Publié le 27-08-2005 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal

Pub : Découvrez les Labs ZATAZ

Le social Engineering
Quel est donc ce mot étrange ? Le S.E., son autre petit nom, correspond à l'étude d'une cible afin de la pirater. Le facteur humain est un des maillons " faible " de la sécurité informatique. Nous allons vous expliquer comment vous garder de ce genre de problème.

Facteur humain
" Le facteur humain est un des maillons de la sécurité informatique ". Cette phrase de Kevin Mitnick, papy du hacking, résume assez bien la situation actuelle. Les systèmes de sécurité sont de plus en plus perfectionnés à tel point que toute personne derrière un firewall se croit à l'abri d'intrusions dans son système. Malheureusement c'est loin d'être le cas.

Le social engineering ou encore ingénierie sociale en français permet de contourner tous ces dispositifs aussi stricts soient-ils. Cette méthode se base sur l'exploitation de l'abus de confiance et la volonté d'aider une personne pour lui faire exécuter n'importe quelle action qui permettra au pirate de s'introduire sur son ordinateur. Cela peut paraître à première vue dérisoire mais le nombre de personnes se laissant prendre au piège de " manipulateurs " est plus qu'affolant.

Les différentes techniques. Comment s'en protéger ?
La méthode de social engineering la plus courante sur Internet est bien évidemment la messagerie électronique. Il faut distinguer deux buts bien distincts dans le social engineering par mail : Faire exécuter un virus à la victime et/ou récupérer ses mots de passe. Il faut tout d'abord savoir une chose : le protocole SMTP permettant d'envoyer des courriers électronique n'est pas du tout sécurisé. Je veux dire par la que n'importe qui peut en quelque clics changer d'identité pour se faire passer pour quelqu'un à qui vous faites confiance tel que Microsoft, Hotmail, Caramail, …Voici un exemple de mail circulant sur Internet :

De : [email protected]
Objet : URGENT
ALERTE !!! Une faille de sécurité majeure a été découverte dans Microsoft Windows 98/Me/2000/NT/XP. Merci de télécharger immédiatement le patch de sécurité en cliquant ici.

Lorsque la victime va cliquer sur le lien fourni dans le mel, il y a 100 % de chance qu'elle se retrouve à télécharger un virus ou un cheval de Troie. Pour ne plus tomber dans ce vulgaire piège, deux règles d'or : Ne jamais accorder sa confiance en se basant simplement sur l'adresse de l'expéditeur, il faut toujours vérifier les informations sur le site de la compagnie. Ne jamais ouvrir de pièces jointes sans l'avoir contrôlé avec un antivirus mis à jour. Dans tous les cas, un logiciel se télécharge sur le site officiel de l'auteur.

Pour récupérer le mot de passe d'une victime potentielle un pirate va encore se baser sur la confiance que l'utilisateur va avoir de l'émetteur. Différents messages provenant soi disant du service client de site de messagerie électronique essayent d'extirper les mot de passe. Dans les grands classiques on retrouve : " Vos informations ont été perdues pour la raison X. Merci de nous les communiquer a nouveau via le formulaire ci-joint " " Destruction des comptes inactifs, vous devez renvoyer ce formulaire rempli avant le xx/xx/xxxx sinon votre compte sera désactivé et tous vos messages seront détruits pour économiser de la place ". Si vous avez déjà répondu à un tel mel vous pouvez être sûr que vous avez donné le sourire à un pirate qui connaît maintenant votre mot de passe.

Votre fournisseur d'accès Internet ou votre service de messagerie ne vous demanderons jamais vos identifiants de même qu'aucun site de commerce électronique de vous demandera votre numéro de carte bleue par courrier électronique. Il est donc indispensable de refuser systématiquement ces messages.

Mais un pirate déterminé ne se limitera pas au mel et va tenter de convaincre sa cible via IRC, ou autres salons de discussion en ligne. Gardez toujours à l'esprit : Mettez à jour votre antivirus et faites lui confiance ! N'écoutez pas un étranger même si il vous flatte et qu'il vous promet les rencontres les plus folles.

Allô ?
Pirate : Bonjour Madame / Monsieur je suis Jean Dupont de l'INSEE auriez quelques minutes a m'accorder pour un sondage ?
Victime : Oui bien sur je vous écoute. (Sinon le pirate n'a qu'à insister, rappeler plus tard ou changer de victime tout simplement)
Pirate : Avez-vous des enfants ?
Série de questions sans intérêt
Pirate : Quel est le nom et l'adresse de votre banque préférée ?
La question passera sans problème au milieu de toutes les autres, le pirate continu avec d'autres questions sans intérêt et raccroche.

Nous avons des cas où le pirate va rappeler quelques jours plus tard, la même personne se faisant passer pour le responsable de la banque en question. Dans nos cas, le pirate avait pris soin de se renseigner sur le directeur de l'agence bancaire en question. Il va expliquer que la carte de la victime a été piratée et qu'il lui faut les informations secrètes de cette dernière. La solution est simple, appelez la dite banque pour avoir confirmation du piratage en question mais ne révélez jamais votre mot de passe à toutes personnes vous le demandant par téléphone.

Faux sites
Le faux site web d'une banque australienne, ANZ, a été fermé par la police d'Australienne et américaine début juillet 2003. Il aura fallut près de 4 mois pour couper du web ce site monté par des escrocs qui, par mel, incitait les clients de ANZ de réactiver leurs comptes en ligne. Le même courrier a également visé des clients de la Westpac bank, avec des E-mails semblables incitant les clients à rentrer leurs informations confidentielles. Même problème pour Sony. Le géant du multimédia a été victime en juillet derniers d'une escroquerie internet par courriers électroniques. Un faux mel avait été diffusé par un pirate. Il tentait de récupérer les informations privées des internautes inscrits sur le site Sonystyle.com. Sony avait encouragé ses clients à entrer en contact avec leurs banques dans la mesure où ils avaient acheté des articles via le site Sonystyle. Un piratage de numéro de C.B. pouvant être possible. Le social engineering est à prendre au sérieux. Selon la société d'analyse Gartner, le vol d'identité aux Etats-Unis a augmenté de 79 % au cours de l'année dernière. Un pourcentage énorme au vu du nombre d'arrestation pour ce genre de délit, soit seulement 700 escrocs arrêtés. Sept millions d'américains ont été victimes d'un vol d'identité de juin 2002 à juin 2003. Ces manipulations ont été baptisée en 2004 Phishing. (En savoir plus)

Les virii sociaux
Afin de se répandre aussi rapidement et aussi largement que possible, les virus ont exploité les dernières techniques d'ingénierie sociale, allant dans certains cas jusqu'à se faire passer pour des patchs de sécurité de Microsoft. Par exemple, le virus Gibe (W32/Gibe) exploite des techniques toujours plus ingénieuses pour inciter les utilisateurs à exécuter des codes malveillants sur leurs ordinateurs. Gibe se propageait dans un mel ayant pour objet 'Internet Security Update' et incluant le fichier 'Q216309.exe'. Le message expliquait aux utilisateurs que le fichier attaché était un patch de sécurité de Microsoft. Totalement faux. Les patchs sont sur microsoft.com

L´ANSSI recrute de manière originale

06-02-2012 à 19:16 - 0 commentaire(s)

INFO ZATAZ - L´Agence Nationale de la Sécurité des Système d'Information lance un recrutement fort sympathique pour les amateurs de chiffrement.

Nouvelle attaque à l´encontre des clients du Crédit Agricole

05-02-2012 à 10:43 - 0 commentaire(s)

INFO ZATAZ - Nouvelle tentative de vol de données bancaires appartenant aux clients de la banque française Crédit Agricole.

Sauvegarde des conversations téléphoniques pour France télévision

04-02-2012 à 11:42 - 0 commentaire(s)

INFO ZATAZ - Un document intéressant mis à jour sur Internet visant les sociétés souhaitant faire du business avec France Télévision.

Faille sur le site Wikileaks

04-02-2012 à 11:27 - 0 commentaire(s)

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

Piège sur Facebook

04-02-2012 à 10:59 - 0 commentaire(s)

INFO ZATAZ - Un escroc se fait passer pour Coca Cola, sur Facebook, afin de mettre la main sur vos données privées.

Arnaque aux logements

04-02-2012 à 10:53 - 0 commentaire(s)

INFO ZATAZ - Depuis quelques heures, un escroc tente de louer de faux appartements en région parisienne. ZATAZ vous l´a délogé.

Une conférence téléphonique du FBI piratée par des Anonymous

04-02-2012 à 10:21 - 1 commentaire(s)

INFO ZATAZ - Une conférence téléphonique entre FBI et plusieurs polices européennes, dont la France, au sujet des Anonymous, interceptée.

La Ville de Chambéry corrige une fuite de données

04-02-2012 à 10:05 - 1 commentaire(s)

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Faille sur le site Wikileaks

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

La Ville de Chambéry corrige une fuite de données

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Prudence aux liens vers Darty et ELLE

Des vulnérabilités ont été découvertes sur les sites RueDuCommerce, Darty et du journal ELLE. Prudence aux liens exterieurs.

Quand des Anonymous tapent sur des Anonymous, ça mousse

INFO ZATAZ - Des Anonymous reprochent à d´autres Anonymous d'avoir piraté des sites appartenant à la mouvance d'extrême droite. Pour les punir, leurs identités sont diffusées sur la toile.

Les informations confidentielles de 541 policiers Français diffusées par les Anonymous

Les Anonymous diffusent sur Internet l´identités et des informations confidentielles de plusieurs centaines de policiers Français.

Faille pour Myspace

Info ZATAZ - Une vulnérabilité de type Cross-Site Scripting vise le portail communautaire MySpace.

Multiples failles pour le site économique Forbes

INFO ZATAZ - Plusieurs vulnérabilités touchent le site économique américain Forbes. Les lecteurs peuvent être touchés directement.

La ville de Béthune corrige une fuite de données

INFO ZATAZ - Une méga fuite de données permettait d´accéder à une imposante base de données appartenant à la Mairie de Béthune.

Réagissez à ce contenu