Faux technicien

Faux technicien

Caisse à outils, badge et deux minutes. Vérifiez quand même.

Qu'est-ce que Faux technicien?

Se faire passer pour un technicien de maintenance ne coûte qu'une caisse à outils, un badge et une panne plausible. La demande qui suit est toujours la même : quelques minutes sur une machine déjà connectée. Ici, un prestataire demande exactement cela, sort un numéro de bon d'intervention quand vous l'interrogez et attend que vous vérifiiez. Vous apprenez à lire un badge, à faire confirmer la visite par l'équipe qui l'aurait réservée, à refuser la session et à signaler la tentative.

Ce que vous apprendrez dans Faux technicien

Faux technicien — Étapes de la formation

  1. Une imprimante que personne ne répare

    Mercredi matin gris chez Penrow Analytics. Alice est en train de refaire un rapport trimestriel, avec la file d'impression du troisième étage bloquée derrière elle pour le deuxième jour d'affilée. Le support informatique envoie son message matinal habituel.

  2. Quelqu'un dans votre dos

    À dix heures moins le quart, un homme en gilet haute visibilité monte l'escalier, une caisse à outils à la main et un badge accroché au gilet. Il ne s'arrête pas à l'entrée de l'étage. Il le traverse et se poste derrière la chaise d'Alice, assez près pour lire ses écrans.

  3. Le baratin

    Il est aimable, posé dans le ton et pressé sur le fond, et il sait exactement quelle panne citer.

  4. Lisez le badge

    Avant de répondre, regardez ce qu'il porte. Le badge est la seule chose à cet étage qui prétend dire qui il est et qui l'a envoyé.

  5. Que répondez-vous ?

    Tessmark Field Group n'est pas un nom qu'Alice connaît, mais il n'y a aucune raison qu'elle connaisse tous les sous-traitants du bâtiment. La panne qu'il cite est réelle, la file derrière elle est bloquée depuis deux jours, et il attend, la main tendue vers le clavier.

  6. Il a un numéro

    La question ne le déstabilise pas. Il y répond, et c'est justement pour cela qu'on a un numéro sur soi.

  7. Vérifier auprès de l'informatique

    Un numéro dit à voix haute ne vaut rien tant que personne ne l'a vérifié. Le support informatique crée les bons d'intervention et réserve les visites : c'est donc le seul à pouvoir trancher. Alice se tourne vers son écran et leur pose la question, Gary toujours debout derrière sa chaise.

  8. Ce que vous leur avez demandé

    Trois lignes, envoyées alors que Gary est toujours derrière la chaise. Chacune a un rôle.

  9. Ce que dit l'informatique

    Roan répond avant qu'Alice ait fini de relire son propre message.

  10. Retournez-vous et répondez

    Gary est toujours là, attend toujours, toujours aimable. Il n'y a rien à discuter ni rien à prouver. La vérification est revenue vide, et c'est toute la réponse.

Couverture des référentiels de sécurité

MITRE ATT&CK

  • T1656 Impersonation

CIS Controls

  • CIS 14.2 Train Workforce Members to Recognize Social Engineering Attacks

NIST CSF

  • PR.AT-01 Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind