L’ingénierie sociale est une technique utilisée par les cybercriminels pour manipuler les individus afin d’obtenir des informations sensibles ou d’accéder à des systèmes informatiques. Elle repose sur la nature humaine et la confiance que nous accordons aux autres. Dans cet article, je vais détailler plusieurs types d’attaques d’ingénierie sociale, ainsi que vous donner des conseils pour vous en protéger.

• Hameçonnage (Phishing)

L’hameçonnage est une technique utilisée par les cybercriminels pour obtenir des informations sensibles en se faisant passer pour une entité de confiance. Les attaquants envoient généralement des e-mails, des SMS ou créent de faux sites Web pour tromper leurs victimes et leur soutirer des informations personnelles ou financières.

Un exemple courant d’attaque d’hameçonnage que de nombreux clients rencontrent est, suite au clic sur un lien dans un mail ou sur un site frauduleux, l’apparition d’une fenêtre en plein écran sur l’ordinateur de la victime, prétendant que l’ordinateur est infecté ou bloqué. Cette fenêtre affiche souvent un faux logo Microsoft ou d’une autre entreprise de confiance et demande à l’utilisateur d’appeler un numéro de téléphone pour résoudre le problème.

Les cybercriminels qui sont derrière cette technique d’hameçonnage se font passer pour des représentants du support technique et incitent la victime à leur donner accès à leur ordinateur, prétendant résoudre le problème. Une fois qu’ils ont accès, ils peuvent voler des informations sensibles, installer des logiciels malveillants ou exiger un paiement pour débloquer l’ordinateur.

Pour se protéger de ce type d’attaque, il est important de se méfier des messages d’alerte inattendus et de ne jamais appeler un numéro de téléphone fourni dans une fenêtre d’alerte. Si vous pensez que votre ordinateur est infecté, contactez-moi ou un autre professionnel de l’informatique de confiance, pour obtenir de l’aide et des conseils.

• Hameçonnage ciblé (Spear Phishing)

L’hameçonnage ciblé, ou spear phishing, est une forme d’hameçonnage qui vise des individus ou des organisations spécifiques. Contrairement à l’hameçonnage généralisé, les attaques de spear phishing sont souvent personnalisées et conçues pour exploiter les informations déjà connues sur la victime, telles que leur nom, leur poste et les détails de leur entreprise.

Un exemple concret de spear phishing serait un e-mail apparemment envoyé par le directeur financier d’une entreprise à un employé du service comptabilité. L’e-mail pourrait demander un virement d’argent urgent pour une raison plausible, avec des détails bancaires fournis. L’employé, pensant que l’e-mail provient de son supérieur, pourrait effectuer le virement sans vérifier davantage, permettant aux cybercriminels de voler de l’argent.

Pour se protéger du spear phishing, il est essentiel de vérifier l’authenticité des e-mails et des demandes avant de prendre des mesures. Si vous recevez un e-mail suspect, contactez l’expéditeur par un autre moyen de communication pour confirmer la demande.

• Appât (Baiting)

L’appât est une technique d’ingénierie sociale dans laquelle les cybercriminels offrent une récompense attrayante pour inciter les victimes à révéler des informations sensibles ou à télécharger des logiciels malveillants. Cela peut se produire en ligne, par exemple en offrant un téléchargement gratuit d’un logiciel coûteux, ou physiquement, en laissant une clé USB infectée dans un lieu public où la victime est susceptible de la trouver et de l’utiliser. J’en reparlerai plus loin

Un exemple d’appât pourrait être un e-mail prétendant offrir un bon d’achat gratuit pour un magasin populaire en échange de la participation à un sondage. L’utilisateur clique sur le lien pour remplir le sondage et, à la fin, doit fournir des informations personnelles pour recevoir le bon d’achat. Cependant, le bon n’existe pas et les cybercriminels ont maintenant accès à ces informations.

Pour éviter de tomber dans le piège de l’appât, il est important de ne pas cliquer sur des liens ou télécharger des fichiers provenant de sources inconnues ou suspectes. Soyez sceptique quant aux offres trop belles pour être vraies et vérifiez l’authenticité de l’offre avant de fournir des informations personnelles.

• Malware

Les malwares, y compris les ransomwares, sont des logiciels malveillants conçus pour infiltrer et endommager les systèmes informatiques, voler des informations ou causer d’autres problèmes. Les cybercriminels utilisent souvent des techniques d’ingénierie sociale pour inciter les victimes à télécharger et à installer ces logiciels malveillants sur leurs appareils.

Un exemple de distribution de malware pourrait être un e-mail prétendant provenir d’un service informatique demandant à l’utilisateur de mettre à jour un logiciel pour corriger une faille de sécurité. L’e-mail contient un lien vers un site Web qui ressemble à un site officiel, mais qui, en réalité, télécharge et installe un malware sur l’appareil de la victime.

Pour se protéger des malwares, il est essentiel de maintenir vos logiciels à jour, d’utiliser un programme antivirus fiable comme Microsoft Defender, anciennement connu sous le nom de Windows Defender, il est parfait pour ce rôle. Microsoft Defender offre une protection en temps réel contre les virus, les logiciels malveillants, les spywares et autres menaces de sécurité. Il inclut des mises à jour automatiques avec les dernières définitions de virus pour garantir une protection optimale. Il est conçu pour fonctionner de manière efficace en arrière-plan avec un impact minimal sur les performances de votre ordinateur.

Étant intégré à Windows, Microsoft Defender offre une protection continue sans nécessiter l’installation d’un logiciel tiers. Et en plus de la protection antivirus standard, Microsoft Defender propose également des fonctionnalités de sécurité supplémentaires telles que la protection contre les ransomwares, le contrôle de l’accès aux dossiers sensibles et la protection du navigateur.

Et comme je le répète souvent de ne pas cliquer sur des liens ou télécharger des fichiers provenant de sources inconnues ou suspectes.

• Prétexte

Le prétexte est une technique d’ingénierie sociale où les cybercriminels se font passer pour quelqu’un d’autre afin d’obtenir des informations sensibles. Ils peuvent prétendre être un employé d’une entreprise, un représentant d’une banque, ou même un ami ou un membre de la famille.

Un exemple de prétexte pourrait être un appel téléphonique d’un individu prétendant être un représentant du support technique d’une entreprise de logiciels. Ils affirment que l’ordinateur de la victime présente des problèmes et demandent l’accès à distance pour résoudre le problème. Une fois l’accès accordé, le fraudeur peut voler des informations ou installer un logiciel malveillant.

Pour se protéger du prétexte, il est important de vérifier l’identité des personnes qui demandent des informations sensibles ou l’accès à votre système informatique. Ne donnez jamais d’informations personnelles ou d’accès à distance à quelqu’un que vous ne connaissez pas ou dont vous n’êtes pas sûr.

• Échange de biens ou de services

Dans cette attaque d’ingénierie sociale, les cybercriminels proposent un échange d’informations ou de services pour convaincre la victime de fournir des informations sensibles ou d’accorder l’accès à leur système. Les fraudeurs qui utilisent cette technique ne font généralement pas de recherches approfondies sur leurs cibles et prétendent offrir une assistance technique ou d’autres services.

Un exemple d’échange de biens ou de services pourrait être un e-mail d’un individu prétendant être un consultant en cybersécurité. Ils offrent d’effectuer une évaluation gratuite de la sécurité du réseau de la victime en échange de l’accès à distance à leur système. Une fois l’accès accordé, le fraudeur peut voler des informations ou causer d’autres problèmes.

Pour éviter ces attaques, il est important de vérifier l’authenticité des personnes qui proposent des services ou des informations en échange de l’accès à votre système informatique. Ne donnez jamais d’informations sensibles ou d’accès à distance à quelqu’un que vous ne connaissez pas ou dont vous n’êtes pas sûr.

• Tailgating

Le tailgating, ou suivre de près, n’est pas à proprement parler une attaque, mais plutôt une stratégie permettant à un fraudeur d’accéder physiquement à un bâtiment ou à une zone sécurisée. En repérant une entrée peu surveillée, le fraudeur suit un employé qui, par politesse malavisée, retient une porte, permettant ainsi au fraudeur de pénétrer dans les lieux.

Pour se prémunir contre le tailgating, il est essentiel d’être conscient des personnes qui vous entourent et de ne pas laisser entrer des inconnus dans des zones sécurisées. Les entreprises peuvent également mettre en place des protocoles de sécurité stricts pour éviter que des personnes non autorisées ne puissent accéder à leurs locaux.

• Vishing

Le vishing, ou hameçonnage vocal, est une technique d’ingénierie sociale où les cybercriminels utilisent des appels téléphoniques pour tenter d’obtenir des informations sensibles de leurs victimes. Ils laissent souvent des messages vocaux urgents pour inciter leurs victimes à agir rapidement afin de se protéger d’une arrestation ou d’une fraude.

Un exemple de vishing pourrait être un appel téléphonique d’une personne prétendant être un agent du fisc, affirmant que la victime doit immédiatement régler une dette impayée pour éviter des pénalités sévères. La victime est alors incitée à fournir des informations de paiement par téléphone.

Pour se protéger du vishing, il est important de ne pas donner d’informations sensibles par téléphone, surtout si vous n’avez pas initié l’appel. Si vous recevez un appel suspect, raccrochez et contactez directement l’organisme concerné pour vérifier la situation.

• Attaque de point d’eau

L’attaque par point d’eau, ou watering hole, est une technique d’ingénierie sociale avancée. Les cybercriminels cherchent à identifier des sites Web fréquemment consultés par les employés d’une entreprise ou d’un secteur d’activité spécifique, dans le but d’infecter leurs appareils lorsqu’ils visitent ces sites.

Un exemple d’attaque de point d’eau serait un cybercriminel qui compromet un forum en ligne fréquenté par des employés d’une entreprise ciblée. Lorsque les employés visitent le forum, leur appareil est infecté par un logiciel malveillant qui permet au cybercriminel d’accéder à des informations sensibles.

Pour se prémunir des attaques de point d’eau, il est crucial de mettre à jour régulièrement vos logiciels et de disposer d’un programme antivirus fiable. De plus, faites preuve de prudence lors de la visite de sites Web peu connus ou suspects.

• Mais encore…

Pour terminer cet article non exhaustif mais néanmoins complet, il est important de parler des risques liés à la visite de certains sites web Lorsque vous naviguez sur Internet. Les sites « malveillants » ou /et  « attractifs » peuvent infecter votre ordinateur avec des logiciels malveillants, tels que des virus, des chevaux de Troie et des logiciels espions. Ces logiciels malveillants peuvent voler vos informations personnelles, vos identifiants de connexion et même accéder à votre webcam et à votre microphone.

Il y a aussi les risques liés à l’utilisation de logiciels crackés Les logiciels crackés sont des logiciels qui ont été modifiés pour contourner les mesures de sécurité du fabricant. Bien que les logiciels crackés puissent sembler attrayants en raison de leur coût réduit ou nul, ils peuvent contenir des virus, des chevaux de Troie et d’autres logiciels malveillants qui peuvent infecter votre ordinateur. Il est préférable d’acheter des logiciels auprès de sources légitimes et de toujours utiliser des antivirus et des pares-feux pour vous protéger contre les menaces en ligne.

Puis aussi fausses applications : Les cybercriminels créent souvent des applications frauduleuses qui ressemblent à des applications populaires, telles que des jeux ou des applications de réseaux sociaux. Lorsque vous téléchargez ces applications, vous pouvez involontairement infecter votre appareil avec des logiciels malveillants ou donner aux cybercriminels un accès à vos informations personnelles. Pour vous protéger contre les fausses applications, téléchargez uniquement des applications à partir de magasins d’applications officiels et lisez les commentaires avant de télécharger une application.

Et encore mais moins fréquent, les clés USB malveillantes ! Elles se font passer pour des claviers auprès de l’ordinateur. Lorsqu’elles sont connectées, elles envoient très rapidement une série de commandes qui ressemblent à ce qu’un utilisateur pourrait taper sur un clavier mais alors à la vitesse de l’éclair ! Cette méthode s’appelle une attaque « rubber ducky« , en référence à un jouet en forme de canard qui peut être programmé pour envoyer des séquences de touches.Ou même connecter l’ordinateur en wifi à l’ordinateur de l’escroc qui est dans la même pièces ou le même lieu public….

Une fois que la clé USB malveillante a réussi à ouvrir un accès sur l’ordinateur, elle peut télécharger et exécuter des programmes malveillants, capturer des informations sensibles ou même prendre le contrôle de l’ordinateur à distance. Les clés USB malveillantes peuvent également être conçues pour se dissimuler et agir discrètement, sans éveiller les soupçons de l’utilisateur.

Il est important de noter que toutes les clés USB ne sont pas malveillantes, et que ce type d’attaque est relativement rare. Cependant, il est recommandé de ne pas utiliser de clés USB inconnues ou suspectes, et de toujours vérifier la source et l’origine de tout périphérique de stockage externe avant de le connecter à un ordinateur.

Conclusion

Les attaques d’ingénierie sociale peuvent prendre de nombreuses formes et causer d’importants dommages à vos données personnelles et finances. Il est important d’être vigilant lorsque vous naviguez sur Internet et de ne pas cliquer sur des liens suspects. Je recommande même à mes clients de ne jamais cliquer sur un lien dans un e-mail, mais de vérifier les informations contenues dans l’e-mail en accédant au site par les moyens habituels.
N’hésitez pas à me contacter si vous avez besoin d’aide pour protéger vos informations en ligne. En tant que professionnel, je suis confronté tous les jours aux conséquences de l’ingénierie sociale. Et je n’ai même pas évoqué dans cet article les arnaques à la vente ou à l’achat de biens, les arnaques aux sentiments, le piratage de comptes, les méthodes des « brouteurs », etc. Cependant, ces sujets feront certainement l’objet d’un autre article.

Partagez cet article au maximum en copiant collant le lien de cette page pour informer le plus de personnes possible autour de vous. https://home-computer-maintenance.com/?p=2084

Christian.P