On imagine souvent le cybercriminel comme un expert capable de casser un mot de passe, de contourner un antivirus ou de pénétrer directement dans un ordinateur. Dans la réalité, il existe une méthode souvent beaucoup plus simple : convaincre la victime de faire elle-même ce que l'attaquant souhaite. C'est le principe de l'ingénierie sociale. L'attaquant ne cherche pas nécessairement à « pirater » une machine. Il cherche avant tout à manipuler une personne pour obtenir une information, un accès, de l'argent ou une action particulière.
L'ingénierie sociale, c'est quoi ?
L'ingénierie sociale désigne l'ensemble des techniques utilisées pour influencer ou manipuler une personne afin de lui faire révéler une information ou réaliser une action qu'elle n'aurait normalement pas effectuée. Cela peut être :
- communiquer un mot de passe
- donner un code reçu par SMS
- cliquer sur un lien
- ouvrir une pièce jointe
- installer un logiciel
- effectuer un virement
- modifier un RIB
- communiquer des informations personnelles
- donner accès à un ordinateur.
Le principe est simple :
Au lieu de chercher à contourner la sécurité, l'attaquant essaie de convaincre l'utilisateur de la contourner lui-même.
Le maillon faible n'est pas toujours l'ordinateur. Un ordinateur peut être parfaitement protégé et pourtant son utilisateur peut être trompé. Un antivirus peut détecter un programme malveillant. Un pare-feu peut bloquer une connexion. Une authentification à deux facteurs peut protéger un compte.
Mais aucune de ces protections ne peut empêcher quelqu'un de donner volontairement ses informations à un escroc.
C'est pourquoi l'être humain est devenu une cible privilégiée.
Comment fonctionne une attaque par ingénierie sociale ?
Une attaque repose généralement sur plusieurs étapes.
1. Collecter des informations
L'attaquant commence par rechercher des informations sur sa cible. Il peut utiliser :
- les réseaux sociaux
- des informations publiquement accessibles sur Internet
- des annuaires
- des sites professionnels
- des anciennes fuites de données
- des bases de données compromises
- des informations récupérées lors d'une précédente attaque
Plus l'attaquant connaît sa victime, plus son scénario peut être crédible.
2. Construire un scénario
Il invente ensuite une histoire permettant de justifier le contact.
Par exemple :
« Votre compte bancaire présente une anomalie. »
« Votre colis est bloqué. »
« Votre abonnement arrive à expiration. »
« Votre ordinateur est infecté. »
« Votre déclaration fiscale nécessite une vérification. »
3. Créer une émotion
L'attaquant cherche généralement à provoquer une réaction immédiate. Il peut utiliser :
- la peur
- l'urgence
- la curiosité
- l'appât du gain
- l'autorité
- la sympathie
- la confiance
4. Obtenir une action
La victime est ensuite poussée à effectuer une action :
cliquer, répondre, appeler, payer, transmettre un code ou installer un logiciel.
C'est à ce moment que l'attaque produit son résultat.
Les principales techniques d'ingénierie sociale
Le phishing
C'est probablement la forme la plus connue. La victime reçoit un courriel qui semble provenir d'un organisme connu :
- banque
- administration
- opérateur téléphonique
- service de livraison
- Microsoft
- Apple
- fournisseur d'énergie.
Le message contient généralement un lien invitant à effectuer une action. Le lien conduit vers un faux site, destiné à récupérer les informations saisies.
Le smishing
Le principe est identique au phishing, mais le message arrive par SMS. Par exemple :
« Votre colis ne peut pas être livré. Veuillez confirmer votre adresse. »
Le SMS contient un lien. Le caractère personnel du téléphone et le fait que les SMS soient généralement lus rapidement rendent cette technique particulièrement efficace.
Le vishing
Le vishing est une arnaque réalisée par téléphone. L'escroc se fait passer pour :
- un conseiller bancaire
- un technicien informatique
- un agent administratif
- un policier
- un conseiller d'un opérateur
- un service de sécurité
Le téléphone apporte un élément supplémentaire : la voix donne une impression de présence et de légitimité. L'escroc peut également utiliser l'urgence :
« Il faut agir immédiatement pour bloquer l'opération. »
Le faux technicien informatique
C'est une forme particulièrement intéressante d'ingénierie sociale. Une fenêtre apparaît sur l'écran :
« ALERTE ! Votre ordinateur est infecté. Appelez immédiatement le support Microsoft. »
Un numéro de téléphone est affiché. La victime appelle. L'escroc se présente comme un technicien et lui demande d'installer un logiciel de prise en main à distance. À partir de là, la victime peut donner involontairement accès à son ordinateur. Le pirate n'a pas forcément eu besoin de trouver une faille technique. Il a simplement convaincu l'utilisateur de lui ouvrir la porte.
L'usurpation d'identité
L'attaquant peut également se faire passer pour quelqu'un que la victime connaît.
Par exemple :
« Bonjour, c'est ton fils. J'ai changé de numéro. J'ai besoin que tu m'aides rapidement. »
Ou :
« Bonjour, c'est le directeur. Peux-tu effectuer ce virement immédiatement ? »
Ou encore :
« Je vous appelle du service informatique de votre entreprise. »
L'objectif est de profiter de la confiance accordée à l'identité usurpée.
La fraude au président
Dans une entreprise, l'attaquant peut se faire passer pour un dirigeant ou un responsable.
Il demande par exemple à un employé :
« Je suis actuellement en déplacement. J'ai besoin que ce virement soit effectué rapidement et de manière confidentielle. »
L'employé pense obéir à son supérieur. Il s'agit d'une attaque d'ingénierie sociale utilisant plusieurs leviers :
autorité + urgence + confidentialité.
L'ingénierie sociale et les fuites de données
Les fuites de données rendent les attaques beaucoup plus dangereuses. Prenons l'exemple d'une fuite contenant :
- nom
- adresse
- téléphone
- adresse e-mail
- informations fiscales.
Un escroc possède alors suffisamment d'informations pour construire un scénario extrêmement crédible.
Il ne dit plus :
« Bonjour, nous avons un problème avec votre compte. »
Il peut dire :
« Monsieur Dupont, nous avons constaté une anomalie concernant votre prélèvement à la source. »
La victime reconnaît immédiatement des informations qui la concernent. Elle peut alors baisser sa vigilance.
C'est l'une des raisons pour lesquelles les fuites de données peuvent continuer à produire des conséquences longtemps après l'incident initial.
Une information exacte ne prouve rien
C'est probablement l'une des règles les plus importantes à retenir. Un escroc peut connaître :
- votre nom
- votre adresse
- votre date de naissance
- votre banque
- votre numéro de téléphone
- votre adresse e-mail
- votre employeur
- votre revenu
- certaines informations fiscales
Cela ne signifie absolument pas qu'il est réellement :
votre banque, votre employeur, votre opérateur ou l'administration.
Une information exacte n'est pas une preuve d'identité.
Les émotions : l'arme préférée de l'escroc
L'ingénierie sociale fonctionne beaucoup sur les émotions.
La peur
« Votre compte va être bloqué. »
L'urgence
« Vous devez agir dans les 30 minutes. »
Le gain
« Vous avez droit à un remboursement. »
L'autorité
« Je suis du service sécurité de votre banque. »
La curiosité
« Une photo compromettante vous concernant circule sur Internet. »
La sympathie
« Je suis désolé de vous déranger, mais j'ai vraiment besoin de votre aide. »
Dans tous ces cas, l'objectif est le même :
faire agir la victime avant qu'elle ait le temps de réfléchir.
Comment se protéger ?
La meilleure protection est de ralentir l'attaque. Lorsqu'un message ou un appel provoque une émotion forte, prenez quelques secondes. Posez-vous quatre questions :
1. Qui me contacte ?
Est-ce réellement cette personne ou cet organisme ?
2. Pourquoi me contacte-t-on ?
Est-ce une situation que j'attendais ?
3. Pourquoi dois-je agir immédiatement ?
L'urgence est-elle réelle ?
4. Puis-je vérifier autrement ?
Appelez l'organisme avec un numéro trouvé par vous-même, et non avec celui fourni dans le message.
Ne jamais communiquer un code de sécurité. Un code reçu par SMS ou généré par une application d'authentification est destiné à vous. Un véritable conseiller bancaire n'a pas besoin que vous lui dictiez ce code. Si quelqu'un vous téléphone et vous demande :
« Pouvez-vous me communiquer le code que vous venez de recevoir ? »
raccrochez.
Même si la personne connaît votre nom, votre adresse et les dernières opérations effectuées.
Laisser passer le temps
L'urgence est l'une des armes principales de l'ingénierie sociale. Une bonne règle peut donc être :
Plus on me demande d'agir rapidement, plus je prends le temps de vérifier.
Un message réellement important pourra généralement être vérifié directement auprès de l'organisme concerné.
L'ingénierie sociale à l'ère de l'intelligence artificielle
L'intelligence artificielle rend certaines attaques encore plus crédibles. Il est désormais possible de produire facilement :
- des messages parfaitement rédigés
- des courriels sans fautes
- des conversations personnalisées
- des voix synthétiques
- des images truquées
- des vidéos manipulées
La présence de fautes d'orthographe n'est donc plus un indicateur suffisant.
Un message parfaitement écrit peut parfaitement être une arnaque.
Le réflexe essentiel : vérifier par un autre canal
C'est probablement la meilleure protection contre l'ingénierie sociale. Si votre banque vous appelle :
raccrochez et rappelez votre banque avec le numéro officiel.
Si votre employeur vous demande un virement :
vérifiez directement auprès de lui.
Si un proche vous demande de l'argent :
appelez-le sur son numéro habituel.
Si les impôts vous demandent une action :
ouvrez vous-même impots.gouv.fr.
On appelle cela une vérification hors bande : on utilise un autre moyen de communication que celui employé par l'attaquant.