Ingénierie sociale

Qu'est-ce que Ingénierie sociale?

Aucun pare-feu n'inspecte un appel téléphonique. Un appelant prétendant provenir du support informatique déclare que votre compte est attaqué, puis demande votre identifiant d'employé, les derniers chiffres de votre SSN et votre mot de passe sur un portail « d'urgence » avant de vous envoyer par e-mail un outil de diagnostic. Vous verrez chaque demande s'intensifier, remarquerez le moment d'arrêter, refuserez la pièce jointe et raccrocherez pour vérifier via le service informatique officiel, puis contenirez les dégâts : signalez l'e-mail, modifiez votre mot de passe, activez 2FA et déposez un ticket.

Ce que vous apprendrez dans Ingénierie sociale

• Identifiez les prétextes, les usurpations d'identité d'autorité et les manipulations d'urgence lors d'interactions téléphoniques et en personne
• Appliquez la vérification des rappels et l'authentification hors bande pour confirmer l'identité de l'appelant via les annuaires officiels de l'entreprise.
• Reconnaître le point de transition où une conversation professionnelle normale se transforme en extraction d'informations secrètes
• Refusez les demandes d’informations avec fermeté et professionnalisme sans nuire aux relations commerciales légitimes
• Expliquer comment les attaquants utilisent les données OSINT accessibles au public provenant de LinkedIn, des communiqués de presse et des réseaux sociaux pour créer des prétextes convaincants.

Ingénierie sociale — Étapes de la formation

1. Présentation

   C'est un mardi après-midi typique et Alice travaille sur une date limite critique pour un projet.

2. L'appel inattendu

   Le téléphone portable d'Alice sonne de façon inattendue. L'ID de l'appelant indique « Support informatique - Interne ». Comme Alice reconnaît que cela pourrait provenir du service informatique de son entreprise, elle décide de répondre à l'appel.

3. L'introduction convaincante

   Alice se sent préoccupée par le problème de sécurité potentiel et souhaite contribuer à le résoudre rapidement.

4. La collecte d'informations

   Alice, se sentant pressée par l'urgence et convaincue qu'il s'agit d'un support informatique légitime, commence à envisager de fournir les informations demandées.

5. Escalader la demande

   Alice estime qu'elle n'a pas d'autre choix que d'obtempérer puisque son compte pourrait être compromis.

6. Le site Web malveillant

   Alice opens the site the caller sent her to, http://draycombe-it-helpdesk.com/login. It looks similar to her company's login page, though something feels off about the URL.

7. La tentative d'accès

   Bob a réussi à capturer les informations d'identification d'Alice et tente maintenant de lui faire télécharger un logiciel malveillant déguisé en outil de sécurité.

8. Vérification de l'e-mail

   Après l'appel, Alice ouvre son client de messagerie pour vérifier le message promis. Dans sa boîte de réception, elle remarque un e-mail du « Support informatique » avec pour objet « Urgent : outil de diagnostic de sécurité ».

9. La réalisation

   Alors qu'Alice raccroche le téléphone, les souvenirs de la récente formation en cybersécurité de l'entreprise reviennent. Elle se souvient que l'instructeur avait spécifiquement mis en garde contre les attaquants qui usurpaient l'identité du support informatique, créaient une fausse urgence et tentaient d'inciter les employés à télécharger des logiciels malveillants.

10. Réponse de sécurité immédiate

    Alice prend immédiatement des mesures pour minimiser les dégâts potentiels de l'attaque. Elle sait qu’elle a déjà fourni ses informations d’identification au site Web malveillant, ce qui signifie que son compte pourrait être compromis. En regardant le navigateur, elle remarque que l'URL utilisait HTTP au lieu de HTTPS - un signal d'alarme clair qu'elle a manqué sous la pression. Elle note également mentalement toutes les informations qu'elle a fournies lors de l'appel : son identifiant d'employé, les quatre derniers chiffres de son SSN et ses identifiants de connexion.