L'« ingénierie sociale » pourrait laisser penser qu'il s'agit d'une filière de licence en sciences politiques ou d'une spécialisation en gestion des réseaux sociaux. Cependant, la réalité de l'ingénierie sociale est bien plus sinistre.
L'ingénierie sociale est une cyberattaque qui recourt à la manipulation psychologique pour convaincre des personnes de divulguer des informations sensibles ou d'accorder un accès non autorisé.
À mesure que les surfaces d'attaque des organisations se sont élargies (s'ouvre dans un nouvel onglet) — en raison de l'augmentation du télétravail et du développement des services cloud et des canaux de communication numériques —, les possibilités d'attaques par ingénierie sociale se sont également multipliées. Une fois à l'intérieur, un pirate se fait passer pour un utilisateur légitime et évolue librement au sein de votre réseau, testant vos mesures de sécurité, installant des portes dérobées, espionnant vos communications et volant vos données sensibles.
Ces attaques coûtent également de plus en plus cher aux victimes chaque année. Par exemple, les plaintes relatives à la « Business Email Compromise » (BEC) (une forme courante d’ingénierie sociale) ont été mentionnées pour la première fois dans le rapport du FBI Internet Crime Complaint Center (IC3) intitulé « » (2014 ) (s’ouvre dans un nouvel onglet) ; toutefois, comme l’indique le rapport, ce type d’escroquerie pourrait avoir commencé à apparaître dès 2010. Depuis que le IC3 a commencé à chiffrer les pertes causées par les escroqueries de type BEC en 2014 (226 millions de dollars), le coût a augmenté de près de 13x.
Dans ce guide complet, nous définirons l’ingénierie sociale, nous examinerons les techniques couramment utilisées par les acteurs malveillants, nous analyserons des exemples concrets d’attaques d’ingénierie sociale ayant abouti et nous vous proposerons des stratégies pour protéger votre organisation.
Définition simplifiée de l'ingénierie sociale
Contrairement à d'autres menaces de cybersécurité qui exploitent des failles techniques, l'ingénierie sociale cible les individus, ce qui la rend particulièrement insidieuse et efficace, car les réactions humaines sont imprévisibles.
Dans le cadre des attaques d'ingénierie sociale, les cybercriminels jouent sur les peurs et les émotions de leurs victimes. Parmi les signes avant-coureurs courants de ce type d'attaque, on peut citer :
- Le domaine de l'expéditeur imite celui d'une marque officielle, une pratique également appelée « usurpation d'identité », dans l'espoir que les victimes ne remarquent pas les légères anomalies présentes dans l'adresse e-mail de l'expéditeur
- Les pirates peuvent utiliser des comptes de messagerie piratés pour envoyer du spam et des demandes inhabituelles aux contacts de la victime, ce qui signifie que les attaques par ingénierie sociale peuvent souvent paraître légitimes
- Les escrocs peuvent vous promettre des récompenses qui semblent trop belles pour être vraies ou vous demander des données personnelles
Pourquoi l'ingénierie sociale constitue-t-elle une menace importante pour la cybersécurité ?
Même avec les mesures de sécurité les plus rigoureuses, un seul collaborateur victime d'une attaque par ingénierie sociale peut mettre en danger l'ensemble de votre organisation. Une fois à l'intérieur, l'attaquant peut se déplacer latéralement (s'ouvre dans un nouvel onglet), en explorant discrètement votre infrastructure afin de détecter des failles de sécurité et d'identifier les ressources et données critiques susceptibles d'être volées ou exploitées.
Ils peuvent installer des portes dérobées et d’autres logiciels malveillants qui leur permettent d’aller et venir à leur guise, de dérober des données (ce qui entraîne des amendes, des poursuites judiciaires et une perte de confiance) et de détruire des fichiers (ainsi que votre réputation).
Dans un dernier élan d'attaque, ils se faufileront à nouveau par les portes dérobées qu'ils ont mises en place et utiliseront votre infrastructure pour diffuser des logiciels malveillants, envoyer des e-mails de hameçonnage ou mener des attaques par déni de service — tout en faisant croire que votre organisation en est responsable.
Quel est le coût d'une attaque par ingénierie sociale ?
Le coût financier des attaques par ingénierie sociale peut être colossal. En 2023, le rapport « » de Verizon sur les enquêtes relatives aux fuites de données (DBIR) (s'ouvre dans un nouvel onglet) a révélé que 17 % des fuites de données aux États-Unis et 10 % des cyberincidents étaient dus à l'ingénierie sociale.
Mais ce n’est pas là le coût total ; il y aura des dommages durables et intangibles, difficiles à quantifier, notamment :
- Les clients, les partenaires et les investisseurs perdront leur confiance, ce qui entraînera une baisse de l'activité et de la valeur de la marque
- Les amendes, les sanctions, les notifications de violation et les éventuelles poursuites judiciaires peuvent entraîner des conséquences financières et juridiques considérables.
- Les arrêts d'activité liés aux enquêtes et aux mesures correctives peuvent avoir un impact considérable sur la productivité et la continuité des activités
- La perte de secrets d'affaires et d'informations confidentielles peut compromettre votre avantage concurrentiel
Toutefois, les investissements consacrés à la prévention, à la détection et à une réponse efficace face à ces menaces peuvent permettre de minimiser les conséquences à long terme d'une attaque réussie.
Types courants d'attaques par ingénierie sociale
Les auteurs d'attaques d'ingénierie sociale recourent à diverses tactiques pour exploiter les faiblesses humaines. Ils peuvent être utilisés séparément ou combinés de manière stratégique afin d'optimiser leur efficacité. Les logiciels malveillants et les ransomwares sont souvent associés à des techniques d'ingénierie sociale pour lancer des cyberattaques et déployer des logiciels malveillants, ce qui peut entraîner des perturbations importantes de l'activité, des pertes financières et une atteinte à la réputation.
Voici dix des techniques d'ingénierie sociale les plus courantes :
- Le « baiting »
Le « baiting » exploite la curiosité humaine et notre envie de bénéficier d'avantages gratuits, en incitant les victimes à divulguer des informations confidentielles (par exemple, leur numéro de sécurité sociale, leur date de naissance, etc.) ou à installer des logiciels malveillants via des clés USB infectées, de faux contenus gratuits ou des sites de hameçonnage. - Compromission des e-mails professionnels (s'ouvre dans un nouvel onglet)
Les escroqueries de type BEC consistent souvent à usurper l'identité de cadres supérieurs afin de créer un sentiment d'urgence et d'asseoir leur autorité. Ils peuvent également amener la victime à transférer des fonds sur le compte de l'attaquant ou à divulguer des informations sensibles. - Attaques par hameçonnage (s'ouvre dans un nouvel onglet)
Les campagnes d'hameçonnage, les sites web ou les messages instantanés se faisant passer pour des organisations légitimes, telles que des banques ou des administrations publiques, incitent les victimes à divulguer des informations telles que des numéros de carte bancaire ou de compte bancaire. - Usurpation d'identité ()
Les pirates peuvent se faire passer pour des représentants des autorités, tels que des agents des forces de l'ordre, des agents du fisc ou du support informatique, afin de convaincre les victimes de divulguer des informations sensibles. - Quid pro quo
Les attaques de type « quid pro quo » exploitent notre tendance humaine à rendre les faveurs et à faire confiance aux figures d'autorité. Les pirates peuvent proposer des services ou des cadeaux en échange d'identifiants de connexion ou de données personnelles. - Smishing
Le smishing (hameçonnage par SMS) utilise des SMS. Cette méthode est efficace car les gens font davantage confiance aux SMS qu'aux e-mails, et les appareils mobiles disposent souvent de moins de fonctionnalités de sécurité que les ordinateurs. - Spear phishing
Le spear phishing est une forme de hameçonnage très ciblée qui vise des personnes ou des organisations spécifiques. Les pirates effectuent des recherches sur leurs cibles afin de rédiger des messages convaincants, qui sont difficiles à détecter car ils ne présentent pas les signes avant-coureurs évidents des tentatives d'hameçonnage classiques. - « Tailgating » / « piggybacking »
Les attaques de type « tailgating » et « piggybacking » consistent à suivre physiquement une personne autorisée pour pénétrer dans une zone à accès restreint. Ce type d’attaque en présentiel exploite notre tendance à nous montrer serviables et repose sur notre présomption selon laquelle une personne présente dans une zone autorisée est censée s’y trouver. - Vishing (s'ouvre dans un nouvel onglet)
Les auteurs d'attaques de vishing (hameçonnage vocal) s'attachent à gagner en crédibilité et en confiance en se faisant passer pour des représentants d'organisations légitimes. Ils recourent à des appels téléphoniques ou à des messages vocaux et misent largement sur le sentiment d’urgence et la peur pour inciter les victimes à divulguer rapidement des informations sensibles ou à compromettre la sécurité. - Attaques de type « watering hole »
Dans le cadre des attaques de type « watering hole », le pirate compromet un site web fréquemment visité par un groupe spécifique (par exemple, les employés d’une entreprise, les acteurs d’un secteur d’activité, etc.), en l’infectant avec des logiciels malveillants ou des scripts malveillants qui exploitent la confiance que les victimes accordent à ce site.
Exemples concrets d'attaques par ingénierie sociale
BEC : Nigeria — Caroline du Nord — Texas (s'ouvre dans un nouvel onglet)
Deux escrocs nigérians ont eu recours à une arnaque de type BEC pour tenter de commettre une fraude de 5 millions de dollars au détriment d'universités et d'entreprises de Caroline du Nord et du Texas. Après avoir appris que les chantiers universitaires étaient gérés par une seule grande entreprise, ils ont enregistré un nom de domaine similaire. En utilisant une adresse e-mail falsifiée, ils ont convaincu des employés d'une université de Caroline du Nord de virer plus de 1,9 millions de dollars sur un compte bancaire frauduleux. Ils ont utilisé les mêmes méthodes pour tenter de dérober plus de 3 millions de dollars au Texas.
Les coauteurs de l'infraction risquent désormais de longues peines de prison et doivent verser des dommages-intérêts ainsi qu'une somme d'argent au titre de la condamnation pécuniaire. Toutefois, la réparation sera lente — si tant est qu'elle ait lieu — et ne pourra jamais couvrir l'intégralité du coût des dommages.
Hameçonnage — Minnesota (s'ouvre dans un nouvel onglet)
À Cottage Grove, dans le Minnesota, les responsables municipaux ont été victimes d'une tentative d'hameçonnage qui a coûté plus de 1,2 millions de dollars aux contribuables. La ville avait conclu un contrat de 3,5 millions de dollars avec Geislinger & Sons dans le cadre d'un projet de traitement des eaux usées.
En utilisant un faux domaine de messagerie, les escrocs ont convaincu les administrateurs de verser des fonds sur un compte bancaire frauduleux. L'arnaque a été découverte lorsque la véritable entreprise a réclamé le paiement des sommes dues. Les agents fédéraux ont retracé une partie de ces fonds jusqu'au Royaume-Uni et s'efforcent actuellement de les récupérer.
Ransomware — Las Vegas (s'ouvre dans un nouvel onglet)
Selon le document réglementaire obligatoire déposé auprès de la Securities and Exchange Commission (SEC), Caesars Entertainment Inc. a versé des dizaines de millions de rançons (s'ouvre dans un nouvel onglet) au groupe de pirates informatiques Scattered Spider (s'ouvre dans un nouvel onglet), un groupe de pirates informatiques utilisant la technique « Bring Your Own Vulnerable Driver » (BYOVD) pour contourner les solutions de détection et de réponse aux incidents au niveau des terminaux ( ) afin de s’introduire dans leur réseau. Les pirates ont d'abord eu recours à une technique d'ingénierie sociale pour s'introduire chez un prestataire informatique externe, puis ils ont accédé au réseau de Caesars afin de copier la base de données de son programme de fidélité, qui contenait notamment des informations personnelles identifiables (PII).
En l'espace de quelques jours, Scattered Spider, en collaboration avec AlphV, a lancé une opération sophistiquée de « prétexting » contre , MGM International (s'ouvre dans un nouvel onglet).
En se faisant passer pour un employé de MGM Resorts qu’ils avaient repéré sur LinkedIn, ils ont convaincu le service d’assistance informatique de MGM de leur divulguer suffisamment d’informations pour leur permettre d’accéder aux privilèges d’administrateur des environnements Okta et Azure de MGM. Le service de sécurité de MGM a détecté un trafic inhabituel le lendemain ; AlphV a alors admis avoir intercepté des mots de passe sur les serveurs Okta et a immédiatement déployé un rançongiciel. Le rapport déposé par MGM auprès de la SEC fait état de pertes s'élevant à 100 millions de dollars (s'ouvre dans un nouvel onglet).
Comment pouvez-vous vous protéger contre les attaques d'ingénierie sociale ?
Pour se prémunir contre les attaques d'ingénierie sociale et renforcer le « pare-feu humain », les organisations doivent adopter une approche à plusieurs volets alliant la formation des collaborateurs, des mesures de sécurité transparentes et une gestion efficace des identités et des accès (s'ouvre dans un nouvel onglet).
4 façons de mettre en place un « pare-feu humain » contre les attaques d'ingénierie sociale
1. Organisez régulièrement des formations de sensibilisation à la sécurité à l'intention des salariés
- Cela comprend l'identification des techniques d'ingénierie sociale, la navigation sécurisée et le traitement des données sensibles
- Utilisez la gamification et des méthodes interactives pour proposer des formations marquantes
- Adapter la formation aux fonctions afin de relever les défis spécifiques en matière de sécurité
2. Suivez les conseils de sécurité et les bonnes pratiques en matière de cyberhygiène
- Mettez en place l'authentification unique (SSO) et la gestion des mots de passe afin de garantir la sécurité des mots de passe .
- Mettez en œuvre Zero Trust (s'ouvre dans un nouvel onglet) avec l'authentification multifactorielle (MFA) (s'ouvre dans un nouvel onglet) pour les systèmes et applications critiques
- Utilisez l'authentification basée sur les risques pour réduire les obstacles
3. Améliorer les contrôles d'accès
- N'accordez l'accès qu'aux ressources et aux données dont les employés ont besoin dans le cadre de leur travail — réexaminez et mettez à jour régulièrement les autorisations
- Surveiller l'activité des utilisateurs et leurs habitudes d'accès afin de détecter tout comportement anormal
- Réduisez au minimum les erreurs humaines et allégez la charge de travail de votre équipe informatique en automatisant la gestion des accès
4. Mettre en place des processus d' , d' en cas d'incident et de signalement ( )
- Définissez des procédures claires pour la gestion et le signalement des attaques présumées
- Encouragez le signalement sans crainte des activités suspectes, telles que les e-mails de hameçonnage
- Surveillez les terminaux pour détecter les risques (s'ouvre dans un nouvel onglet) et détectez, analysez et traquez plus facilement les incidents afin de contenir les menaces identifiées en temps réel et d'atténuer les dommages
Comment lutter contre la menace croissante que représente l'ingénierie sociale
Malheureusement, aucune solution ni stratégie unique ne permet de se protéger totalement contre ces attaques de plus en plus sophistiquées et manipulatrices. Pour lutter au mieux contre ces menaces, les organisations doivent adopter des politiques de sécurité complètes et multicouches, en commençant par le modèle « Zero Trust », qui implique qu’aucun utilisateur, appareil ou réseau ne soit considéré comme fiable sans avoir été préalablement vérifié. Grâce au « Zero Trust », les organisations peuvent plus facilement maintenir un modèle de sécurité agile qui réduit leur surface d’attaque et leurs risques de sécurité en garantissant que seules les personnes qui en ont besoin ont accès aux données sensibles.
La prochaine étape devrait consister à renforcer votre « pare-feu humain ». La formation fait partie de ce dispositif de protection, mais pour que les utilisateurs l'adoptent pleinement, il faut également leur offrir une excellente expérience numérique (DEX). Les collaborateurs ont de plus en plus de mal à trouver les informations et les outils dont ils ont besoin pour faire leur travail. Sans stratégie efficace en matière d'expérience des collaborateurs, les organisations risquent de voir leur productivité baisser, leur taux de fidélisation chuter et le respect des bonnes pratiques en matière de cyberhygiène passer à la trappe.
Enfin, votre organisation a besoin de politiques de contrôle d'accès efficaces et d'une visibilité complète sur son environnement afin de détecter, d'analyser et de remédier rapidement aux menaces potentielles. En veillant à ce que seules les personnes habilitées disposent d’un accès approprié au moment opportun et en assurant un contrôle rigoureux des activités du système, les organisations peuvent réduire considérablement leur profil de risque et renforcer leur capacité à réagir aux incidents d’ingénierie sociale et à s’en remettre.
La plateforme de Tanium (s'ouvre dans un nouvel onglet) vous permet de gérer et de sécuriser vos terminaux à partir d'une console unique, grâce à un ensemble de solutions conçues pour relever les défis informatiques actuels. Par exemple, notre solution DEX « » (s'ouvre dans un nouvel onglet) offre une vue en temps réel sur les interactions numériques de vos collaborateurs, notamment le suivi des données relatives aux terminaux et aux applications, la mesure et le suivi du sentiment des collaborateurs, ainsi que la possibilité d'utiliser ces informations pour résoudre les problèmes et maintenir la productivité des collaborateurs de manière proactive. En adoptant une approche proactive pour garantir un environnement numérique fluide au sein de votre organisation, la gestion de l'expérience des collaborateurs devient un pilier de votre stratégie informatique.
Avec Tanium, vous bénéficiez d’une visibilité en temps réel sur vos terminaux (s’ouvre dans un nouvel onglet) — ainsi que des outils dont vous avez besoin pour rationaliser, simplifier et renforcer votre capacité à protéger vos actifs stratégiques. Cela inclut notre vision de la gestion autonome des terminaux (AEM), qui s'appuiera sur l' t l'intelligence artificielle (s'ouvre dans un nouvel onglet) afin d'offrir des capacités d'automatisation et de prise de décision intelligentes pour la gestion des terminaux informatiques. Vous pouvez demander une démonstration (s'ouvre dans un nouvel onglet) dès aujourd'hui pour vous en rendre compte par vous-même.
