Qu'est-ce que le social engineering ?
Le social engineering: Définition
L'ingénierie sociale est un type d'attaque qui utilise l'interaction humaine et la manipulation pour atteindre les objectifs de l'attaquant. Cela implique souvent de persuader les victimes de compromettre leur sécurité ou de violer les meilleures pratiques de sécurité pour le gain financier ou informationnel de l'attaquant. Les acteurs malveillants utilisent l’ingénierie sociale pour se déguiser et se déguiser en leurs motivations, souvent en agissant comme des personnes de confiance.
En fin de compte, l’objectif principal est d’influencer, de pirater l’esprit, plutôt qu’un système. De nombreux exploits de ce type s'appuient sur la bonne nature ou la peur des situations négatives. L'ingénierie sociale est populaire parmi les attaquants, car il est plus facile d'exploiter les personnes plutôt que les vulnérabilités du réseau et des logiciels.
Types d'attaques d'ingénierie sociale
Bien qu’il ne s’agisse pas d’une liste exhaustive, les attaques d’ingénierie sociale clés suivantes doivent être connues :
Phishing
Il s'agit de l'un des types d'attaques d'ingénierie sociale les plus courants. Il utilise des emails et des SMS pour inciter les victimes à cliquer sur des pièces jointes malveillantes ou des liens vers des sites Web nuisibles.
Appât
Cette attaque utilise une fausse promesse pour attirer une victime via la cupidité ou l'intérêt. Les victimes sont attirées dans un piège qui compromet leurs informations sensibles ou infecte leurs appareils. Un exemple serait de laisser une clé USB infectée par un malware dans un lieu public. La victime peut être intéressée par son contenu et l'insérer dans son appareil, en installant involontairement le malware.
Prétexte
Dans cette attaque, un acteur ment à un autre pour accéder aux données. Par exemple, un attaquant peut prétendre avoir besoin de données financières ou personnelles pour confirmer l’identité du destinataire.
Craint
L'effrayement implique que les victimes aient peur des fausses alarmes et des menaces. Les utilisateurs peuvent être trompés en pensant que leur système est infecté par des malware. Ils installent ensuite le correctif logiciel suggéré, mais ce logiciel peut être le malware lui-même, par exemple, un virus ou un spyware. Des exemples courants sont des bannières contextuelles qui apparaissent dans votre navigateur, affichant du texte comme « Votre ordinateur peut être infecté ». Il vous proposera d'installer le correctif ou vous dirigera vers un site Web malveillant.
Spear phishing et whaling
Tailgating
Également connu sous le nom de piggybacking, on parle de « tailgating » lorsqu'un attaquant entre dans un bâtiment ou un service de bureau sécurisé en suivant quelqu'un avec une carte d'accès. Cette attaque suppose que d'autres supposeront que l'assaillant est autorisé à être présent.
Escroqueries basées sur l’IA
Les escroqueries basées sur l’IA exploitent la technologie d’intelligence artificielle pour tromper les victimes. Voici les types courants :
- Escroquerie par texte IA : Messages textuels trompeurs générés par l’IA pour hameçonnage d’informations ou propagation de malware.
- Escroquerie à l'image de l'IA : De fausses images créées à l’aide de l’IA pour manipuler et tromper les individus.
- Arnaque à la voix basée sur l'IA : Messages vocaux frauduleux générés par l’IA pour usurper l’identité d’entités de confiance et tromper les victimes.
- Escroquerie par IA et vidéo : Vidéos manipulées créées à l’aide de l’IA, appelées deepfakes, utilisées pour diffuser la désinformation ou cibler des individus.
Comment reconnaître les attaques d'ingénierie sociale
Étant donné que ces attaques se présentent sous différentes formes et tailles, et reposent sur la fallibilité humaine, il peut être très difficile d'identifier les attaques d'ingénierie sociale. Néanmoins, si vous rencontrez l'un des éléments ci-dessous, soyez averti qu'il s'agit de signaux d'alarme majeurs et suggérez qu'une attaque d'ingénierie sociale commence :
- Un e-mail ou un SMS non sollicité de la part d’une personne que vous ne connaissez pas.
- Le message est prétendument très urgent.
- Le message vous demande de cliquer sur un lien ou d'ouvrir une pièce jointe.
- Le message contient de nombreuses fautes de frappe et erreurs grammaticales.
- Vous pouvez également recevoir un appel de quelqu’un que vous ne connaissez pas.
- L’appelant essaie d’obtenir des informations personnelles auprès de vous.
- L'appelant tente de vous amener à télécharger quelque chose.
- L'appelant parle également avec un grand sentiment d'urgence et/ou d'agression.
Comment prévenir les escroqueries en ingénierie sociale ?
La plus grande armure que l'on puisse utiliser contre les tactiques d'ingénierie sociale employées par les escrocs en ligne aujourd'hui est d'être bien informé des nombreuses façons dont un cybercriminel pourrait tirer parti de votre vulnérabilité sur les réseaux sociaux. Plus que les conséquences habituelles de la chute des attaques de spam, de phishing et d’infections par des malware, le défi posé par les cybercriminels est d’avoir une compréhension et une compréhension fermes pour préserver la confidentialité de vos données.
En plus de surveiller les signes avant-coureurs ci-dessus, les bonnes pratiques suivantes doivent être suivies :
- Gardez votre système d'exploitation et votre logiciel de cybersécurité à jour.
- Utilisez l'authentification multifacteur et/ou un gestionnaire de mots de passe.
- N’ouvrez pas les emails et les pièces jointes provenant de sources inconnues.
- Définissez vos filtres anti-spam trop hauts.
- Supprimez et ignorez toute demande d’informations financières ou de mots de passe.
- Si vous suspectez quelque chose pendant une interaction, soyez calme et prenez les choses lentement.
- Faites vos recherches en ce qui concerne les sites Web, les entreprises et les particuliers.
- Faites attention à ce que vous partagez sur les réseaux sociaux : utilisez vos paramètres de confidentialité.
- Si vous êtes un employé d'une entreprise, assurez-vous de connaître les politiques de sécurité.
Exemples d'attaques d'ingénierie sociale
Fortement motivés par les bénéfices, les cybercriminels ont considérablement augmenté leurs méthodes pour tirer des informations sensibles des utilisateurs en ligne pour obtenir un gain monétaire.
- Le mois de janvier est le moment où la plupart des pays lancent la saison fiscale, ce qui en fait une cible cybercriminelle préférée pour gagner de l'argent. Grâce à l'ingénierie sociale, une tactique populaire dans laquelle une attaque est adaptée pour coïncider avec des occasions largement célébrées, des vacances observées et des actualités populaires, les cybercriminels gagnent beaucoup de leurs victimes. Les citoyens américains ont reçu des échantillons de spam qui ont tenté de se transmettre sous forme de message de l’Internal Revenue Service (IRS) des États-Unis.
En savoir plus ici.
Les nouvelles concernant la mort inopportune de Robin Williams le 12 août 2014 ont choqué les gens du monde entier. Alors que les nouvelles sur sa mort se propageaient comme des incendies parmi les netizens, les spammers et les cybercriminels ont déployé des emails indésirables qui mentionnent le nom de l’acteur dans l’objet de l’email. Le courrier indésirable demande aux destinataires de télécharger une vidéo « shocking » sur la mort de William, mais cliquer sur le lien vidéo télécharge un fichier exécutable qui a été détecté comme WORM_GAMARUE.WSTQ à la place.
En savoir plus ici.
Lorsque les informations sur la pandémie d’Ebola ont inondé Internet, les cybercriminels ont saisi l’opportunité d’utiliser les rapports répandus comme appât pour inciter les victimes peu méfiantes à ouvrir de faux e-mails. Ces e-mails mènent finalement à des tentatives de phishing, où les informations et les identifiants de la victime sont volés.
En savoir plus ici.
- L'année 2008 a été le début d'attaques sociales générées par des cybercriminels pour sabotage et profit. Avec des cibles identifiées, les attaques basées sur la plateforme étaient dirigées vers les utilisateurs à domicile, les petites entreprises et les organisations à grande échelle, ce qui affectait le vol de propriété intellectuelle et constituait une perte financière majeure. En grande partie, les escrocs en ligne ont conçu des moyens d'attaquer les utilisateurs Web en utilisant des sites de réseaux sociaux tels que Facebook et Twitter.
- En 2008, les utilisateurs de Facebook sont devenus la cible d'une attaque malveillante de type ver KOOBFACE. Twitter est ensuite devenu une mine d'or pour les cybercriminels en 2009, diffusant des liens malveillants qui se sont avérés porter des chevaux de Troie.
L'évolution des attaques d'ingénierie sociale
Les menaces d'ingénierie sociale sont en fait plus difficiles à protéger, car elles vous ciblent principalement, vous, l'utilisateur en ligne, et pas seulement les vulnérabilités de votre système. Le moyen le plus simple et le plus efficace de vous protéger contre les menaces en tant que tel est d'être bien informé sur ce qu'il faut éviter et sur ce dont il faut faire attention.
Animées par ses objectifs de tirer profit des utilisateurs en ligne, les menaces numériques ont essentiellement évolué et se sont développées au fil des années. Les cybercriminels ont accordé de l’importance à la création de moyens plus sophistiqués pour inciter les utilisateurs en ligne à leur faire confiance avec leurs données sensibles. Les attaques d'ingénierie sociale ont fait des bonds en avant en termes de sophistication des technologies employées.