Parmi les points marquants ces derniers temps, nous constatons qu’une nouvelle forme de piratage semble se développer. Il s’agit de l’ingénierie sociale, encore connue sous le nom de social engineering. Il paraît important, dans un premier temps, d’en dessiner les contours afin de mieux comprendre son étendue et de trouver des parades efficaces. En quelques mots, l’ingénierie sociale est une forme d'acquisition déloyale d'information et d'escroquerie, utilisée en informatique pour obtenir d'autrui, un bien, un service ou des informations clefs. Cettepratique exploite les failles humaines et sociales de la structure cible, àlaquelle est lié le système informatique visé (source Wikipédia).

Il s’agit donc d’une méthode complexe qui peut revêtir plusieurs formes complémentaires et être utilisée par différents canaux de communication : mail, téléphone… Son approche est également novatrice dans la mesure où le contact n’est pas aussi « intrusif » qu’une démarche classique. Il s’agit de jouer sur la confiance et de mettre la personne sollicitée dans un climat propice à la récolte d’informations. Par exemple, un hacker n’hésitera pas faire référence à un directeur ou à un chef de service pour obtenir desinformations d’un collaborateur.

Les demandes peuvent être multiples et diverses : du simple mot de passe jusqu’à des informations plus précises. Cela dépend de la finalité de l’action. Il convient donc de déceler les comportements suspects et d’instaurer une culture de la méfiance. Les collaborateurs ne doivent pas être victimes de cette forme de piratage d’un nouveau genre et de plus en plus répandue.

L’on note également, la simplicité de cette méthode de piratage et sa rapidité de mise en œuvre. Un simple travail de veille est nécessaire pour lancer son dispositif. Il ne s’agit pas ici de bénéficier de compétences informatiques étendues, de s’introduire dans le SI par une action de contournement informatique… Une approche directe par mail et téléphone suffit. Lutter contre l’ingénierie sociale passe donc nécessairement par la formation des collaborateurs et untravail de mise en condition.

L’objectif d’un tel dispositif est de sensibiliser les collaborateurs, leur instaurer une culture de la méfiance au regard de certaines demandes et de leur permettred’apporter les bonnes réponses en cas de sollicitation. N’oublions pas que le social engineering ne se limite pas à une seule technique. Il est donc nécessaire de présenter tous les scénarios possibles.

Au regard des nombreuses extorsions d’informations liées au social engineering, les professionnels doivent se mobiliser et rapidement déployer de nouvelles mesures pour ne pas être abusées par ces piratages d’un nouveau genre.

Hubert Barkate, Président d'Adhara