Ingénierie sociale

Une attaque qui vise la personne et non l'ordinateur, en jouant sur la peur ou l'urgence pour obtenir un code, un mot de passe ou un paiement.

Également appelé manipulation humaine arnaque téléphonique fraude à la confiance

Définition

L'ingénierie sociale est une attaque contre une personne, pas contre un ordinateur. Personne ne casse votre mot de passe. On vous le demande, avec une bonne raison de le donner. La peur, la hâte et la simple politesse font le reste.

Voici un scénario réel, presque mot pour mot. Le téléphone sonne à seize heures trente, un jeudi. « Bonjour, service fraude de votre banque. Nous avons bloqué deux paiements sur votre compte. Pour les annuler, il me faut le code à six chiffres que nous venons de vous envoyer. » Le code arrive pendant qu'il parle, parce qu'il se connecte à cet instant précis. La personne à l'accueil le lit à voix haute. L'argent part avant dix-sept heures.

La même ruse change d'habit. Un message WhatsApp d'un numéro inconnu, avec le nom et la photo de votre patron, qui dit qu'il est en réunion et qu'un fournisseur doit être payé aujourd'hui. Un technicien dans le couloir, une échelle à la main, qui vous demande de tenir la porte parce que son badge est resté dans la camionnette. Les attaques qui arrivent par e-mail portent un nom à elles, le hameçonnage, mais la méthode en dessous est la même.

Une seule habitude arrête presque tout. Rappelez. Pas le numéro qui vous a appelé, pas un numéro écrit dans le message. Le numéro imprimé sur votre carte bancaire, ou le poste interne de votre annuaire. Un vrai employé attendra. Un voleur discutera, ou la ligne se taira. Dites à toute l'équipe que raccrocher est autorisé et que personne ne sera blâmé pour cela.

La surprise, pour la plupart des dirigeants, c'est le choix de la cible. Pas le directeur financier. La nouvelle personne à l'accueil, le chauffeur, le stagiaire de l'été, des gens serviables qui ne savent pas encore qui est qui. Quand Linkysoft mène un audit de sécurité, nous appelons l'accueil avant de toucher au moindre serveur, et l'accueil tombe presque toujours. Personne n'est puni. Le but est de trouver la faille tant qu'elle coûte peu.

Écrivez la règle de paiement sur une page et affichez-la là où l'argent se manie. Tout changement de compte bancaire se confirme de vive voix, sur un numéro que vous aviez déjà, par une deuxième personne. Cela ne coûte rien, et c'est le conseil le moins cher que Linkysoft donne à un client.

Questions sur Ingénierie sociale

Quelle est la différence entre l'ingénierie sociale et le piratage ?
Le piratage s'attaque à la machine. L'ingénierie sociale s'attaque à la personne qui s'en sert, en demandant un code ou un paiement avec une histoire crédible. Aucun logiciel n'est forcé, donc la plupart des outils de sécurité ne voient rien.
Quelqu'un m'appelle en disant qu'il est de ma banque, que faire ?
Raccrochez et composez le numéro imprimé sur votre carte bancaire. Un vrai employé acceptera d'attendre. Ne lisez jamais un code reçu par message, car c'est ce code qui ouvre le compte.
La formation du personnel arrête-t-elle vraiment ces attaques ?
Une formation seule s'efface en quelques mois. Ce qui tient, c'est une règle écrite que chacun peut suivre sous pression, comme toujours rappeler un numéro connu avant de déplacer de l'argent.
Qui est le plus visé dans une entreprise ?
Les personnes nouvelles et serviables en périphérie, comme l'accueil, les chauffeurs et les stagiaires. Elles ne connaissent pas encore toutes les voix, et personne n'a pensé à les prévenir.

Vous ne voyez toujours pas comment cela s'applique à votre projet ?

Dites-nous ce que vous construisez et nous vous répondrons simplement.

Démarrer un projet Nous contacter