Ingénierie sociale

Définition

L'ingénierie sociale manipule les personnes pour obtenir un accès ou une information, au lieu d'attaquer les systèmes. L'attaquant exploite la politesse, la peur ou la précipitation. Prétexting, baiting, tailgating et shoulder surfing en sont les formes principales.

Le prétexting

Le prétexting invente un scénario crédible pour obtenir des données. L'attaquant se fait passer pour un technicien, un fournisseur ou un collègue. La victime fournit un mot de passe, un code ou un accès sans vérifier l'identité.

Un appel au standard : "Je suis du service informatique, nous migrons les comptes, donnez-moi votre identifiant." Le ton est pressé et technique. Un rappel à la procédure interne, qui exige une vérification par un autre canal, stoppe la manœuvre.

Le baiting

Le baiting pose un appât physique ou numérique. Une clé USB laissée dans le parking, étiquetée "salaires", attend d'être branchée. Un faux code de réduction sur un site inconnu mène au même résultat. L'appât joue sur la curiosité ou l'appât du gain.

Le tailgating

Le tailgating suit une personne autorisée à travers une porte à badge. L'attaquant porte un carton, une tenue de livraison ou fait signe de tenir la porte. La courtoisie devient une faille : chaque badge doit être présenté, chaque visiteur accompagné.

Le shoulder surfing

Le shoulder surfing observe l'écran ou le clavier pendant la saisie. Un code PIN, un mot de passe ou un numéro de carte se lit par-dessus l'épaule. Un filtre de confidentialité d'écran et une vérification des lieux réduisent le risque.

Le phishing comme vecteur

Le phishing est l'ingénierie sociale appliquée à l'e-mail. Le message imite un expéditeur légitime et pousse à cliquer ou à saisir. La formation reste le meilleur rempart : reconnaître l'urgence artificielle et vérifier l'adresse de l'expéditeur.