Cybersécurité: ingénierie sociale

Ingénierie sociale

L'ingénierie sociale est une stratégie utilisée par des individus ou des groupes pour manipuler et tromper les personnes afin qu'elles révèlent des informations sensibles ou agissent d'une façon qui compromet leur sécurité. Elle repose sur la psychologie et le comportement humain plutôt que sur un savoir-faire technique.

Dans les attaques d'ingénierie sociale, l'auteur d'attaque se présente souvent comme une personne ou une source fiable afin de gagner la confiance de la victime. L'auteur d'attaque utilise notamment des techniques d'usurpation d'identité, de persuasion ou de tromperie pour extraire des informations précieuses telles que:

• des mots de passe
• des détails financiers
• des accès à des systèmes et réseaux

Les attaques d'ingénierie sociale peuvent prendre différentes formes. La stratégie consiste à exploiter les vulnérabilités humaines pour atteindre les objectifs de l'agresseur, qu'il s'agisse d'un accès non autorisé, d'un vol de données ou d'argent.

Les différentes techniques utilisées en ingénierie sociale

Hameçonnage

Les auteurs d'attaques envoient des courriels trompeurs, des messages ou des liens vers des sites web qui semblent légitimes, dans le but d'inciter les destinataires à cliquer et à révéler des informations sensibles telles que des mots de passe, des numéros de carte de crédit ou des données à caractère personnel.

Hameçonnage ciblé

Similaire au hameçonnage, mais fortement ciblé. Pour paraître encore plus convaincants, les auteurs d'attaques personnalisent des messages sur la base d'informations particulières concernant la cible.

Appâtage

Les auteurs d'attaques font une offre tentante, par exemple de téléchargement gratuit de logiciels, en échange d'informations à caractère personnel ou d'un accès à un système. Il peut s'agir de fichiers ou de liens infectés.

Faux-semblant

Les auteurs d'attaques élaborent un scénario de toute pièce ou un prétexte afin d'obtenir des informations. Il s'agit souvent de se faire passer pour une personne digne de confiance, telle qu'un collègue ou un employé de banque.

Hameçonnage vocal

Le vishing ou hameçonnage vocal est une forme de hameçonnage se pratiquant par communication orale, généralement téléphonique. Les auteurs d'attaques se font passer pour des entités de confiance et persuadent les victimes de révéler des informations sensibles.

Usurpation d'identité

Les auteurs d'attaques se font passer pour quelqu'un d'autre, qu'ils se présentent en ligne ou en personne, afin de gagner la confiance de leur cible et la manipuler pour la pousser à divulguer des informations confidentielles ou prendre des mesures particulières.

Hameçonnage sur les médias sociaux

Les auteurs d'attaques ciblent principalement les utilisateurs de médias sociaux et exploitent souvent des sujets populaires ou tendance pour créer des messages trompeurs, en les faisant paraître pertinents et fiables.

Rançongiciel et extorsion

Les auteurs d'attaques menacent de révéler des informations sensibles ou de perturber des systèmes, à moins qu'une rançon ne soit payée. Ils instillent la peur afin d'imposer ce qu'ils veulent à leurs victimes.

Protection contre ces attaques

Être averti, c'est se protéger

Soyez vigilants et reconnaissez les signes. Si quelque chose vous semble étrange ou trop beau pour être vrai, il peut s'agir d'une escroquerie.

Réfléchissez avant de cliquer

Évitez de cliquer sur des liens ou d'ouvrir des courriels provenant de sources inconnues.

Gardez vos informations à caractère personnel

Ne partagez jamais d'informations sensibles telles que des mots de passe, des numéros de carte de crédit ou des données à caractère personnel dans des messages ou des courriels, quelle que soit la personne qui vous les demande.

Définissez des mots de passe complexes

Utilisez des mots de passe uniques et complexes pour chacun de vos différents comptes.

Optez pour une authentification multifactorielle

Lorsque c'est possible, optez pour une authentification multifactorielle. Cela ajoute un niveau de sécurité supplémentaire à vos comptes en ligne.

Vérifiez l'identité des personnes qui vous contactent

Si quelqu'un vous contacte en affirmant être affilié à une entreprise ou à une organisation, demandez une preuve d'identité ou contactez directement l'organisation pour vérifier les informations.

Informez-vous

Continuez de vous informer au sujet des nouvelles formes d'escroquerie et techniques.

Tenez-vous en à des sources fiables

Ayez recours à des sources fiables pour télécharger des fichiers afin d'éviter les logiciels malveillants.

Si vous vous retrouvez victime

• informez vos autorités localement compétentes
• modifiez vos mots de passe
• mettez en place des authentifications multifactorielles
• analysez vos appareils afin de vous assurer de l'absence de logiciels malveillants
• avertissez vos amis et collègues que vos comptes ont été piratés

• Campagne du mois européen de la cybersécurité (Agence de l'Union européenne pour la cybersécurité)

Voir également