La menace de l'ingénierie sociale
Une conception populaire des cyberattaques est qu'elles impliquent un pirate informatique qui identifie et exploite une vulnérabilité dans les systèmes d'une organisation. Cela leur permet d'accéder à des données sensibles, de planter des logiciels malveillants ou d'entreprendre d'autres actions malveillantes. Si ces types d'attaques sont fréquents, l'ingénierie sociale constitue une menace plus courante. En général, il est plus facile d'inciter une personne à effectuer une action particulière - comme saisir ses identifiants de connexion sur une page de hameçonnage - que d'atteindre le même objectif par d'autres moyens.
11 types d'attaques d'ingénierie sociale
Les acteurs de la cybermenace peuvent utiliser des techniques d'ingénierie sociale de différentes manières pour atteindre leurs objectifs. Voici quelques exemples d'attaques d'ingénierie sociale courantes :
- Phishing: L'hameçonnage consiste à envoyer des messages conçus pour tromper ou contraindre la cible à effectuer une action. Par exemple, les courriels d'hameçonnage contiennent souvent un lien vers une page web d'hameçonnage ou une pièce jointe qui infecte l'ordinateur de l'utilisateur avec un logiciel malveillant. Les attaques de spear phishing sont un type d'hameçonnage qui cible un individu ou un petit groupe.
- Business Email Compromise (BEC) : Dans une attaque BEC, l'attaquant se fait passer pour un cadre de l'organisation. L'attaquant demande alors à un employé d'effectuer un virement bancaire pour lui envoyer de l'argent.
- Fraude à la facture : Dans certains cas, les cybercriminels peuvent se faire passer pour un vendeur ou un fournisseur afin de voler de l'argent à l'organisation. L'attaquant envoie une fausse facture qui, lorsqu'elle est payée, envoie de l'argent à l'attaquant.
- Usurpation d'identité : L'usurpation d'identité est une technique courante dans les attaques d'ingénierie sociale. Par exemple, les hameçonneurs peuvent se faire passer pour une grande marque (DHL, LinkedIn, etc.) et inciter la cible à se connecter à son compte sur une page d'hameçonnage, fournissant ainsi à l'attaquant les informations d'identification de l'utilisateur.
- Chasse à la baleine: Les attaques de type "whaling" sont essentiellement des attaques de type "spear hameçonnage" qui ciblent des employés de haut niveau au sein d'une organisation. Les dirigeants et les cadres supérieurs ont le pouvoir d'autoriser des actions qui profitent à un attaquant.
- Appât : Les attaques par appât utilisent un prétexte gratuit ou désirable pour attirer l'attention de la cible, l'incitant à fournir ses identifiants de connexion ou à entreprendre d'autres actions. Par exemple, en tentant les cibles avec de la musique gratuite ou des réductions sur des logiciels haut de gamme.
- Vishing: Le vishing ou "hameçonnage vocal" est une forme d'ingénierie sociale réalisée par téléphone. Il utilise des astuces et des techniques similaires à celles de l'hameçonnage, mais sur un support différent.
- Pêche au saumon: Le smishing est un hameçonnage effectué par le biais de messages SMS. Avec l'utilisation croissante de smartphone et des services de raccourcissement de liens, le smishing devient une menace de plus en plus courante.
- Prétextat : L'attaquant crée un faux scénario dans lequel il serait logique que la cible envoie de l'argent ou transmette des informations sensibles à l'attaquant. Par exemple, l'attaquant peut prétendre être un tiers de confiance qui a besoin d'informations pour vérifier l'identité de la victime.
- Quid Pro Quo : Dans une attaque "quid pro quo", l'attaquant donne à la cible quelque chose - comme de l'argent ou un service - en échange d'informations précieuses.
- Tailgating/Piggybacking : Le tailgating et le piggybacking sont des techniques d'ingénierie sociale utilisées pour accéder à des zones sécurisées. L'ingénieur social suit une personne à travers une porte, à son insu ou non. Par exemple, un employé peut tenir la porte pour quelqu'un qui se débat avec un colis lourd.
Comment prévenir les attaques d'ingénierie sociale
L'ingénierie sociale cible les employés d'une organisation plutôt que les faiblesses de ses systèmes. Une organisation peut notamment se protéger contre les attaques par ingénierie sociale :
- Formation des employés : Les attaques par ingénierie sociale sont conçues pour tromper la cible visée. Former les employés à identifier les techniques courantes d'ingénierie sociale et à y répondre correctement permet de réduire le risque qu'ils tombent dans le piège.
- Le moindre privilège: Les attaques par ingénierie sociale ciblent généralement les informations d'identification de l'utilisateur, qui peuvent être utilisées dans des attaques ultérieures. Le fait de restreindre l'accès des utilisateurs limite les dommages qui peuvent être causés par ces informations d'identification.
- Séparation des tâches : La responsabilité des processus critiques, tels que les virements électroniques, doit être répartie entre plusieurs parties. Cela permet de s'assurer qu'aucun employé ne peut être piégé ou contraint par un pirate à effectuer ces actions.
- Solutions anti-hameçonnageLe hameçonnage est la forme la plus courante d'ingénierie sociale. Les solutions anti-hameçonnage, telles que l'analyse du courrier électronique, permettent d'identifier et de bloquer les courriels malveillants qui parviennent dans les boîtes de réception des utilisateurs.
- authentification multi-facteurs (MFA) : L'authentification multifacteurs rend plus difficile l'utilisation par un pirate d'informations d'identification compromises par l'ingénierie sociale. En plus d'un mot de passe, l'attaquant aurait également besoin d'accéder à l'autre facteur de l'AMF.
- Sécurité des postes: L'ingénierie sociale est couramment utilisée pour diffuser des logiciels malveillants dans les systèmes cibles. Les solutions de sécurité des postes peuvent limiter les impacts négatifs d'une attaque de hameçonnage réussie en identifiant et en remédiant aux infections du logiciel malveillant.
Commentaires