Comment fonctionne l'ingénierie sociale ?
La plupart des techniques d'ingénierie sociale ne nécessitent aucune compétence technique de la part de l'attaquant, ce qui signifie que tout le monde, des petits voleurs aux attaquants les plus sophistiqués, peut opérer dans cet espace.
De nombreuses techniques relèvent du terme générique d'ingénierie sociale en cybersécurité. Parmi les plus connues figurent le spam et le phishing :
Le spam est toute forme de communication non sollicitée envoyée en masse. Le plus souvent, le spam est un courriel envoyé au plus grand nombre d'utilisateurs possible, mais il peut aussi être diffusé par des messages instantanés, des SMS et des médias sociaux. Le spam n'est pas de l'ingénierie sociale à proprement parler, mais certaines de ses campagnes utilisent des techniques d'ingénierie sociale telles que le phishing, le spearphishing, le vishing, le smishing ou la diffusion de pièces jointes ou de liens malveillants.
Le phishing est une forme de cyberattaque dans laquelle le criminel se fait passer pour une entité digne de confiance afin de demander des informations sensibles à la victime. Ces types de fraude tentent généralement de créer un sentiment d'urgence ou utilisent des tactiques d'intimidation pour contraindre la victime à se conformer aux demandes de l'attaquant. Les campagnes de phishing peuvent cibler un grand nombre d'utilisateurs anonymes, ou une ou plusieurs victimes spécifiques.
Mais ce ne sont pas les seules techniques. Méfiez-vous aussi de celles-ci :
Pourquoi les PME devraient-elles se préoccuper de l'ingénierie sociale ?
Les PME sont de plus en plus conscientes d'être des cibles pour les cybercriminels, selon une enquête de 2019 menée par Zogby Analytics pour le compte de la US National Cyber Security Alliance. Près de la moitié (44 %) des entreprises de 251 à 500 employés ont déclaré avoir subi une violation officielle des données au cours des 12 derniers mois. L'enquête a révélé que 88 % des petites entreprises estiment qu'elles sont au moins une cible "assez probable" pour les cybercriminels, dont près de la moitié (46 %) qui pensent être une cible "très probable".
Les dommages sont réels et étendus, un point bien illustré par le rapport annuel du FBI's Internet Crime Center (IC3). Le FBI estime que, pour la seule année 2018, les entreprises américaines ont perdu plus de 2,7 milliards de dollars à cause de cyberattaques, dont 1,2 milliard de dollars attribués à la compromission d'e-mails professionnels (business email compromise - BEC)/compromission de comptes e-mail (email account compromise - EAC) qui ont permis des transferts de fonds non autorisés.
Comment reconnaître une attaque d'ingénierie sociale ?
Il existe plusieurs signaux d'alarme qui peuvent signaler une attaque d'ingénierie sociale. Une grammaire et une orthographe médiocres sont un signe révélateur. Il en va de même d'un sentiment d'urgence accru qui vise à inciter le destinataire à agir sans se poser de questions. Toute demande de données sensibles doit immédiatement tirer la sonnette d'alarme : les entreprises réputées ne demandent généralement pas de mots de passe ou de données personnelles par courrier électronique ou par SMS.
Voici quelques-uns des signaux d'alarme qui indiquent une ingénierie sociale :
1. Une langue médiocre et vague
2. Une adresse d'expéditeur étrange
3. Un sentiment d'urgence
4. Une demande d'informations sensibles
5. Si quelque chose semble trop beau pour être vrai, c'est probablement le cas.
5 façons de protéger votre organisation contre les attaques d'ingénierie sociale
1. Formation régulière à la cybersécurité de TOUS les employés, y compris les cadres supérieurs et le personnel informatique. N'oubliez pas que cette formation doit montrer ou simuler des scénarios réels. Les points d'apprentissage doivent être exploitables et, surtout, testés activement en dehors de la salle de formation : les techniques d'ingénierie sociale s'appuient sur la faible sensibilisation de leurs cibles à la cybersécurité.
2. Recherchez les mots de passe faibles qui pourraient potentiellement devenir une porte ouverte dans le réseau de votre organisation pour les attaquants. De plus, protégez les mots de passe avec une autre couche de sécurité en mettant en place une authentification multi-facteurs.
3. Mettre en place des solutions techniques pour lutter contre les communications frauduleuses afin que les spams et les messages de phishing soient détectés, mis en quarantaine, neutralisés et supprimés. Les solutions de sécurité, dont beaucoup sont fournies par ESET, ont certaines ou toutes ces capacités.
4. Créez des règles de sécurité compréhensibles que les employés peuvent utiliser et qui les aident à identifier les mesures qu'ils doivent prendre lorsqu'ils sont confrontés à l'ingénierie sociale.
5. Utilisez une solution de sécurité et des outils d'administration, tels que ESET Cloud Administrator, pour protéger les terminaux et les réseaux de votre organisation en donnant aux administrateurs une visibilité totale et la possibilité de détecter et d'atténuer les menaces potentielles sur le réseau.
Combattre l'ingénierie sociale dès maintenant
ESET PROTECT
Advanced
Protégez votre organisation contre l'ingénierie sociale en utilisant les solutions de sécurité des points d'extrémité à plusieurs niveaux d'ESET, y compris la protection LiveGrid® via le cloud et la protection contre les attaques de réseau, et la console ESET PROTECT basée sur le cloud, pour donner à vos administrateurs une visibilité complète et détaillée du réseau, 24/7.
