• Pourquoi les cyberattaquants ont-ils souvent recours à l'ingénierie sociale ?

Pourquoi les cyberattaquants ont-ils souvent recours à l'ingénierie sociale ?

Blog

Découvrez pourquoi les cyber-attaquants utilisent les attaques par ingénierie sociale pour s'introduire dans un réseau d'entreprise et voler des informations sensibles.

par Ahona Rudra

Temps de lecture : 7 min
Pourquoi les cyberattaquants ont-ils souvent recours à l'ingénierie sociale ?
Table des matières-

Les cyberattaquants utilisent l'ingénierie sociale, un type d'attaque qui cible l'élément humain plutôt que le système informatique et ses logiciels. L'attaquant tente de tromper une personne pour qu'elle effectue une action qui lui permette d'accéder à l'ordinateur de la victime. L'un des types d'attaque les plus courants est l'attaque de l'homme du milieu. Cette attaque se produit lorsqu'un attaquant se fait passer pour quelqu'un d'autre afin de tromper les victimes en leur faisant croire qu'elles parlent directement entre elles via des protocoles normalisés tels que la réponse vocale interactive, le courrier électronique, la messagerie instantanée et les conférences sur le web. Le piratage par manipulation humaine est plus facile à exécuter que le piratage direct à partir d'une source externe. Cet article explique pourquoi les attaques par SE sont en augmentation et pourquoi les cyberattaquants utilisent couramment ces tactiques.

Points clés à retenir

  1. Les attaques par ingénierie sociale manipulent l'élément humain, ce qui en fait une méthode privilégiée par les cybercriminels.
  2. Les attaques exploitent souvent la confiance et les relations humaines, nécessitant des compétences techniques minimales de la part de l'attaquant.
  3. En fouillant dans les matériaux mis au rebut, les attaquants peuvent obtenir des informations sensibles sans avoir besoin de recourir à des techniques de piratage.
  4. Les déclencheurs émotionnels tels que la peur, l'avidité et l'urgence augmentent considérablement les chances de réussite d'une attaque d'ingénierie sociale.
  5. Certains traits de personnalité, comme l'agréabilité et l'extraversion, rendent les individus plus sensibles aux tactiques d'ingénierie sociale.

Pourquoi les cyber-attaquants utilisent-ils l'ingénierie sociale ? Causes et raisons probables

Les attaques d'ingénierie sociale sont l'une des méthodes les plus populaires et les plus efficaces utilisées par les pirates informatiques aujourd'hui. Ces attaques exploitent souvent les relations interhumaines, telles que la confiance et la familiarité des employés, ou la proximité physique entre les employés et les clients.

Les attaques ont tendance à être plus efficaces lorsqu'elles reposent sur l'interaction humaine, ce qui signifie que la technologie ne peut pas nous en protéger. Tout ce dont un attaquant a besoin, c'est d'un peu d'information sur les habitudes ou les préférences de sa cible et d'un peu de créativité dans la manière dont il se présente à la victime. Les attaquants obtiennent ainsi ce qu'ils veulent sans avoir à recourir à des techniques plus compliquées, comme le piratage du réseau d'une organisation ou l'intrusion dans les systèmes d'une entreprise.

Simplifiez la sécurité de l'ingénierie sociale avec PowerDMARC !

15 jours d'essaiRéservez une démo

b. Les techniques de piratage avancées ne sont pas nécessaires

Les attaques par ingénierie sociale utilisent la confiance des gens pour accéder à un système ou à un réseau. Ces attaques sont efficaces parce qu'il est facile pour un attaquant d'obtenir un accès, plutôt que d'utiliser des techniques de piratage avancées pour s'introduire par la force brute dans un réseau. Lorsqu'un attaquant procède ainsi, il utilise généralement des techniques de manipulation psychologique telles que le phishing, le spear phishing et le pretexting. ➜ L'hameçonnage consiste pour un pirate à envoyer des courriels qui semblent légitimes, mais qui sont conçus pour inciter les utilisateurs à donner leurs informations personnelles, comme leurs mots de passe ou les détails de leurs cartes de crédit. ➜ Le spear phishing (ou hameçonnage) est le fait pour un pirate d'utiliser les mêmes méthodes que le phishing, mais avec des techniques plus avancées, telles que l'usurpation d'identité, pour vous inciter à donner vos informations. ➜ L'escroquerie par prétexte (pretexting scams ) désigne le fait qu'un attaquant utilise des prétextes pour gagner la confiance de ses victimes avant d'essayer de les voler. Une fois que les attaquants ont accédé à votre système ou réseau, ils peuvent y faire tout ce qu'ils veulent, y compris installer des programmes, modifier des fichiers ou même les supprimer, sans se faire prendre par un système de sécurité ou un administrateur qui pourrait les en empêcher s'il savait ce qui se passe à l'intérieur de leur réseau !

c. Le Dumpster Diving est plus facile que le Brute Forcing dans un réseau

Lafouille de poubelles consiste à récupérer des informations à partir de matériaux mis au rebut afin de mener des attaques d'ingénierie sociale. La technique consiste à fouiller les poubelles pour y trouver des trésors tels que des codes d'accès ou des mots de passe écrits sur des notes autocollantes. La fouille des poubelles facilite ce type d'activités car elle permet au pirate d'accéder au réseau sans avoir à s'y introduire. Les informations trouvées par les fouilleurs de poubelles peuvent être banales, comme une liste de numéros de téléphone ou un calendrier, ou plus anodines, comme un organigramme. Mais ces informations apparemment innocentes peuvent aider un pirate à utiliser des techniques d'ingénierie sociale pour accéder au réseau. En outre, si un ordinateur a été mis au rebut, il peut constituer un véritable trésor pour les cyberattaquants. Il est possible de récupérer des informations sur les supports de stockage, y compris les disques qui ont été effacés ou mal formatés. Les mots de passe et les certificats de confiance sont souvent stockés sur l'ordinateur et sont vulnérables aux attaques. L'équipement mis au rebut peut contenir des données sensibles sur le Trusted Platform Module (TPM). Ces données sont importantes pour une organisation car elles lui permettent de stocker en toute sécurité des informations sensibles, telles que des clés cryptographiques. Un ingénieur social pourrait exploiter les identifiants matériels auxquels une organisation fait confiance pour créer des exploits potentiels contre ses utilisateurs.

d. Utilise la peur, la cupidité et le sentiment d'urgence des gens.

Les attaques par ingénierie sociale sont faciles à réaliser parce qu'elles s'appuient sur l'élément humain. Le cyber-attaquant peut utiliser le charme, la persuasion ou l'intimidation pour manipuler la perception de la personne ou exploiter ses émotions afin d'obtenir des informations importantes sur son entreprise. Par exemple, un cyber-attaquant peut parler avec un employé mécontent d'une entreprise pour obtenir des informations cachées, qui peuvent ensuite être utilisées pour s'introduire dans le réseau. L'employé mécontent peut fournir des informations sur l'entreprise à un pirate informatique s'il estime être traité injustement ou maltraité par son employeur actuel. Il peut également fournir des informations sur l'entreprise s'il n'a pas d'autre emploi et sera bientôt au chômage. Les méthodes de piratage plus avancées consistent à s'introduire dans un réseau à l'aide de techniques plus perfectionnées telles que les logiciels malveillants, les enregistreurs de frappe et les chevaux de Troie. Ces techniques avancées nécessitent beaucoup plus de temps et d'efforts que le simple fait de parler à un employé mécontent pour obtenir des informations cachées qui peuvent être utilisées pour s'introduire dans un réseau.

Les six grands principes de l'influence

Les escroqueries par ingénierie sociale exploitent six vulnérabilités spécifiques du psychisme humain. Ces vulnérabilités ont été identifiées par le psychologue Robert Cialdini dans son livre "Influence : The Psychology of Persuasion" et sont : ➜ Réciprocité - La réciprocité est le désir de rendre des faveurs en nature. Nous avons tendance à nous sentir redevables envers les personnes qui nous ont aidés ; nous pensons qu'il est de notre responsabilité de les aider. Ainsi, lorsque quelqu'un nous demande quelque chose - un mot de passe, l'accès à des dossiers financiers ou autre chose - nous sommes plus enclins à le faire s'il nous a déjà aidés. ➜ Engagement et cohérence - Nous avons tendance à faire les choses dans la durée plutôt qu'une seule fois. Nous sommes plus enclins à accepter une demande si nous avons déjà accepté l'une de ses parties - ou même plusieurs. Si quelqu'un a déjà demandé l'accès à vos dossiers financiers, il n'est peut-être pas si difficile de le redemander après tout ! ➜ Preuve sociale - Il s'agit d'une technique de tromperie qui repose sur le fait que nous avons tendance à suivre l'exemple des personnes qui nous entourent (également connu sous le nom d'"effet bandwagon"). Par exemple, les employés pourraient être influencés par un acteur de la menace qui présente de fausses preuves qu'un autre employé s'est conformé à une demande. ➜ Aimer - Nous aimons les gens qui ont l'air de commander ; un pirate pourrait donc envoyer à votre adresse électronique un message qui semble provenir de votre patron ou d'un de vos amis, ou même d'un expert dans un domaine qui vous intéresse. Le message pourrait dire quelque chose comme : "Hé ! Je sais que tu travailles sur ce projet et nous avons besoin d'aide. Pouvons-nous nous rencontrer bientôt ?" Il demande généralement votre aide - et en acceptant, vous donnez des informations sensibles. ➜ L'autorité - Les gens se soumettent généralement aux figures d'autorité parce qu'ils les considèrent comme les "bonnes" personnes à suivre et à obéir. Ainsi, les tactiques d'ingénierie sociale peuvent exploiter notre tendance à faire confiance à ceux qui semblent faire autorité pour obtenir ce qu'ils veulent de nous. ➜ La pénurie - La pénurie est un instinct humain qui est inscrit dans notre cerveau. C'est le sentiment de "j'ai besoin de ça maintenant" ou "je devrais avoir ça". Ainsi, lorsque des personnes se font escroquer par des ingénieurs sociaux, elles ressentent un sentiment d'urgence à donner leur argent ou leurs informations le plus rapidement possible.

Les personnalités qui sont vulnérables à l'ingénierie sociale et pourquoi ?

Selon Margaret Cunningham, chercheuse principale en comportement humain chez Forcepoint X-Labs, une société de cybersécurité, l'agréabilité et l'extraversion sont les traits de personnalité les plus vulnérables aux exploits d'ingénierie sociale. Les personnes agréables ont tendance à faire confiance, à être amicales et à suivre les instructions sans poser de questions. Ils sont de bons candidats pour les attaques de phishing car ils sont plus susceptibles de cliquer sur des liens ou d'ouvrir des pièces jointes dans des courriels qui semblent authentiques. Les extravertis sont également plus vulnérables aux attaques d'ingénierie sociale car ils préfèrent souvent être entourés d'autres personnes et sont plus enclins à faire confiance aux autres. Ils sont plus susceptibles de se méfier des motivations des autres que les personnes introverties, ce qui peut les amener à être trompés ou manipulés par un ingénieur social.

Les personnalités qui résistent à l'ingénierie sociale et pourquoi ?

Les personnes qui résistent aux agressions de l'ingénierie sociale ont tendance à être consciencieuses, introverties et à avoir une grande efficacité personnelle. Les personnes consciencieuses sont les plus susceptibles de pouvoir résister aux escroqueries par ingénierie sociale en se concentrant sur leurs propres besoins et désirs. Elles sont également moins susceptibles de se conformer aux exigences des autres. Les introvertis ont tendance à être moins sensibles à la manipulation externe parce qu'ils prennent du temps pour eux et apprécient la solitude, ce qui signifie qu'ils sont moins susceptibles d'être influencés par des signaux sociaux ou des personnes insistantes qui tentent de les influencer. L'auto-efficacité est importante parce qu'elle nous aide à croire en nous-mêmes, ce qui nous permet d'être plus confiants dans notre capacité à résister à la pression des autres ou aux influences extérieures.

Protégez votre organisation des escroqueries par ingénierie sociale avec PowerDMARC

L'ingénierie sociale est une pratique qui consiste à manipuler les employés et les clients pour qu'ils divulguent des informations sensibles qui peuvent être utilisées pour voler ou détruire des données. Dans le passé, ces informations étaient obtenues en envoyant des courriels qui semblaient provenir de sources légitimes, comme votre banque ou votre employeur. Aujourd'hui, il est beaucoup plus facile d'usurper des adresses électroniques. PowerDMARC aide à se protéger contre ce type d'attaque en déployant des protocoles d'authentification du courrier électronique tels que SPF, DKIM et Politique DMARC p=rejet dans votre environnement afin de minimiser le risque d'usurpation de domaine direct et d'attaques par hameçonnage. Si vous souhaitez vous protéger, ainsi que votre entreprise et vos clients, contre les attaques d'ingénierie sociale, inscrivez-vous à notre programme de formation à l'ingénierie sociale. Essai gratuit de DMARC aujourd'hui !

Derniers messages de Ahona Rudra (voir tous)
Qu'est-ce qu'un enregistrement DNS CNAME ?Qu'est-ce qu'un enregistrement DNS CNAME ?Qu'est-ce que l'ADSP ?Qu'est-ce que l'ADSP ? Pratiques de signature de domaine d'auteur dans DKIM