Cybermoi/s : comprendre la fraude par l’ingénérie sociale

Comme nous vous l’évoquions la semaine dernière, le mois d’octobre a marqué le lancement de l’édition 2023 du Cybermoi/s. Cette année, le thème central de cette campagne de sensibilisation est la fraude par l’ingénierie sociale, un sujet vaste et complexe qui concerne aussi bien les professionnels que les particuliers. Face à l’évolution constante des techniques utilisées par les cybercriminels, il devient primordial de comprendre les enjeux de cette menace et d’adopter des stratégies de prévention efficaces.

Définition du terme 

L’ingénierie sociale est une méthode de manipulation qui repose sur l’utilisation de techniques psychologiques pour influencer le comportement d’une personne. L’objectif est d’exploiter l’erreur humaine en exploitant des faiblesses émotionnelles, psychologiques ou sociales, afin de pousser la victime à agir contre ses propres intérêts. Dans le domaine de la sécurité de l’information, l’ingénierie sociale joue un rôle central en incitant les individus à divulguer des informations privées, telles que leurs identifiants de connexion, leurs mots de passe, ou encore leurs informations financières. Ces attaques exploitent la confiance et l’urgence pour contourner les mesures de sécurité traditionnelles, mettant en péril la confidentialité des données.

Fraude à l’ingénierie sociale : les formes les plus courantes  

La fraude à l’ingénierie sociale peut prendre de nombreuses formes : en voici une sélection non exhaustive des plus courantes.  

Le phishing  

L’agresseur se fait passer pour une personne de confiance pour tromper l’utilisateur, en utilisant une adresse mail piratée ou un faux site web usurpant l’identité d’un proche ou d’une entreprise. Le but est d’inciter la victime à ouvrir le mail et cliquer sur un lien malveillant. Quand le phishing se fait par l’intermédiaire d’un SMS, on parle alors de smishing.  

Le spear phishing  

Cette variante du phishing vise des personnes dans une entreprise. Souvent, le cybercriminel usurpe l’identité d’une personne de l’entreprise, et cherche à récupérer des données sensibles sur l’entreprise.  Le spear phishing ou harponnage est plus complexe que le phishing classique, car il nécessite une recherche approfondie sur les cibles potentielles et leurs organisations. 

Le whaling 

Les tentatives de phishing visent des individus au hasard, tandis que le phishing ciblé s’attaque à des individus spécifiques. Cependant, le whaling va encore plus loin en se concentrant sur des personnes stratégiques au sein d’une organisation, comme les dirigeants ou les cadres supérieurs. Le terme ‘whaling’ fait référence à l’idée de ‘pêcher’ des cibles importantes, souvent désignées sous le nom de ‘gros poissons’ ou ‘baleines’. Ces attaques sont particulièrement dangereuses car elles visent des individus qui occupent des postes de pouvoir, tels que le PDG, le directeur financier, ou d’autres figures influentes. Les communications frauduleuses qu’ils reçoivent sont conçues pour ressembler à des demandes légitimes en provenance d’autres figures d’autorité, ce qui rend difficile pour ces personnes de les ignorer ou de les remettre en question. L’enjeu est d’autant plus important car le personnel, ne voulant pas désobéir à un supérieur, est plus susceptible de répondre à ces demandes, ce qui expose l’entreprise à un risque considérable de piratage informatique.

Le vishing 

Les attaques de vishing, similaires aux attaques de phishing, visent à obtenir des informations sensibles, mais se distinguent par leur méthode. Elles prennent la forme d’appels téléphoniques ou de messages vocaux émanant prétendument d’entreprises légitimes. Ces attaques cherchent à duper la victime en l’incitant à fournir des informations personnelles telles que son nom, son adresse, son numéro de sécurité sociale, ou encore ses données de carte bancaire. Ce type de fraude est particulièrement insidieux, car il repose sur la manipulation et l’urgence, ce qui rend la victime plus vulnérable.

L’avis de Pérenne’IT 

 La fraude par l’ingénérie sociale peut prendre de nombreuses formes, et touche aussi bien les particuliers que les professionnels. Pour les entreprises, la parade passe la sensibilisation régulières des utilisateurs, en utilisant notamment des campagnes de simulation de phishing, comme Pérenne’IT le propose au quotidien à ses clients.