Oubliez la version hollywoodienne du hacking. Vous n’avez pas affaire à un code vert brillant ou à des portes dérobées complexes lorsqu’il s’agit de réseaux sociaux. Les véritables attaques d’ingénierie sociale ne nécessitent pratiquement aucune compétence technique. Ils s’appuient sur quelque chose de bien plus dangereux : la psychologie humaine.
La plupart des gens confondent le « piratage » avec les logiciels malveillants ou l’exploitation de code. Mais l’ingénierie sociale sur les réseaux sociaux est différente. C’est un jeu de confiance. Les attaquants utilisent les données personnelles que vous téléchargez volontairement pour gagner la confiance d’inconnus. Ils ne s’introduisent pas par effraction. Ils sont invités.
L’élément humain est le maillon le plus faible
Les systèmes de sécurité traditionnels sont robustes. Les pare-feu fonctionnent. Le cryptage fonctionne. Les gens ne le font pas.
L’ingénierie sociale exploite le maillon le plus faible de la sécurité de l’information : vous et moi. Il utilise la persuasion, la peur ou l’urgence pour contourner les contrôles de sécurité logiques. Considérez ces exemples classiques :
- Un appelant se faisant passer pour un cadre en colère qui a oublié son mot de passe et demande un accès immédiat.
- Un faux employé de banque vous demandant les détails de votre carte de crédit pour « vérifier » un compte.
- Quelqu’un faisant semblant de perdre son badge d’identification et demandant un blocage de la porte du bureau.
Ce ne sont pas des intrigues de science-fiction. Ils se produisent quotidiennement. Le but est simple : contourner la technologie en trompant l’humain derrière l’écran.
Votre profil public est une carte au trésor
Lorsque vous créez un profil sur un réseau social, vous vous concentrez probablement sur la connexion. Vous pensez rarement aux risques de sécurité. Chaque détail que vous publiez permet à un attaquant d’exploiter plus facilement cette confiance.
Imaginez que vous êtes ingénieur. Vous bloguez sur un projet sensible et inédit sur votre page Facebook. Un attaquant le voit. Il connaît ton nom. Il connaît votre rôle. Il connaît votre entreprise.
Il crée un profil qui imite un collègue de cette même entreprise. Lorsqu’il vous tend la main, vous êtes déjà prédisposé à lui faire confiance. Il fait partie de « votre espèce ». Une fois que vous vous engagez, il pourrait essayer d’extraire un mot de passe ou de voler des données exclusives pour les vendre à vos concurrents. Tout cela est possible parce que vous avez partagé publiquement votre contexte professionnel.
L’illusion des “amis uniquement”
La plupart des réseaux promettent la sécurité. Ils prétendent que seuls vos « amis » peuvent voir votre profil complet. Cela semble sécurisé. Ce n’est pas le cas.
Cette fonctionnalité ne fonctionne que si vous êtes extrêmement sélectif. Si vous acceptez les demandes d’amitié de tout le monde, vous invitez au chaos. L’un de ces inconnus est probablement un agresseur.
Le principal problème des réseaux sociaux en ligne est le manque d’authentification intégrée. Il n’existe aucun système permettant de prouver qu’une personne est bien celle qu’elle prétend être. Sur une plateforme comme LinkedIn, un attaquant peut créer un profil qui correspond parfaitement aux intérêts commerciaux de sa cible.
Une fois que vous acceptez la connexion, il obtient une vue sur votre réseau. Il voit vos relations. Il voit vos titres de poste. Il voit vos affiliations. Avec cette carte, il peut construire une escroquerie élaborée en matière d’usurpation d’identité. Il n’a pas besoin de pirater le serveur. Il a juste besoin que vous cliquiez sur « Accepter ».
La conscience est votre seule défense
Il n’existe pas de correctif logiciel pour la paranoïa. La seule défense contre l’ingénierie sociale sur les réseaux sociaux est la sensibilisation.
Vous devez savoir que ces attaquants existent. Vous devez faire attention à ce que vous publiez. Mais plus important encore, vous devez reconnaître l’arnaque au moment où elle se produit. Pas une fois le mal fait.
Si vous considérez chaque interaction sur un réseau comme un test potentiel de votre confiance, vous pourriez survivre à la rencontre. Ou vous pourriez bien être la prochaine statistique.
Nous verrons ensuite comment les professionnels de l’informatique peuvent utiliser ces mêmes réseaux pour progresser dans leur carrière sans tomber dans le piège.
