La cybersécurité a énormément évolué au fil des années. Nous disposons aujourd’hui de meilleurs systèmes d’exploitation, d’un chiffrement plus robuste, de navigateurs améliorés, de l’authentification multifacteur, de pare-feu, de filtres antipourriel et d’outils de sécurité de plus en plus sophistiqués.
Les attaquants se sont eux aussi adaptés.
Plutôt que d’essayer de contourner toutes ces protections techniques, il est parfois beaucoup plus facile de s’attaquer à la personne assise devant l’ordinateur.
C’est le principe fondamental de l’ingénierie sociale.
L’ingénierie sociale utilise la tromperie, la manipulation, l’urgence, la peur, la curiosité ou la confiance pour convaincre une personne de poser un geste qui compromet sa sécurité. L’hameçonnage est probablement l’exemple le plus connu, mais les courriels d’hameçonnage ne représentent qu’une partie d’un problème beaucoup plus vaste.
Comprendre le fonctionnement de ces attaques devient un élément important de la littératie numérique.
Qu’est-ce que l’hameçonnage?
L’hameçonnage est une tentative visant à tromper une personne afin qu’elle divulgue de l’information, ouvre un fichier malveillant, visite un site Web frauduleux, transfère de l’argent ou effectue une autre action au bénéfice d’un attaquant.
Un message d’hameçonnage peut prétendre provenir :
- de votre banque;
- de votre employeur;
- d’une entreprise de livraison;
- d’un organisme gouvernemental;
- d’un service de diffusion en continu;
- d’un ami ou d’un collègue;
- d’un fournisseur de stockage infonuagique;
- d’une entreprise technologique dont vous utilisez les services.
Le message crée souvent une raison pour laquelle vous devez agir immédiatement.
« Votre compte a été suspendu. »
« Votre colis n’a pas pu être livré. »
« Votre mot de passe expire aujourd’hui. »
« Une activité inhabituelle a été détectée. »
« Veuillez vérifier la facture ci-jointe. »
Cette urgence est intentionnelle.
L’attaquant veut que vous réagissiez avant d’avoir le temps de réfléchir.
L’ingénierie sociale va bien au-delà du courriel
Bien que le courriel demeure une méthode courante, l’ingénierie sociale peut se produire presque partout.
Les attaquants peuvent utiliser les messages texte, les appels téléphoniques, les médias sociaux, les plateformes de messagerie, les faux sites Web, les codes QR ou même des interactions en personne.
L’hameçonnage par message texte est parfois appelé hameçonnage par SMS, tandis que les appels téléphoniques frauduleux sont généralement appelés hameçonnage vocal.
La technologie change, mais le principe demeure remarquablement similaire : convaincre la victime que la demande est légitime.
Un attaquant pourrait se faire passer pour le service de soutien technique d’une entreprise et demander à un employé de réinitialiser un mot de passe. Quelqu’un pourrait prétendre être un gestionnaire demandant un paiement urgent. Une fausse page de connexion pourrait ressembler de très près à celle de Microsoft, Google, d’une banque ou d’un autre service familier.
L’attaque réussit lorsque la familiarité et l’émotion remplacent la vérification.
Pourquoi même les personnes averties peuvent se faire prendre
Il est important de comprendre que l’hameçonnage ne touche pas uniquement les personnes qui « ne comprennent pas l’informatique ».
Les attaques d’ingénierie sociale efficaces sont conçues autour de comportements humains tout à fait normaux.
Nous faisons confiance aux noms familiers. Nous réagissons à l’autorité. Nous nous inquiétons lorsqu’on nous dit qu’un compte a été compromis. Nous voulons aider nos collègues. Nous sommes parfois distraits lorsque nous sommes occupés.
Les attaquants exploitent délibérément ces comportements.
Imaginez recevoir un courriel qui semble provenir de votre gestionnaire à 16 h 45 un vendredi après-midi :
« J’ai besoin que ce paiement soit effectué avant la fermeture du service de comptabilité. Je suis en réunion et je ne peux pas appeler. Veuillez le traiter immédiatement. »
Plusieurs formes de pression psychologique sont réunies dans ce court message : l’autorité, l’urgence, la pression du temps et une explication justifiant pourquoi la vérification habituelle ne peut pas avoir lieu.
Reconnaître ces techniques est souvent plus utile que d’essayer de mémoriser l’apparence de chaque courriel d’hameçonnage.
Les signes à surveiller
Les messages d’hameçonnage deviennent de plus en plus convaincants. Il n’existe donc aucun signe unique permettant d’identifier toutes les attaques.
Cependant, certains éléments devraient vous inciter à ralentir.
Soyez prudent lorsqu’un message inattendu vous demande d’entrer un mot de passe, d’approuver une demande d’authentification, de télécharger un fichier, de transférer de l’argent, de fournir des renseignements personnels, de numériser un code QR ou de modifier les renseignements d’un compte.
Examinez également attentivement l’expéditeur.
Le nom affiché peut être pratiquement n’importe quoi. L’adresse courriel réelle est beaucoup plus importante.
Par exemple, un courriel peut afficher le nom d’une organisation légitime tout en provenant d’un domaine complètement différent.
Les fautes d’orthographe et la mauvaise grammaire peuvent encore être des signes d’hameçonnage, mais elles ne devraient plus être considérées comme des indicateurs fiables. Les attaquants modernes ont accès à des outils de traduction et à l’intelligence artificielle générative capables de produire des messages soignés et professionnels.
Un courriel parfaitement rédigé peut tout de même être frauduleux.
Arrêtez. Vérifiez. Puis agissez.
L’une des habitudes les plus efficaces en matière de cybersécurité est étonnamment simple :
N’utilisez pas le moyen de communication qui a créé l’inquiétude pour vérifier cette même inquiétude.
Si vous recevez un message prétendument envoyé par votre banque indiquant que votre compte a été compromis, ne cliquez pas automatiquement sur le lien contenu dans ce message.
Ouvrez vous-même l’application de votre banque ou accédez manuellement au site Web officiel de celle-ci.
Si un courriel prétendument envoyé par un collègue vous demande d’effectuer un paiement inhabituel ou de réinitialiser un mot de passe, communiquez avec cette personne à l’aide d’un moyen de communication que vous connaissez déjà.
Si quelqu’un vous appelle en prétendant appartenir au soutien technique, vérifiez son identité en utilisant les procédures établies par votre organisation.
Cela permet de créer un canal de vérification indépendant.
Quelques secondes supplémentaires peuvent éviter une erreur coûteuse.
Utilisez l’authentification multifacteur
Les mots de passe demeurent importants, mais ils ne devraient pas être la seule protection de vos comptes importants.
L’authentification multifacteur (AMF) ajoute une couche de protection supplémentaire en exigeant quelque chose de plus qu’un simple mot de passe.
Lorsque cela est possible, utilisez des méthodes d’authentification plus robustes, comme les applications d’authentification, les clés d’accès ou les clés de sécurité matérielles.
Cependant, l’AMF ne rend pas l’hameçonnage impossible.
Les attaquants peuvent parfois envoyer de façon répétée des demandes d’authentification dans l’espoir que la victime finisse par en approuver une simplement pour faire cesser les notifications. D’autres attaques tentent de voler des jetons d’authentification ou de convaincre les victimes de fournir leurs codes d’authentification temporaires.
Si vous recevez une demande d’authentification que vous n’avez pas déclenchée, ne l’approuvez pas.
Considérez-la comme un avertissement indiquant que quelqu’un tente peut-être d’accéder à votre compte.
Utilisez un gestionnaire de mots de passe
Les gestionnaires de mots de passe peuvent améliorer à la fois la commodité et la sécurité.
Plutôt que de réutiliser les mêmes mots de passe pour plusieurs services, un gestionnaire de mots de passe vous permet de créer des mots de passe longs et uniques pour chaque compte.
Il existe également un autre avantage important.
Un gestionnaire de mots de passe associe vos identifiants à des sites Web précis. Si vous arrivez sur une imitation convaincante d’une page de connexion légitime, le gestionnaire de mots de passe pourrait ne pas reconnaître automatiquement le domaine frauduleux.
Cela devrait être une raison supplémentaire de vous arrêter et d’examiner attentivement le site Web.
Soyez prudent avec les codes QR
Les codes QR méritent une attention particulière puisqu’ils dissimulent la destination au premier coup d’œil.
Nous rencontrons maintenant des codes QR dans les restaurants, les stationnements, les publicités, les lieux de travail, les événements, les courriels et les documents imprimés.
Les attaquants peuvent remplacer des codes QR légitimes par des codes malveillants ou distribuer des codes QR qui dirigent les utilisateurs vers de fausses pages de connexion.
Avant d’entrer vos identifiants après avoir numérisé un code QR, examinez attentivement la destination.
Un code QR ne devrait jamais recevoir automatiquement votre confiance simplement parce qu’il apparaît sur une affiche, un document ou un courriel d’apparence professionnelle.
Et si vous avez déjà cliqué?
Les erreurs peuvent arriver, et la rapidité d’intervention devient importante lorsqu’on en découvre une.
Si vous avez entré un mot de passe sur un site Web suspect, changez immédiatement ce mot de passe en utilisant le service légitime. Si vous avez réutilisé le même mot de passe ailleurs, modifiez également les mots de passe de ces comptes.
Examinez les sessions actives et déconnectez les appareils inconnus lorsque le service offre cette possibilité.
Si des renseignements financiers sont concernés, communiquez avec l’institution financière appropriée en utilisant ses moyens de communication officiels.
Dans un environnement de travail, signalez immédiatement l’incident à l’équipe des TI ou de la sécurité.
Ne cachez pas l’erreur parce que vous êtes embarrassé.
Les équipes de sécurité peuvent souvent limiter considérablement les dommages lorsqu’elles sont informées rapidement d’un incident.
Développez l’habitude de vérifier
La meilleure défense contre l’ingénierie sociale n’est pas la paranoïa.
C’est la vérification.
Vous n’avez pas besoin de vous méfier de chaque courriel, appel téléphonique, code QR ou site Web que vous rencontrez. Il faut plutôt développer l’habitude de ralentir lorsque quelqu’un vous demande de façon inattendue d’effectuer une action sensible sur le plan de la sécurité.
Posez-vous les questions suivantes :
Est-ce que je m’attendais à recevoir cette demande?
Cette demande est-elle logique?
Quelqu’un essaie-t-il de créer un sentiment d’urgence inutile?
Me demande-t-on des renseignements dont cette personne ne devrait pas avoir besoin?
Puis-je vérifier cette demande de façon indépendante?
Ces questions ne prennent que quelques secondes.
Elles peuvent faire une énorme différence.
La cybersécurité est une responsabilité partagée
Nous pensons souvent à la cybersécurité en termes techniques : systèmes d’exploitation, pare-feu, chiffrement, antivirus, correctifs et sécurité des réseaux.
Ces technologies sont importantes.
Mais la cybersécurité implique également les personnes.
Même l’installation Linux la plus sécurisée au monde ne peut pas protéger un compte si son propriétaire remet volontairement ses identifiants à un attaquant.
C’est pourquoi l’éducation en cybersécurité devrait faire partie intégrante d’une littératie numérique plus large.
Les gens devraient comprendre non seulement comment utiliser la technologie, mais également comment reconnaître les situations où la technologie est utilisée pour les manipuler.
Et à mesure que les attaques d’hameçonnage deviennent plus sophistiquées, ces connaissances deviendront de plus en plus importantes.
Le prochain message suspect que vous recevrez pourrait sembler parfaitement légitime. Il pourrait utiliser le bon logo. Il pourrait être rédigé dans un français impeccable. Il pourrait connaître votre nom, votre employeur ou même les noms des personnes avec lesquelles vous travaillez.
La question ne devrait plus être :
« Est-ce que ça semble vrai? »
Une meilleure question serait :
« Puis-je vérifier de façon indépendante que c’est vrai? »
Ce petit changement dans notre façon de penser constitue l’une des protections les plus pratiques que chacun d’entre nous puisse adopter en matière de cybersécurité.
Commentaires (0)