Tweet
Qu'est-ce que c'est ?
Introduction :
L'ingénierie sociale (ou social engineering en anglais) est une forme d'acquisition déloyale d'information et d'escroquerie , utilisée en informatique pour obtenir d'autrui, un bien, un service ou des informations clefs. Cette pratique exploite les failles humaines et sociales de la structure cible, à laquelle est lié le système informatique visé. Utilisant ses connaissances, son charisme, l'imposture ou le culot, le hacker abuse de la confiance, de l'ignorance ou de la crédulité des personnes possédant ce qu'il tente d'obtenir. Dans son ouvrage L'art de la supercherie, Kevin Mitnick a théorisé et popularisé cette pratique de manipulation qui utilise principalement les "failles humaines" d'un système informatique comme "effet de levier", pour briser ses barrières de sécurité.
L'ingénierie sociale est aussi appelé processus "d'élitisation" ( de "éliciter" : trier, faire sortir de, susciter...), ou plus concrètement en langue française : L'art d'extirper frauduleusement de l'information à l'insu de son interlocuteur en lui "tirant les vers du nez". Ce terme est souvent utilisé dans le jargon informatique pour désigner un processus d'approche relationnel frauduleux et définit plus globalement les méthodes mises en œuvre par certains hackers (catégorie des black hat), qui usent "d'élitisation" pour obtenir d'une personne manipulée, un accès direct à un système informatique ou plus simplement, pour satisfaire leur curiosité.
De nos jours, un effort de formation et de prévention des utilisateurs des systèmes informatisés sécurisés est fourni. Les départements en charge de la sécurité des systèmes informatiques forment les différents personnels de l'entreprise aux règles de sécurité de base : la meilleure façon de choisir un mot de passe (long et ne se trouvant pas dans un dictionnaire), ne jamais révéler son mot de passe à quelqu'un, pas même à un interlocuteur se faisant passer pour un employé du département informatique, etc. De nombreuses conférences invitent les spécialistes du renseignement ou de la sécurité du système d'information dans les entreprises, à instruire le personnel au sein des grandes structures de l'État et des grands groupes du CAC 40, et à sensibiliser davantage leurs nombreux utilisateurs à cette forme de menace déloyale. Ces formations visent principalement à prévenir les effectifs internes des entreprises, à ne pas divulguer "accidentellement" ou "involontairement" des informations sensibles, et à les enjoindre de donner l'alerte en cas de tentative d'intrusion frauduleuse.
Ici il n'est pas question d'outils ou de commandes mais de manipulations, qualité indispensable d'un bon Hacker.
C'est donc une technique qui a pour but d'extirper des informations à des personnes. Contrairement aux autres attaques, elle ne nécessite pas de logiciel. La seule force de persuasion est la clé de voûte de cette attaque. Il y a quatre grandes méthodes de social engineering : par téléphone, par lettre, par Internet et par contact direct.
Par téléphone :
Le hacker vous contactera par téléphone. C'est la technique la plus facile. Son but est d'avoir le renseignement le plus rapidement possible. Un bon hacker aura préparé son personnage et son discours. Il sera sûr de lui. Il sera très persuasif dans le timbre de sa voix. Certains hackers ont quelques techniques pour parfaire leur crédibilité, comme jouer sur un magnétophone une cassette préalablement enregistrée de bruits de bureau, ou encore utiliser un matériel qui change le timbre de la voix pour imiter celle d'une secrétaire.
Comment parer cette méthode ?
Si vous recevez un coup de fil d'une personne que vous ne connaissez pas : Ne donnez aucun renseignement. Restez dans le vague, et débarrassez vous de lui : soit vous mettez un terme à cet appel, soit demandez une confirmation par écrit (par fax) de la demande. Par fax, on obtient le numéro appelant, et il est donc facile de l'identifier. Et ainsi, on garde une trace écrite, cela pouvant être d'une grande importance pour déposer une plainte.
Malheureusement, un bon hacker vous aura étudié avant, et se fera passer pour un client, un fournisseur, ou un de vos collègues situé dans un autre bureau dans le cas d'une grande entreprise. Pire encore, il attaquera au moment le plus propice pour lui : par exemple, lorsque le responsable d'un client est en vacances. Il devient très dur alors, de se douter d'une mauvaise intention... Attention aux entreprises qui externalisent leur sécurité informatique...
Par lettre :
Le hacker vous fera une lettre très professionnelle. Au besoin, il n'hésitera pas à voir un imprimeur pour avoir du papier à lettre comportant un logo, un filigrane, téléphone, fax, email... Il utilisera très certainement une boîte postale pour l'adresse de sa société fictive.
Comment parer cette méthode ?
L'idéal serait de filtrer tout le courrier entrant de l'entreprise. Pour chaque source inconnue de l'entreprise, il faudrait faire une vérification de l'existence réelle de celle-ci.
Par Internet :
Le social engineering par Internet est semblable à celui par téléphone. Le hacker se fera facilement passer pour un opérateur système, un responsable informatique ou un ingénieur système.
Comment parer cette méthode ?
Comme pour le téléphone, ne donnez pas de renseignements à quelqu'un que vous ne connaissez pas. Mais par Internet, c'est plus facile de donner de la crédibilité, tant il y a de noms de domaines et d'adresses emails farfelus. Il n'est donc pas facile de faire la part des choses. Une bonne étude de la gestion de l'Extranet et de la mise en place d'une structure matérielle et personnelle adéquate est la meilleure solution.
Par contact direct :
C'est le social engineering le plus dur de la part du hacker. Il sera équipé pour que vous n'y voyez que du feu : costard, cravate, très classe, très propre, attaché-case , agenda rempli, documents divers, carte de visite, badge... Si le hacker prend de tels risques, c'est qu'il est déterminé à obtenir les renseignements souhaités. Il sera donc très persuasif.
Comment parer cette méthode ?
Cela est très difficile, car vous avez été directement confronté au charisme du hacker. S'il a réussi, vous êtes persuadé de son honnêteté. Cependant, lors d'une discussion, n'hésitez pas à demander un maximum de renseignements "concrets" (nom de votre interlocuteur, nom et adresse de la société, etc), pour, par la suite, vérifier auprès des organismes compétents l'existence réelle de votre interlocuteur. N'hésitez pas à téléphoner à la société pour savoir si la personne existe, et si elle est au courant qu'elle vous a vu ces dernières heures...
Démonstration :
Nous avons vu dans les methodes de recherches qu'’il etait possible de trouver des informations sur les entreprises a l’aide d’annuaires.
Ci dessous, nous pouvons voir les informations liées a l’Heig-vd, provenant d’une recherche sur un annuaire whois, a l’aide d’un programme client prealablement installe.
Il est donc possible de directement interroger ces bases de donnees distantes.
Nous avons aussi la possibilite d’interroger ces annuaires, via une page web (http ://www.ripe.net/db/whois/whois.html), qui appellera la commande whois et retournera le resultat au browser.
Nous remarquons que nous obtenons très facilement le nom du directeur, ainsi que celui du responsable technique. Les noms disponibles sur ces annuaires devraient etre des noms fictifs de telle sorte que, lorsqu’une personne appelle ou se presente au guichet d’informations dans l'’intention de parler au responsable nomme X, cela devrait eveiller les soupçons de la victime et du coup engendrer de la mefiance. Pour pallier ce phénomene, il faudrait sensibiliser le personnel de l’'entreprise et lui appendre a dialoguer sans reveler des donnees importantes en lui montrant toutes les techniques et scenarii possibles. Un cracker ne se contentera pas d’en appliquer une, il organisera tout un scenario qui pourrait commencer par un coup de telephone et par la suite un rendez-vous, etc...
Conclusion :
Il ne faut pas perdre de vue que le hacker ne se limitera pas à une seule de ces techniques, mais au contraire, utilisera une combinaison de ces quatre méthodes.
Par exemple : téléphoner pour obtenir un rendez-vous, confirmer par écrit, et passer une heure en votre compagnie...
Il est important, de la part d'une entreprise, de former le personnel à ce problème. Un bon hacker s'attaquera à la personne la plus faible de l'entreprise, à savoir le personnel non technique (secrétaires, comptables...) et les personnes récemment recrutées.
La paranoïa reste la défense ultime contre ce genre d'attaque.
Introduction :
L'ingénierie sociale (ou social engineering en anglais) est une forme d'acquisition déloyale d'information et d'escroquerie , utilisée en informatique pour obtenir d'autrui, un bien, un service ou des informations clefs. Cette pratique exploite les failles humaines et sociales de la structure cible, à laquelle est lié le système informatique visé. Utilisant ses connaissances, son charisme, l'imposture ou le culot, le hacker abuse de la confiance, de l'ignorance ou de la crédulité des personnes possédant ce qu'il tente d'obtenir. Dans son ouvrage L'art de la supercherie, Kevin Mitnick a théorisé et popularisé cette pratique de manipulation qui utilise principalement les "failles humaines" d'un système informatique comme "effet de levier", pour briser ses barrières de sécurité.
L'ingénierie sociale est aussi appelé processus "d'élitisation" ( de "éliciter" : trier, faire sortir de, susciter...), ou plus concrètement en langue française : L'art d'extirper frauduleusement de l'information à l'insu de son interlocuteur en lui "tirant les vers du nez". Ce terme est souvent utilisé dans le jargon informatique pour désigner un processus d'approche relationnel frauduleux et définit plus globalement les méthodes mises en œuvre par certains hackers (catégorie des black hat), qui usent "d'élitisation" pour obtenir d'une personne manipulée, un accès direct à un système informatique ou plus simplement, pour satisfaire leur curiosité.
De nos jours, un effort de formation et de prévention des utilisateurs des systèmes informatisés sécurisés est fourni. Les départements en charge de la sécurité des systèmes informatiques forment les différents personnels de l'entreprise aux règles de sécurité de base : la meilleure façon de choisir un mot de passe (long et ne se trouvant pas dans un dictionnaire), ne jamais révéler son mot de passe à quelqu'un, pas même à un interlocuteur se faisant passer pour un employé du département informatique, etc. De nombreuses conférences invitent les spécialistes du renseignement ou de la sécurité du système d'information dans les entreprises, à instruire le personnel au sein des grandes structures de l'État et des grands groupes du CAC 40, et à sensibiliser davantage leurs nombreux utilisateurs à cette forme de menace déloyale. Ces formations visent principalement à prévenir les effectifs internes des entreprises, à ne pas divulguer "accidentellement" ou "involontairement" des informations sensibles, et à les enjoindre de donner l'alerte en cas de tentative d'intrusion frauduleuse.
Ici il n'est pas question d'outils ou de commandes mais de manipulations, qualité indispensable d'un bon Hacker.
C'est donc une technique qui a pour but d'extirper des informations à des personnes. Contrairement aux autres attaques, elle ne nécessite pas de logiciel. La seule force de persuasion est la clé de voûte de cette attaque. Il y a quatre grandes méthodes de social engineering : par téléphone, par lettre, par Internet et par contact direct.
Par téléphone :
Le hacker vous contactera par téléphone. C'est la technique la plus facile. Son but est d'avoir le renseignement le plus rapidement possible. Un bon hacker aura préparé son personnage et son discours. Il sera sûr de lui. Il sera très persuasif dans le timbre de sa voix. Certains hackers ont quelques techniques pour parfaire leur crédibilité, comme jouer sur un magnétophone une cassette préalablement enregistrée de bruits de bureau, ou encore utiliser un matériel qui change le timbre de la voix pour imiter celle d'une secrétaire.
Comment parer cette méthode ?
Si vous recevez un coup de fil d'une personne que vous ne connaissez pas : Ne donnez aucun renseignement. Restez dans le vague, et débarrassez vous de lui : soit vous mettez un terme à cet appel, soit demandez une confirmation par écrit (par fax) de la demande. Par fax, on obtient le numéro appelant, et il est donc facile de l'identifier. Et ainsi, on garde une trace écrite, cela pouvant être d'une grande importance pour déposer une plainte.
Malheureusement, un bon hacker vous aura étudié avant, et se fera passer pour un client, un fournisseur, ou un de vos collègues situé dans un autre bureau dans le cas d'une grande entreprise. Pire encore, il attaquera au moment le plus propice pour lui : par exemple, lorsque le responsable d'un client est en vacances. Il devient très dur alors, de se douter d'une mauvaise intention... Attention aux entreprises qui externalisent leur sécurité informatique...
Par lettre :
Le hacker vous fera une lettre très professionnelle. Au besoin, il n'hésitera pas à voir un imprimeur pour avoir du papier à lettre comportant un logo, un filigrane, téléphone, fax, email... Il utilisera très certainement une boîte postale pour l'adresse de sa société fictive.
Comment parer cette méthode ?
L'idéal serait de filtrer tout le courrier entrant de l'entreprise. Pour chaque source inconnue de l'entreprise, il faudrait faire une vérification de l'existence réelle de celle-ci.
Par Internet :
Le social engineering par Internet est semblable à celui par téléphone. Le hacker se fera facilement passer pour un opérateur système, un responsable informatique ou un ingénieur système.
Comment parer cette méthode ?
Comme pour le téléphone, ne donnez pas de renseignements à quelqu'un que vous ne connaissez pas. Mais par Internet, c'est plus facile de donner de la crédibilité, tant il y a de noms de domaines et d'adresses emails farfelus. Il n'est donc pas facile de faire la part des choses. Une bonne étude de la gestion de l'Extranet et de la mise en place d'une structure matérielle et personnelle adéquate est la meilleure solution.
Par contact direct :
C'est le social engineering le plus dur de la part du hacker. Il sera équipé pour que vous n'y voyez que du feu : costard, cravate, très classe, très propre, attaché-case , agenda rempli, documents divers, carte de visite, badge... Si le hacker prend de tels risques, c'est qu'il est déterminé à obtenir les renseignements souhaités. Il sera donc très persuasif.
Comment parer cette méthode ?
Cela est très difficile, car vous avez été directement confronté au charisme du hacker. S'il a réussi, vous êtes persuadé de son honnêteté. Cependant, lors d'une discussion, n'hésitez pas à demander un maximum de renseignements "concrets" (nom de votre interlocuteur, nom et adresse de la société, etc), pour, par la suite, vérifier auprès des organismes compétents l'existence réelle de votre interlocuteur. N'hésitez pas à téléphoner à la société pour savoir si la personne existe, et si elle est au courant qu'elle vous a vu ces dernières heures...
Démonstration :
Nous avons vu dans les methodes de recherches qu'’il etait possible de trouver des informations sur les entreprises a l’aide d’annuaires.
Ci dessous, nous pouvons voir les informations liées a l’Heig-vd, provenant d’une recherche sur un annuaire whois, a l’aide d’un programme client prealablement installe.
Il est donc possible de directement interroger ces bases de donnees distantes.
Nous avons aussi la possibilite d’interroger ces annuaires, via une page web (http ://www.ripe.net/db/whois/whois.html), qui appellera la commande whois et retournera le resultat au browser.
Code:
[email protected]:˜$ whois heig-vd.ch whois: This information is subject to an Acceptable Use Policy. http://www.switch.ch/id/terms/aup.html[/url] Domain name : heig-vd.ch Holder of domain name: Ecole d'’Ingenieurs du Canton de Vaud Christian Kunze Direction Route de Cheseaux 1 CH-1400 Yverdon-les-Bains Switzerland Contractual Language: English Technical contact: Ecole d’Ingenieurs du Canton de Vaud Michel Burnand Informatique route de Cheseaux 1 CH-1400 Yverdon-les-Bains Switzerland Name servers: eivdns-2.eivd.ch [193.134.216.151] eivdns.eivd.ch [193.134.216.150] scsnms.switch.ch [130.59.1.30] scsnms.switch.ch [130.59.10.30] scsnms.switch.ch [2001:620:0:0:0:0:0:1] Date of last registration: 24.01.2005 Date of last modification: 14.04.2005
Conclusion :
Il ne faut pas perdre de vue que le hacker ne se limitera pas à une seule de ces techniques, mais au contraire, utilisera une combinaison de ces quatre méthodes.
Par exemple : téléphoner pour obtenir un rendez-vous, confirmer par écrit, et passer une heure en votre compagnie...
Il est important, de la part d'une entreprise, de former le personnel à ce problème. Un bon hacker s'attaquera à la personne la plus faible de l'entreprise, à savoir le personnel non technique (secrétaires, comptables...) et les personnes récemment recrutées.
La paranoïa reste la défense ultime contre ce genre d'attaque.
Commentaire