🧠Concepts / Principes / Attaques
Les concepts importants
Acting
Ce concept vise à vous rendre légitime aux yeux de votre victime, il s'agit de prendre un rôle tel un acteur de théâtre et d'être assez convaincant pour tromper celle-ci.
Si une personne malveillante souhaite s'introduire dans les locaux d'une entreprise elle peut par exemple:
Se faire passer pour un employé en portant l'uniforme / la tenue de travail de l'entreprise.
Se faire passer pour un ouvrier pendant des travaux.
...
OSINT
Ce concept quant à lui vise à récupérer un maximum d'information sur votre victime (entreprise, employés, technologies utilisées...) afin de mettre en place un véritable scénario d'attaque ciblé et personnalisé rendant donc beaucoup plus crédible votre acting.
Phishing
Il s'agit des formes d'ingénierie sociale les plus utilisé par les cybercriminels. le phishing est un acte visant à envoyé un mail, un sms ou autre à votre victime en le rendant le plus légitime possible aux yeux de celle-ci. Il peut s'agir de cacher un logiciel malicieux qui sera téléchargé par la victime, envoyer un lien de redirection vers un site malveillant ou parfois simplement de manipuler la victime afin d'obtenir des informations.
Smiphing
Phishing par SMS
Spear phishing
Phishing ciblé, Cette attaque repose généralement sur une usurpation de l'identité de l'expéditeur, et procède par ingénierie sociale forte afin de lier l'objet du courriel et le corps du message à l'activité de la personne ou de l'organisation ciblée
Whaling
Type de phishing ciblant un supérieur au sein d'une entreprise / ciblant directement la haute direction ou d'autres membres importants, dans le but de voler de l'argent, des informations sensibles ou d'avoir accès à leurs systèmes informatiques, le tout bien sûr à des fins criminelles. Aussi connue sous le nom de fraude au président, la "chasse à la baleine" est semblable au phishing car elle utilise des méthodes d'imitation d'emails et de sites Web pour inciter une cible à effectuer des actions spécifiques, comme révéler des informations confidentielles ou transférer de l'argent.
Vishing
Le Vishing est une pratique d'ingénierie sociale qui consiste à communiquer avec des gens par téléphone dans le but de les frauder. Cette fraude utilise habituellement la voix sur IP à cause des flexibilités de cette technologie et de son coût très bas.
Cette technique est plus complexe à mettre en place par un attaquant car elle requière des compétences en improvisation et une solide connaissance de la cible mais cela la rend de ce fait bien plus crédible aux yeux de la victime.
Cette attaque permet également à l'attaquant d'avoir directement le résultat de celle-ci au lieu d'attendre qu'un mail ou un sms soit ouvert ce qui peut parfois être long.
Exemples d'attaques:
Faux SMS de la poste vous signalant l'arrivé d'un colis. (Smishing)
Faux mail de votre banque vous redirigeant vers un site malicieux vous demandant vos coordonnées bancaires, identifiants etc. (Phishing)
Envoie d'un fichier malicieux à un supérieur par le billet d'une adresse mail légitime usurpée. (Whaling)
Appel d'une personne malveillante se faisant passer pour un PDG pour inciter un service PAIE de faire un virement sur un compte distant. (Vishing)
Baiting
Ce concept vise à leurrer la victime en l'incitant à effectuer une action qu'elle pense bénigne pour laquelle celle-ci n'aurais pas le réflexe de vérifier la légitimité tel que laisser une clé USB par terre pour l'inciter à la brancher sur son ordinateur ou coller des code QR à des endroits tels que des restaurants ou autre endroit dans lesquels il n'est pas rare d'en trouver.
Exemples:
Rubber Ducky (USB)
Faux menu sans contact sur une table de restaurant (Code QR)
Juice jacking (fausses bornes de recharge publiques)
Diversion theft
Ce concept est à la fois simple et éléboré demandant une bonne connaissance de la cible et de ses fournisseurs ainsi que de son calendrier de livraisons. Elle demande également du matériel ainsi qu'une bonne capacité d'improvisation. Ce type d'attaque vise à convaincre l'entreprise livrant un produit ou un service qu'elle est attendue autre part en se faisant passer pour l'entreprise cible afin de se présenter à chez celle-ci à la place du préstataire ou livreur légitime.
Water howling
Ce concept quant à lui se base sur la confiance des utilisateurs d'un site légitime en celui-ci. Il nécessite d'avoir préalablement découvert une vulnérabilité du type XSS ou HTML injection par exemple qui vont permettre d'interagir avec les utilisateur du site. En effet, un utilisateur ayant l'habitude d'utiliser un site légitime sans n'avoir jamais eu aucun problème avec sera plus à même d'effectuer des actions inconciemment et sans aucune forme de vigilance. L'attaquant peut alors profiter de cette mégarde pour rediriger un utilisateur vers un lien malicieux, lui faire télécharger un malware, lui voler ses identifiants de connexions ou autre.
Quid pro quo
Ce concept est une attaque très utilisé à bas niveau notamment sur des personnes agés peut sensibilisés à la cybersécurité et nécessitant une assistance constante sur les appareils numériques. Ce type d'attaque vise à se faire passer pour un support informatique auprès d'une cible en pretextant l'aider à résoudre une panne ou autre problème informatique et de guider cette personne à faire des actions qui permettront à l'attaquant de prendre le contrôle de la machine de la cible.
Tailgating
Très utilisé lors de tests d'intrusion physique notamment, ce concept vise à entrer par un accès sécurisé par badge soit en attendant qu'un employé légitime passe et en passant derrière lui pendant que l'accès est ouvert, soit d'exploiter la générosité d'un employé pour lui faire tenir la porte pour nous (comme la technique connue visant à faire comme si on était au téléphone), soit en ramenant un faux badge et en demendant de nous ouvrir en prétextant un bug avec le badge.
Dumpster Diving
Un dernier concept de social engineering souvent oublié est le dumpster diving visant à collecter le contenu des beines à ordures de la cible dans le but de retrouver des documents et notes sensibles.
Dans ce genre de cas l'attaquant peut par exemple se faire passer pour un employé de la société d'éboueur de l'entreprise afin qu'on lui donne accès aux beines à ordures.
Si les documents confidentiels jetés ne sont pas détruits alors ce type d'attaque peut donner accès à une mine d'informations.
Concepts psychologiques
En effet, contrairement aux autres types d'attaques effectués dans le domaine des tests d'intrusion, les attaques faisant usage de l'ingénierie sociale requière peu voir parfois aucune compétences en informatique.
L'ingénierie sociale relève principalement de la psychologie humaine, c'est pourquoi il s'agit d'un sujet complétement à part dans le domaine du hacking car les compétences attendues sont radicalement différentes.
A titre d'information, les attaques provoquant une réaction sont majoritairement préparées pour susciter les peurs, la serviabilité, la curiosité, la cupidité, la nécessité, le besoin d’espoir. Les besoins de domination, de pouvoir et de plaisir (sexe et argent) sont quant à eux les vecteurs les plus difficiles à contrôler émotionnellement.
Influence
L'influence est la capacité d'entraîner une personne "influençable" à effectuer une action qui ne lui est pas forcément nécessaire.
On peut par exemple parler des influenceurs aujourd'hui devenu un métier à part entière et qui décrit parfaitement ce concepts.
Les influenceurs incitent à la consommation par leur audience et les réseaux sociaux.
Manipulation
La manipulation est souvent associée à l'influence ce qui n'est pas forcément vrai. En effet, influencer n'a pas forcément pour but de porter préjudice à quelqu'un, il arrive même parfois d'influencer sans le savoir. Il existe également de bonnes influences (exp: Cette personne est un modèle pour moi, elle me motive à progresser et à ne pas abandonner).
La manipulation quant a elle est utilisé avec l'objectif d'effectuer une action malveillante.
Rapport
Ce concept est probablement l'un des concepts les plus importants pour la réussite d'une attaque d'ingénierie sociale. En bref, il s'agit de confiance mutuelle entre l'attaquant et la victime. En effet, si l'attaquant n'arrive pas à donner à sa cible confiance en lui, les chances de réussite de son attaque deviennent très faibles.
Comme dans une thérapie ou une négociation de police, l'attaquant va alors tenter de créer un lien entre lui et sa cible en échangeant avec sur des expériences partagées (vraies ou inventées de toutes pièces), sur ses centres d'intérêts etc. L'OSINT a alors une grande place dans la mise en pratique de ce concept car il est important de bien connaitre sa cible.
Principes de persuasion
Autorité
Se faire passer pour un supérieur hiérarchique et donner des ordres en tant que PDG ou autre figure d'autorité à une victime s'est montré très persuasif dans une multitude de fraudes au président depuis des années.
En effet, se faire passer pour un PDG est un acte très menaçant pour un employé. Une personne non sensibilisé à ce type d'attaque ne se doutera à aucun moment qu'une personne inconnue à la vie de l'entreprise puisse la contacter directement par téléphone en lui donnant des ordres. D'autant plus que les fraudes au présidents sont parfois ajouté à un contexte d'urgence ou stressant dont nous allons parler par la suite.
Sympathie
Urgence / situation stressante
Les situations d'urgence et situations stressantes sont souvent persuasives du fait du manques de temps de réflexion de la cible pour prendre sa décision. Ces situations entraînent des erreurs de jugement de la part de la personne victime. C'est ce type de procédé qu'utilise les "ransomgangs" pour mener leur victime à agir dans la précipitation avant d'avoir le temps d'analyser la situation. (exp: vous avez X heures pour payer avant que vos données soient rendus publiques).
Constance
La constance est un moyen intéressant de mettre en place un rapport de confiance. En effet, l'humain n'aime généralement pas le changement, la plupart des gens se sentent en sécurité dans leur routine et ne voient dans le changement qu'une perte de temps (exp: Ce sous-traitant connais bien notre entreprise, pourquoi changer pour reformer toute une équipe ?).
La constance pourrait donc permettre à un attaquant d'établir un rapport de confiance avec une entreprise ou un employé sur du long terme lui permettant de prendre connaissance d'informations et secrets sur une possible cible plus grande.
Preuve sociale
Ce concept vise à convaincre une personne d'effectuer une action en la comparant à d'autre personne de la même génération ou classe sociale.
En psychologie sociale, la preuve sociale concerne un individu ne sachant quoi faire ou quoi penser qui aura tendance à adopter le comportement ou le point de vue d’autres personnes. Par exemple, si un individu cherche à manger dans une rue, il va préférer se rendre dans un restaurant où la terrasse est bondée plutôt que le restaurant où la terrasse est vide. En effet, le nombre de clients va permettre au restaurant de renvoyer une image positive au passant.
Dans une campagne d'ingénierie sociale, ce genre de procédé passe par une phase d'OSINT approfondie afin de repérer les personnes les plus influençables de l'entreprise. la victime est alors contacté par email (par exemple) dans lequel on pourrait lui propose un poste intéressant son profil ayant été recommandé par une personne qui tenait à rester anonyme. Linkedin donne par exemple les membres de votre réseau ayant travaillé sur le même poste dans les offres d'emplois pour vous inciter à suivre leur chemin ou du moins à vous intéresser à l'offre.
Réciprocité
Le concept de dette peut également être utilisé dans le cadre d'ingénierie sociale. Aider une cible à régler un problème quel qu'il soit peut permettre à un attaquant de donner à sa victime l'impression d'être obligé de faire quelque chose pour lui en retour.
Par exemple, un attaquant aide un employé d'une entreprise cible dans une tâche de la vie courante puis demande si en retour cet employé peut donner les coordonnées de son supérieur hiérarchique pour "une candidature spontanée". Service contre service, l'employé n'aurais peut-être pas accepté en temps normal mais la situation fait qu'il se sent obligé de le faire.
En général, plus le service rendu est grand, moins la personne bénéficiaire n'a le courage de refuser.
Empathie
Probablement le concept le plus dangereux et contraire à l'éthique utilisé par les personnes malveillantes. L'empathie est la capacité de comprendre les sentiments d'une personne comme si vous étiez dans sa situation, elle utilise des sentiments partagés contrairement à la sympathie qui n'utilise que les propre sentiments de l'attaquant. L'association de ces deux concepts est l'outil parfait pour établir une relation avec un autre individu.
Il est important de savoir à la fois parler de ses sentiment sans entrer dans l'égoïsme, c'est-à-dire qu'il faut trouver le bon équilibre entre sentiments personnels et sentiments de la victime pour être capable d'exercer son influence et de savoir quelle limite ne doit pas être dépassé.
Les utilisateurs expérimenté d'ingénierie sociale sont ainsi capable d'adapter leurs histoires en fonction du vécu / du passif de leur victime afin de les transporter et de leur faire éprouver de l'empathie. Inversement , si leur victime se confient à eux ils sauront faire preuve d'empathie et utiliseront la sympathie pour présenter leurs condoléances et même parfois rebondir sur une expérience similaire.
Attention: Il est important d'utiliser cette technique subtilement et intelligemment car si vous trouvez une anecdote pour chaque situation vous passerez rapidement pour un menteur.
Appartenance
Ce concept d'appartenance à une communauté / un groupe peut également être exploité car il touche une grande partie de la population, l'effet de groupe a toujours eu son importance dans l'existance de l'humanité amenant à de très belles choses comme à de terribles choses. Exploiter une telle vulnérabilité est une manipulation assez vicieuse car elle peut permettre de manipuler plusieurs emotions. La peur (la peur de la solitude, du jugement, de l'abandon, l'intimidation...), la griserie (l'effet de "meute" a un effet encourageant pouvant mener à faire des actions non volontaire pouvant être regrétés par la suite), la confiance (faire une bêtise accompagné est plus rassurant que la faire seule :p, on peut aussi prendre l'exemple de la terrasse de restaurant bondée de monde qui attirera plus de personne que celle vide car on a confiance en les goût des autres).
C'est autant de manières de manipuler une personne a faire des actions qu'il sait pourtant pertinament qu'il ne devrait pas faire.
Attaques avancées
Les attaques les plus avancées en terme d'ingenierie sociale mettent en oeuvre ce qu'on appel les principes de double voir triple extorsion.
Ces attaques font appel à deux voir trois des concepes de persuasion cités ci-dessus.
Il n'est en effet pas rare de voir des attaques notamment contre les établissement hospitalier dans lesquel on va utiliser la peur ainsi que l'urgence en utilisant un ransomware muni d'un timer qui va publier les données volées à terme (double extorsion). Certains acteurs vont même jusqu'à ajouter une notion de nécessité en menacant leur victime d'effectuer des attaques part déni de service distribué si celles-ci venaient à prévenir les autorités. (triple extorsion)
Vecteurs d'attaque principaux
Les principaux vecteurs d'attaque mettant en pratique des notions d'ingenierie sociale sont les suivants:
La consultation des sites web contenant des charges virales, certains sites sont plus souvent attaqués que visités (attaque par point d’eau)
L’exploitation des fuites de données référençant des « loggins » et des mots de passe (montrer a la victime qu'on détient ses identifiants pour lui faire peur)
Les mises à jour corrompues fournies par un faux éditeur
Les attaques par rebond en provenance des partenaires, des sous-traitants de la « supply chain ». (notion de confiance)
Facteurs de vulnérabilités principaux
Le télétravail
Entraîne un déséquilibre entre vie professionnel et vie privée qui demande une grande maturité pour être correctement équilibrée en télétravail
Créer des changements dans la gestion de la sécurisation des systèmes d'informations enraînant des risques de mauvaises configuration de sécurité par exemple(nécessité de mise en place de VPN, de chiffrement des appareils nomades etc)
Favorisation des mauvaises pratique à la maison car personne pour surveiller (pas de mise en veille des écrans, sauvegarde des données sur des disques non sécurisés, transferts de fichiers non sécurisés etc)
Pas d'interaction physique (il est plus facile d'usurper une identité quand il n'y a pas de risque que la personne se trouve dans le même open space...)
Des personnes non informaticiens qui se retrouvent à devoir utiliser des technologies nouvelles pour eux (ce qui engendre stress, colère, frustration...)
L'infobésité et la charge mentale
l'infobésité est l'excès d'informations propre à l'ère du numérique, elle a été apporté par la multiplications des média, canaux de diffusions, source d'informations etc et a été amplifié avec l'arrivé du télétravail obligeant à augmenter d'avantage le nombre d'outils numériques à utiliser au quotidien.
L'infobésité est en quelque sorte l'équivalent d'un DoS (Déni de services) sur le cerveau humain. Tout comme un botnet qui va bombarder de requêtes un serveur jusqu'à ce que celui-ci ne soit plus en capacité de fonctionner correctement, la quantité d'informations ingéré par le cerveau humain via les mails, les copies de mails, les réseaux sociaux, la télévision etc va litérallement inonder le cerveau humain jusqu'à mener dans certains cas au "burnout".
Cela va également favoriser la nécessité d'être multitâches ce qui est physiologiquement ingérable et qui implique plus d'erreurs et donc plus de perte de temps qu'à l'origine ainsi qu'une fatigue due au surmenage. Sensation de surmenage qui va nous inciter à nous rendre sur les réseaux sociaux par exemple pour se changer les idées et qui aura l'effet inverse car ceux-ci enverrons encore plus d'informations accumulant de ce fait toujours plus de fatigue et de stress.
Dernière mise à jour
