Le facteur humain : L'ingénierie sociale

L'ingénierie sociale est la manipulation psychologique des personnes pour les amener à effectuer des actions ou à divulguer des informations confidentielles. C'est souvent le maillon le plus faible de la chaîne de sécurité.

Principes communs d'influence (Cialdini)

Les attaquants exploitent souvent ces principes psychologiques :

1. Autorité : Se faire passer pour un supérieur ou un officiel (ex : « Support informatique »).
2. Rareté : Créer un faux sentiment d'urgence (ex : « Votre compte sera suspendu dans 5 minutes ! »).
3. Sympathie/Familiarité : Établir un rapport ou prétendre connaître un collègue.
4. Réciprocité : Offrir quelque chose de mineur pour que la victime se sente redevable.

Principales attaques d'ingénierie sociale

• Pretexting : Créer un scénario fabriqué (prétexte) pour obtenir des informations (ex : se faire passer pour les RH afin de vérifier des détails personnels).
• Baiting : Offrir quelque chose de tentant (comme une clé USB gratuite trouvée sur un parking) pour inciter la victime à installer un malware.
• Tailgating/Piggybacking : Suivre une personne autorisée dans une zone restreinte (attaque de sécurité physique).