Ingénierie sociale

Ce que ça change pour une organisation

Le glossaire de l’ANSSI précise que les personnes malveillantes qui recourent à ces méthodes exploitent le facteur humain, que l’on peut considérer dans certains cas comme un maillon faible de la sécurité du système d’information. Cybermalveillance.gouv.fr présente de son côté le hameçonnage comme le principal mode opératoire des cybercriminels pour dérober des informations personnelles et bancaires : par courriel, SMS ou téléphone, il consiste à usurper l’identité d’un tiers de confiance (banque, administration, entreprise de livraison, commerce en ligne).

La parade ne peut donc pas être uniquement technique. Elle repose sur des procédures qui ne dépendent pas de la vigilance d’une seule personne : double validation des virements et des changements de coordonnées bancaires, vérification de toute demande inhabituelle par un second canal indépendant (rappel à un numéro connu), sensibilisation régulière à partir de scénarios réels, limitation des informations publiques exploitables sur les collaborateurs et, lorsque c’est possible, authentification multifacteur résistante au hameçonnage.

Exemple

L’arnaque au faux support technique est documentée par Cybermalveillance.gouv.fr. Une alerte alarmante, diffusée par un courriel de hameçonnage ou une page frauduleuse sponsorisée dans un moteur de recherche, annonce une infection virale et pousse la victime à appeler en urgence un prétendu support « gratuit ». Depuis fin 2022, ce mode opératoire, qui repose sur l’ingénierie sociale, s’est durci : les escrocs prennent le contrôle des comptes bancaires en ligne de la victime en prétextant que l’infection les aurait affectés, puis lui font valider des opérations censées les sécuriser et qui servent en réalité à les vider. Les préjudices, de quelques centaines d’euros auparavant, peuvent atteindre plusieurs milliers, voire dizaines de milliers d’euros.

À ne pas confondre avec

• Le hameçonnage (phishing), qui est l’un des moyens de l’ingénierie sociale et non son synonyme : l’ingénierie sociale désigne l’ensemble de la manipulation, quel que soit le canal.
• L’exploitation d’une vulnérabilité, qui vise un défaut d’un logiciel ou d’un système, alors que l’ingénierie sociale vise le comportement d’une personne.
• Le vishing, déclinaison du hameçonnage par téléphone, qui ne représente qu’une des formes de l’ingénierie sociale.