Le terme d'« ingénierie sociale »
(en anglais « social engineering ») désigne l'art de
manipuler des personnes afin de contourner des dispositifs de sécurité.
Il s'agit ainsi d'une technique consistant à obtenir des informations de la
part des utilisateurs par téléphone, courrier électronique, courrier
traditionnel ou contact direct.
L'ingénierie sociale est basée sur l'utilisation de
la force de persuasion et l'exploitation de la naïveté des utilisateurs
en se faisant passer pour une personne de la maison, un technicien, un administrateur, etc.
D'une manière générale les méthodes
d'ingénierie sociale se déroule selon le schéma suivant :
- Une phase d'approche permettant de mettre l'utilisateur en confiance, en se faisant
passer pour une personne de sa hiérarchie, de l'entreprise,
de son entourage ou pour un client, un fournisseur, etc.
- Une mise en alerte, afin de le déstabiliser et de s'assurer de la rapidité
de sa réaction. Il peut s'agir par exemple d'un prétexte de sécurité ou
d'une situation d'urgence ;
- Une diversion, c'est-à-dire une phrase ou une situation permettant de rassurer
l'utilisateur et d'éviter qu'il se focalise sur l'alerte. Il peut s'agir par exemple d'un remerciement
annonçant que tout est rentré dans l'ordre, d'une phrase anodine ou dans le cas d'un
courrier électronique ou d'un site web, d'une redirection vers le site web de l'entreprise.
L'ingénierie sociale peut prendre plusieurs formes :
- Par téléphone,
- Par courrier électronique,
- Par courrier écrit,
- Par messagerie instantanée,
- etc.
La meilleure façon de se protéger des techniques d'ingénierie sociale est
d'utiliser son bon sens pour ne pas divulguer à n'importe qui des informations pouvant
nuire à la sécurité de l'entreprise. Il est ainsi conseillé, quel que
soit le type de renseignement demandé :
- de se renseigner sur l'identité de son interlocuteur en lui demandant des informations
précises (nom et prénom, société, numéro de téléphone) ;
- de vérifier éventuellement les renseignements fournis ;
- de s'interroger sur la criticité des informations demandées.
Ainsi, une formation et une sensibilisation des utilisateurs aux problèmes de
sécurité peut s'avérer nécessaire.
|
