le message. Un vrai employé attendra que vous vérifiiez, alors qu'un voleur discutera ou laissera la ligne se taire. Dites à toute l'équipe que raccrocher est autorisé et que personne ne sera blâmé pour cela.

La surprise, pour la plupart des dirigeants, c'est le choix de la cible. Ce n'est jamais le directeur financier, mais la nouvelle personne à l'accueil, le chauffeur ou le stagiaire de l'été, des gens serviables qui ne savent pas encore qui est qui. Quand Linkysoft mène un audit de sécurité, nous appelons l'accueil avant de toucher au moindre serveur, et l'accueil tombe presque toujours. Personne n'est puni, car le but est de trouver la faille tant qu'elle coûte peu.

Écrivez la règle de paiement sur une page et affichez-la là où l'argent se manie, pour que tout changement de compte bancaire soit confirmé de vive voix, sur un numéro que vous aviez déjà, et par une deuxième personne. Cela ne coûte rien, et c'est le conseil le moins cher que Linkysoft donne à un client.

Questions sur Ingénierie sociale

Quelle est la différence entre l'ingénierie sociale et le piratage ?
Le piratage s'attaque à la machine. L'ingénierie sociale s'attaque à la personne qui s'en sert, en demandant un code ou un paiement avec une histoire crédible. Aucun logiciel n'est forcé, donc la plupart des outils de sécurité ne voient rien.
Quelqu'un m'appelle en disant qu'il est de ma banque, que faire ?
Raccrochez et composez le numéro imprimé sur votre carte bancaire. Un vrai employé acceptera d'attendre. Ne lisez jamais un code reçu par message, car c'est ce code qui ouvre le compte.
La formation du personnel arrête-t-elle vraiment ces attaques ?
Une formation seule s'efface en quelques mois. Ce qui tient, c'est une règle écrite que chacun peut suivre sous pression, comme toujours rappeler un numéro connu avant de déplacer de l'argent.
Qui est le plus visé dans une entreprise ?
Les personnes nouvelles et serviables en périphérie, comme l'accueil, les chauffeurs et les stagiaires. Elles ne connaissent pas encore toutes les voix, et personne n'a pensé à les prévenir.

Vous ne voyez toujours pas comment cela s'applique à votre projet ?

Dites-nous ce que vous construisez et nous vous répondrons simplement.

Démarrer un projet Nous contacter