Faux technicien
Caisse à outils, badge et deux minutes. Vérifiez quand même.
Qu'est-ce que Faux technicien?
Se faire passer pour un technicien de maintenance ne coûte qu'une caisse à outils, un badge et une panne plausible. La demande qui suit est toujours la même : quelques minutes sur une machine déjà connectée. Ici, un prestataire demande exactement cela, sort un numéro de bon d'intervention quand vous l'interrogez et attend que vous vérifiiez. Vous apprenez à lire un badge, à faire confirmer la visite par l'équipe qui l'aurait réservée, à refuser la session et à signaler la tentative.
Ce que vous apprendrez dans Faux technicien
- Reconnaître qu'une demande de travailler depuis la session connectée d'un employé est ce dont un vrai technicien n'a jamais besoin
- Lire un badge de prestataire comme la trace d'une arrivée et non comme la confirmation qu'une visite a été réservée
- Vérifier un numéro de bon d'intervention auprès du support au lieu de l'accepter comme réponse
- Résister à la pression du temps qui vise précisément les deux minutes que prendrait une vérification
- Signaler une tentative qui a échoué, pour que les bureaux et étages vers lesquels le visiteur se dirige soient déjà prévenus
Faux technicien — Étapes de la formation
-
Une imprimante que personne ne répare
Mercredi matin gris chez Penrow Analytics. Alice est en train de refaire un rapport trimestriel, avec la file d'impression du troisième étage bloquée derrière elle pour le deuxième jour d'affilée. Le support informatique envoie son message matinal habituel.
-
Quelqu'un dans votre dos
À dix heures moins le quart, un homme en gilet haute visibilité monte l'escalier, une caisse à outils à la main et un badge accroché au gilet. Il ne s'arrête pas à l'entrée de l'étage. Il le traverse et se poste derrière la chaise d'Alice, assez près pour lire ses écrans.
-
Le baratin
Il est aimable, posé dans le ton et pressé sur le fond, et il sait exactement quelle panne citer.
-
Lisez le badge
Avant de répondre, regardez ce qu'il porte. Le badge est la seule chose à cet étage qui prétend dire qui il est et qui l'a envoyé.
-
Que répondez-vous ?
Tessmark Field Group n'est pas un nom qu'Alice connaît, mais il n'y a aucune raison qu'elle connaisse tous les sous-traitants du bâtiment. La panne qu'il cite est réelle, la file derrière elle est bloquée depuis deux jours, et il attend, la main tendue vers le clavier.
-
Il a un numéro
La question ne le déstabilise pas. Il y répond, et c'est justement pour cela qu'on a un numéro sur soi.
-
Vérifier auprès de l'informatique
Un numéro dit à voix haute ne vaut rien tant que personne ne l'a vérifié. Le support informatique crée les bons d'intervention et réserve les visites : c'est donc le seul à pouvoir trancher. Alice se tourne vers son écran et leur pose la question, Gary toujours debout derrière sa chaise.
-
Ce que vous leur avez demandé
Trois lignes, envoyées alors que Gary est toujours derrière la chaise. Chacune a un rôle.
-
Ce que dit l'informatique
Roan répond avant qu'Alice ait fini de relire son propre message.
-
Retournez-vous et répondez
Gary est toujours là, attend toujours, toujours aimable. Il n'y a rien à discuter ni rien à prouver. La vérification est revenue vide, et c'est toute la réponse.
Couverture des référentiels de sécurité
MITRE ATT&CK
- T1656 Impersonation
CIS Controls
- CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks
NIST CSF
- PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind