Ingénierie sociale

Le terme d'« ingénierie sociale » (en anglais « social engineering ») désigne l'art de manipuler des personnes afin de contourner des dispositifs de sécurité. Il s'agit ainsi d'une technique consistant à obtenir des informations de la part des utilisateurs par téléphone, courrier électronique, courrier traditionnel ou contact direct.

L'ingénierie sociale est basée sur l'utilisation de la force de persuasion et l'exploitation de la naïveté des utilisateurs en se faisant passer pour une personne de la maison, un technicien, un administrateur, etc.

D'une manière générale les méthodes d'ingénierie sociale se déroule selon le schéma suivant :

• Une phase d'approche permettant de mettre l'utilisateur en confiance, en se faisant passer pour une personne de sa hiérarchie, de l'entreprise, de son entourage ou pour un client, un fournisseur, etc.
• Une mise en alerte, afin de le déstabiliser et de s'assurer de la rapidité de sa réaction. Il peut s'agir par exemple d'un prétexte de sécurité ou d'une situation d'urgence ;
• Une diversion, c'est-à-dire une phrase ou une situation permettant de rassurer l'utilisateur et d'éviter qu'il se focalise sur l'alerte. Il peut s'agir par exemple d'un remerciement annonçant que tout est rentré dans l'ordre, d'une phrase anodine ou dans le cas d'un courrier électronique ou d'un site web, d'une redirection vers le site web de l'entreprise.

L'ingénierie sociale peut prendre plusieurs formes :

• Par téléphone,
• Par courrier électronique,
• Par courrier écrit,
• Par messagerie instantanée,
• etc.

Comment se protéger ?

La meilleure façon de se protéger des techniques d'ingénierie sociale est d'utiliser son bon sens pour ne pas divulguer à n'importe qui des informations pouvant nuire à la sécurité de l'entreprise. Il est ainsi conseillé, quel que soit le type de renseignement demandé  :

• de se renseigner sur l'identité de son interlocuteur en lui demandant des informations précises (nom et prénom, société, numéro de téléphone) ;
• de vérifier éventuellement les renseignements fournis ;
• de s'interroger sur la criticité des informations demandées.

Ainsi, une formation et une sensibilisation des utilisateurs aux problèmes de sécurité peut s'avérer nécessaire.

Plus d'information

• CERT® Incident Note IN-2002-03 - Social Engineering Attacks via IRC and Instant Messaging
• Social Engineering Fundamentals, Part I: Hacker Tactics