Ingénierie sociale : définition et exemples d’attaques

En cybersécurité, l’ingénierie sociale consiste à manipuler, influencer ou tromper des personnes pour qu’elles divulguent des informations sensibles, au moyen de différentes tactiques.

Le but de cette cyberattaque est de compromettre la sécurité numérique en trompant les victimes grâce à des techniques de persuasion élaborées qui jouent sur leur confiance, leur curiosité ou leur peur, selon la méthode utilisée.

Dans cet article, vous découvrirez la définition de l’ingénierie sociale, quelques exemples de fonctionnement de ces attaques et des recommandations utiles pour vous en protéger.

Qu’est-ce que l’ingénierie sociale ?

L’ingénierie sociale est une fraude dans laquelle des délinquants manipulent psychologiquement des personnes pour qu’elles révèlent des informations confidentielles ou réalisent des actions qui compromettent la sécurité et l’intégrité de leurs données.

L’objectif est toujours le vol d’identifiants d’accès à des réseaux, des systèmes ou des infrastructures, ou l’appropriation d’informations sensibles.

Comme il ne s’agit pas d’une attaque visant des failles techniques d’une infrastructure, certains ne la considèrent pas comme une cyberattaque au sens strict, d’autant que ce type de fraude peut se dérouler en ligne, mais aussi physiquement.

Pourtant, comme elle compromet la sécurité numérique, elle peut être considérée comme telle, d’autant que c’est dans l’environnement numérique qu’elle se développe avec une créativité croissante.

Comment fonctionne l’ingénierie sociale

L’ingénierie sociale utilise différentes méthodes de persuasion pour tromper ses victimes et obtenir des données personnelles ou des informations financières, administratives ou sensibles.

Parmi les tactiques les plus courantes :

• Usurper l’identité de marques de confiance ou d’organismes publics dans des e-mails, des SMS, des notifications en ligne, etc.
• Se faire passer pour un ami ou un proche de la victime sur les réseaux sociaux ou d’autres canaux, puis demander de participer à des enquêtes ou envoyer des liens vers de faux sites web ou des pièces jointes infectées.
• Créer un sentiment d’urgence pour que la victime, en agissant dans la précipitation, ne prenne pas les précautions nécessaires.
• Jouer sur la cupidité : la victime mord à l’hameçon de prétendus millionnaires ou de personnes en difficulté qui offrent de l’argent ou un avantage en échange d’un service.

6 types d’attaques d’ingénierie sociale et exemples

Le mode opératoire des cybercriminels est de plus en plus élaboré. Il est donc utile de connaître certains des types d’attaques d’ingénierie sociale qu’ils utilisent.

Phishing

Le phishing (hameçonnage) exploite la confiance des personnes envers des marques, des entités, des organisations ou d’autres personnes.

Par exemple, un cybercriminel vous envoie un e-mail en se faisant passer pour votre banque. Il vous demande de cliquer sur un lien frauduleux qui mène à une page imitant celle de votre banque, où l’on vous demande de saisir les données de votre carte bancaire sous un prétexte quelconque.

Lorsque le message est envoyé par SMS, on parle de smishing ; lorsqu’il s’agit d’un message vocal, de vishing. Quand l’attaque est personnalisée et vise une personne ou une entreprise précise, on parle de spear phishing.

Appât (baiting)

Il s’agit de vous proposer un produit ou un service pour une durée limitée, ou un logiciel gratuit, dans le but d’installer un malware sur votre ordinateur ou de voler vos données personnelles.

Une escroquerie fréquente consiste à laisser une clé USB infectée à portée de main : la personne qui la branche sur son ordinateur active le logiciel malveillant.

Prétexte (pretexting)

Dans le pretexting, le fraudeur invente une histoire fondée sur des mensonges élaborés pour tromper sa victime et obtenir des informations sensibles.

L’attaquant fait croire à sa cible qu’il a besoin d’urgence de certaines informations pour accomplir une tâche critique.

Par exemple, il peut se faire passer pour un technicien du service informatique d’une entreprise et demander à un salarié ses identifiants pour « vérifier la sécurité du système ».

Quid pro quo

Comme son nom l’indique, le cybercriminel propose un service ou un produit en échange d’informations.

C’est le cas lorsqu’un fraudeur se fait passer pour un fournisseur d’accès à Internet et propose d’améliorer le débit, ce qui nécessite l’accès de la personne à un réseau personnel ou professionnel.

Logiciel de peur (scareware)

Ici, c’est la peur qui entre en jeu. L’attaquant affiche de fausses alertes de virus pour pousser la victime à télécharger un logiciel malveillant.

Par exemple, une fenêtre surgissante vous avertit qu’un virus a infecté votre appareil et vous presse de télécharger un antivirus. En réalité, il s’agit d’un programme qui vole ou chiffre toutes sortes d’informations.

Point d’eau (watering hole)

Cette attaque vise à piéger un groupe de personnes qui consultent régulièrement un site web de services ou de vente en ligne.

Le nom fait référence aux prédateurs qui guettent leurs proies près des points d’eau.

Comment vous protéger de l’ingénierie sociale ?

Vous ne serez jamais protégé à 100 % contre une attaque d’ingénierie sociale, mais vous pouvez réduire fortement le risque en intégrant ces recommandations à votre hygiène numérique :

• Vérifiez la légitimité de toute demande d’informations sensibles. Selon l’Agence fédérale américaine de gestion des urgences (FEMA), cette simple mesure peut vous éviter d’être victime d’une attaque d’ingénierie sociale.
• Familiarisez-vous avec les tactiques d’ingénierie sociale les plus courantes pour les reconnaître et ne pas tomber dans le piège. Il est essentiel de former enfants et salariés aux gestes à éviter pour se protéger.
• Limitez les informations sensibles et les données personnelles publiées, en particulier sur les réseaux sociaux ou sur des plateformes et applications peu fiables.
• Hiérarchisez l’accès à l’information, avec des contrôles d’accès adaptés à chaque niveau d’utilisateur pour tout programme ou espace numérique qui vous appartient, comme une infrastructure cloud ou un logiciel de facturation.
• Appliquez des politiques de contrôle d’accès comme l’authentification multifacteur, c’est-à-dire au moins deux méthodes pour prouver votre identité sur toute plateforme où vous échangez des données personnelles ou des informations sensibles.

Chez Smowltech, nous savons à quel point la sécurité compte pour votre projet. C’est pourquoi nos formules de proctoring offrent des solutions innovantes et efficaces pour protéger l’intégrité de l’information et la vie privée des utilisateurs.

Demandez une démo gratuite pour découvrir toutes les solutions que nous pouvons vous proposer.