L’in­gé­nie­rie sociale ou la faille humaine

Les spé­cia­listes de l’in­for­ma­tique s’efforcent d’assurer la sécurité du modèle OSI à tous les niveaux. Cette im­por­tante fuite ne se situe en générale pas au sein du réseau mais concerne les individus en tant que tels. Ces attaques se servent en général des com­por­te­ments ou de la per­son­na­lité par­ti­cu­lière des uti­li­sa­teurs tels que la ser­via­bi­lité, la confiance, le respect, la fierté, la re­con­nais­sance, la fuite des conflits ou l’anxiété dans le but de s’emparer de leurs accès in­for­ma­tiques. Cette méthode est appelée l’in­gé­nie­rie sociale ou social en­gi­nee­ring en anglais et entraîne plusieurs milliards de cas par an. Pour les en­tre­prises, il est de fait essentiel de former ses salariés et de procéder à des lignes di­rec­trices claires en matière de com­por­te­ment face aux in­for­ma­tiques con­fi­den­tielles.

Même le mot de passe le plus sécurisé du monde n’est d’aucun secours face à des in­ter­lo­cu­teurs aussi bel­li­queux. L’in­gé­nie­rie sociale comprend diverses astuces sociales psy­cho­lo­giques utilisées en général dans le cadre de mission d’es­pion­nage in­dus­triel dans le but de soutirer des in­for­ma­tions im­por­tantes. Les at­ta­quants utilisent ces dernières pour infiltrer des systèmes in­for­ma­tiques ou pour avoir accès à des in­for­ma­tions sensibles sur des en­tre­prises. On parle alors dans ce cas également de piratage social. Par ailleurs, l’in­gé­nie­rie sociale est utilisée pour in­fluen­cer les salariés à agir de manière ir­ré­flé­chie. Il peut s’agit de l’ins­tal­la­tion d’un programme inconnu ou de tran­sac­tions fi­nan­cières douteuses par exemple. Un contact direct entre l’attaquant et la victime n’est en soit pas obli­ga­toire. Même les emails basés sur les modèles de ha­me­çon­nage (pishing) s’inspirent de l'in­gé­nie­rie sociale. Nous pourrions citer en exemple l’appel d’une personne qui se veut ad­mi­nis­tra­teur de système et dont le but est de prendre votre mot de passe pour soi-disant régler un problème urgent.

L'idée de l'in­gé­nie­rie sociale peut sembler banale mais s’avère bien plus complexe qu’elle n’en a l’air et comprend des méthodes d'in­fil­tra­tion ex­trê­me­ment efficaces. Cela est dû à la fois aux côtés positifs et négatifs des per­son­na­li­tés de chaque in­ter­nautes. L’hos­pi­ta­lité par exemple est une valeur pri­mor­diale dans la majorité des cultures et la maladie du « je ne sais pas dire non » est bien entendu ex­trê­me­ment répandue. Certains peuvent se montrer coo­pé­ra­tifs, par peur de mal répondre dans des si­tua­tions in­ha­bi­tuelles.

Mais ces qualités humaines ne sont pas les seuls facteurs utilisés par les auteurs de ces attaques. La fierté peut également être un moteur. Nous pourrions citer l’exemple d’un entretien d’embauche où le candidat se trouve en position (souvent) d’in­fé­rio­rité. Souvent, l’in­ter­lo­cu­teur tendra à éviter le conflit et livrera des in­for­ma­tions en toute con­nais­sance de cause. La peur est le meilleur moteur pour ce genre de com­por­te­ment. Il est fort probable qu’un par­ti­cu­lier qui reçoit un appel provenant d’un soi-disant ad­mi­nis­tra­teur de sa ligne de téléphone donne ses in­for­ma­tions per­son­nelles si celui-ci le menace de la couper. Il est très facile d’intimider en prenant comme appui des notions tech­niques pointues que peu de personnes sai­sis­sent. La peur face à ses su­pé­rieurs peut également servir aux « social hackers » : l’email provenant d’un employeur qui demande de l’argent est bien connu.

Pour tromper leurs victimes, ces escrocs se font en général passer pour des collègues, des su­pé­rieurs hié­rar­chiques, des clients, voire des candidats du salarié de l’en­tre­prise visée. Ils peuvent également prendre le rôle d’un con­seil­ler té­lé­pho­nique dont le travail est de mesurer la sa­tis­fac­tion de la clientèle ou d’effectuer une enquête au nom d’un organisme de recherche.

Ces in­gé­nieurs sociaux ne se limitent pas né­ces­sai­re­ment à des contacts uniques. Il est également possible de demander des services à la victime pendant un certain temps ou de la divertir en lui faisant la con­ver­sa­tion. Le piratage est alors réel si une confiance est établie entre les deux pro­ta­go­nistes et que l’auteur de l’attaque réussit à ras­sem­bler un certain nombre d’in­for­ma­tions. Il est fréquent qu’une telle en­tre­prise exige une im­por­tante recherche en amont. Les sources d’in­for­ma­tions sont les pages d’en­tre­prises sur les réseaux sociaux tels que Facebook voire LinkedIn. Un autre degré d’attaque est le dumspter diving soit le « dé­ché­ta­risme » en français dont la pratique est de fouiller dans les poubelles des en­tre­prises visées dans le but de décrocher les documents con­fi­den­tiels. 

L’in­gé­nie­rie sociale est réalisée en générale par email ou par téléphone. Ce danger pour les en­tre­prises de donner de telles in­for­ma­tions con­fi­den­tielles est aussi présent dans les lieux publics tels que dans les bars, les cafés ou les res­tau­rants là où les salariés d’en­tre­prise se sentent en sécurité et libérés de leur stress quotidien. Par ailleurs, une dis­cus­sion par téléphone portable peut aussi s’avérer pé­ril­leuse étant donné que les con­ver­sa­tions sont en général tenue en public, dans la rue, dans les parcs voire dans les trans­ports en commun.

La solution lo­gi­cielle d’in­gé­nie­rie sociale se base sur des pro­grammes mal­veil­lants et a pour but d’effrayer les in­ter­nautes et de les inciter à commettre des actions non-désirées. On parle alors dans ce cas d’un rogue, soit Scareware en anglais. Les pro­grammes de ce type disposent du modèle suivant : une menace est transmise à l’uti­li­sa­teur via le logiciel et propose une solution pour y contrer. Le rogue est placé au préalable sur l’or­di­na­teur de la victime. Les auteurs de ces attaques utilisent souvent des noms et des logos d’en­tre­prises ou d’ins­ti­tu­tions re­la­ti­ve­ment connus et dignes de confiance dans le but d’in­fluen­cer leurs victimes et pour qu’elles ins­tal­lent le logiciel mal­veil­lant spon­ta­né­ment sur leurs or­di­na­teurs.

C’est ainsi qu’un rogue peut se cacher dans un programme gratuit d’antivirus. Il propose à l’uti­li­sa­teur des solutions pour résoudre des problèmes soi-disant détectés sur l’or­di­na­teur, ces solutions ont la plupart du temps un coût. Dès que l’uti­li­sa­teur paye, les alertes n’ap­pa­rais­sent plus.

L’in­ter­ven­tion d’un rogue ne prévoit pas toujours d’infiltrer le système. La simple illusion de produit qui n’en n’est pas un suffit. Par exemple, la mesure de défense proposée par ce logiciel peut com­prendre le té­lé­char­ge­ment d’un cheval de Troie. En ce qui concerne une autre variante de cette attaque, le message d’erreur fictif ne s’affiche pas sur le site Internet mais sur le na­vi­ga­teur utilisé. Il est également possible de le voir sur des fenêtres pop-up qui imitent le design du système d’ex­ploi­ta­tion.

Pour protéger son en­tre­prise de ces pratiques d’in­gé­nie­rie sociale, il est important d’informer ses salariés de ce danger face aux in­for­ma­tions con­fi­den­tielles dont ils disposent. Cette sen­si­bi­li­sa­tion à l’es­pion­nage in­dus­trielle peut se faire lors d’une formation qui traite à la fois des méthodes d’attaques mais également des solutions pour les pallier. Il faut que chaque salarié soit conscient des in­for­ma­tions sensibles dont il est en pos­ses­sion et de comment les sécuriser. 

Par ailleurs, il existe des pro­cé­dures ad­mi­nis­tra­tives standards qui assurent aux salariés des lignes di­rec­trices pour savoir comment réagir face à de telles si­tua­tions. Il est clair que si les salariés ont déjà pour obli­ga­tion de ne jamais divulguer leurs mots de passe par email ou par téléphone, il est certain que les in­gé­nieurs sociaux auront du mal à s’en emparer.

L’in­gé­nie­rie sociale repose sur les erreurs humaines ce qui induit que nul n’est à l’abri de ce danger. Les points suivants per­met­tent de com­pli­quer de manière con­si­dé­rable l’accès aux données sensibles :

• Se méfier des personnes ex­té­rieures à l’en­tre­prise : plus l’en­tre­prise est im­por­tante, plus il est facile pour les personnes tiers de s’infiltrer. Face à ce risque, il est important de rester vigilant et de ne pas se montrer trop ouverts. Il est conseillé d’accorder ces données sensibles à une petite poignée de salariés digne de confiance et dont l’identité demeure secrète.
  
  
• In­for­ma­tions par téléphone : il est conseillé de ne donner aucune in­for­ma­tion con­fi­den­tielle par téléphone. Cela vaut avant tout pour les appels entrants et provenant de par­te­naires encore inconnus. Même les in­for­ma­tions annexes peuvent aider les escrocs dans leurs démarches. Toute in­for­ma­tion quelle qu’elle soit présente un risque.
  
  
• Les emails provenant d’ex­pé­di­teurs inconnus : si un ex­pé­di­teur ne dévoile pas son identité, il est conseillé de faire attention. Les salariés d’une en­tre­prise doivent dans tous les cas avertir leurs su­pé­rieurs hié­rar­chiques avant de répondre. Si la demande du message parait sus­pi­cieuse (effectuer un virement ou autre), il convient alors d’appeler l’ex­pé­di­teur en question.
  
  
• Gare aux liens et aux pièces jointes dans les emails : il devient de plus en plus courant de recevoir des emails qui con­tien­nent des liens vers des for­mu­laires de saisie. Les escrocs utilisent ces tech­niques pour s’emparer de données de banque, des mots de passe voire des numéros clients. Pour le monde de l’en­tre­prise, ce sont des pratiques courantes. En principe, les banques sérieuses, les boutiques en ligne ou les sociétés d’as­su­rances n’exigent pas de leurs clients de telles in­for­ma­tions. Il faut également prendre garde face aux pièces jointes. Il se peut que ces dernières pré­sen­tent des pro­grammes mal­veil­lants qui s’ins­tal­le­ront en arrière-plan et qui s’em­pa­re­ront des données. Ce risque peut être minimisé en re­com­man­dant à vos salariés de n’ouvrir les emails qui ne pro­vien­nent que d’ex­pé­di­teurs connus.
  
  
• Pro­tec­tion des données sur les réseaux sociaux : La pré­pa­ra­tion aux attaques d’in­gé­nie­rie sociale doit se faire en amont. Au-delà du site Internet de l’en­tre­prise, les réseaux sociaux pré­sen­tent également une for­mi­dable source d’in­for­ma­tions pour les escrocs du Net. En règle générale, il convient de demander aux salariés de con­fi­gu­rer leurs profils pour qu’aucune in­for­ma­tion ne soit divulguée et de ne pas parler de leurs activités pro­fes­sion­nelles sur ces pla­te­formes.

La com­plexité de ce sujet et la diversité des méthodes d’attaque rend quasi im­pos­sible la pré­ven­tion contre les risques d’in­gé­nie­ries sociales. Néanmoins, il est re­com­mandé de pro­gram­mer ré­gu­liè­re­ment des for­ma­tions sur le sujet afin de sen­si­bi­li­ser les salariés face à de telles menaces. En revanche, ces mesures de pré­ven­tion ne doivent pas être trop res­tric­tives car la réussite de l’en­tre­prise peut en être in­fluen­cée.