Le social engineering-ingénierie sociale en français- est une stratégie utilisée par les cybercriminels pour obtenir des informations auprès de personnes sans qu’elles s’en rendent compte. Contrairement à d’autres attaques, elle ne concerne pas la sécurité du réseau, mais relève de la manipulation psychologique d’un être humain pour lui soutirer les informations souhaitées en usant de différents leviers. L’autorité : l’attaquant peut par exemple se présenter au téléphone comme un administrateur réseau pour obtenir de la victime les identifiants de son compte et dérober des données. L’intimidation : en usurpant l’identité d’un cadre de l’entreprise pour demander aux utilisateurs de divulguer des informations sensibles.
L’urgence : souvent utilisée par les demandeurs de cyber-rançons. Les victimes voient le compte à rebours s’exécuter sur leurs systèmes infectés et savent que le fait de ne pas prendre la décision requise dans le délai imparti peut entraîner la perte de données importantes. L’utilisateur trompé clique alors sur le lien pour agir immédiatement. La confiance : après s’être présenté comme un expert sécurité de l’entreprise prestataire, l’attaquant guide la victime dans une série d’étapes pour « afficher et désactiver les erreurs système » et envoie ensuite un e-mail contenant un fichier malveillant en la persuadant de le télécharger (phishing). Grâce à ce processus, l’attaquant installe avec succès des logiciels malveillants sur le système de la victime, l’infectant et permettant à l’attaquant de voler des informations importantes.
D’IMPORTANTS PRÉJUDICES POUR L’ENTREPRISE
Autant de menace…
