Le social Engineering

Publié le 27-08-2005 dans le thème Réseau - Sécurité

Pays : International - Auteur : Damien Bancal

Pub : Logiciels de sécurité et de protection Internet

Note des lecteurs: 1.8/5

Le social Engineering
Quel est donc ce mot étrange ? Le S.E., son autre petit nom, correspond à l'étude d'une cible afin de la pirater. Le facteur humain est un des maillons " faible " de la sécurité informatique. Nous allons vous expliquer comment vous garder de ce genre de problème.

Facteur humain
" Le facteur humain est un des maillons de la sécurité informatique ". Cette phrase de Kevin Mitnick, papy du hacking, résume assez bien la situation actuelle. Les systèmes de sécurité sont de plus en plus perfectionnés à tel point que toute personne derrière un firewall se croit à l'abri d'intrusions dans son système. Malheureusement c'est loin d'être le cas.

Le social engineering ou encore ingénierie sociale en français permet de contourner tous ces dispositifs aussi stricts soient-ils. Cette méthode se base sur l'exploitation de l'abus de confiance et la volonté d'aider une personne pour lui faire exécuter n'importe quelle action qui permettra au pirate de s'introduire sur son ordinateur. Cela peut paraître à première vue dérisoire mais le nombre de personnes se laissant prendre au piège de " manipulateurs " est plus qu'affolant.

Les différentes techniques. Comment s'en protéger ?
La méthode de social engineering la plus courante sur Internet est bien évidemment la messagerie électronique. Il faut distinguer deux buts bien distincts dans le social engineering par mail : Faire exécuter un virus à la victime et/ou récupérer ses mots de passe. Il faut tout d'abord savoir une chose : le protocole SMTP permettant d'envoyer des courriers électronique n'est pas du tout sécurisé. Je veux dire par la que n'importe qui peut en quelque clics changer d'identité pour se faire passer pour quelqu'un à qui vous faites confiance tel que Microsoft, Hotmail, Caramail, …Voici un exemple de mail circulant sur Internet :

De : [email protected]
Objet : URGENT
ALERTE !!! Une faille de sécurité majeure a été découverte dans Microsoft Windows 98/Me/2000/NT/XP. Merci de télécharger immédiatement le patch de sécurité en cliquant ici.

Lorsque la victime va cliquer sur le lien fourni dans le mel, il y a 100 % de chance qu'elle se retrouve à télécharger un virus ou un cheval de Troie. Pour ne plus tomber dans ce vulgaire piège, deux règles d'or : Ne jamais accorder sa confiance en se basant simplement sur l'adresse de l'expéditeur, il faut toujours vérifier les informations sur le site de la compagnie. Ne jamais ouvrir de pièces jointes sans l'avoir contrôlé avec un antivirus mis à jour. Dans tous les cas, un logiciel se télécharge sur le site officiel de l'auteur.

Pour récupérer le mot de passe d'une victime potentielle un pirate va encore se baser sur la confiance que l'utilisateur va avoir de l'émetteur. Différents messages provenant soi disant du service client de site de messagerie électronique essayent d'extirper les mot de passe. Dans les grands classiques on retrouve : " Vos informations ont été perdues pour la raison X. Merci de nous les communiquer a nouveau via le formulaire ci-joint " " Destruction des comptes inactifs, vous devez renvoyer ce formulaire rempli avant le xx/xx/xxxx sinon votre compte sera désactivé et tous vos messages seront détruits pour économiser de la place ". Si vous avez déjà répondu à un tel mel vous pouvez être sûr que vous avez donné le sourire à un pirate qui connaît maintenant votre mot de passe.

Votre fournisseur d'accès Internet ou votre service de messagerie ne vous demanderons jamais vos identifiants de même qu'aucun site de commerce électronique de vous demandera votre numéro de carte bleue par courrier électronique. Il est donc indispensable de refuser systématiquement ces messages.

Mais un pirate déterminé ne se limitera pas au mel et va tenter de convaincre sa cible via IRC, ou autres salons de discussion en ligne. Gardez toujours à l'esprit : Mettez à jour votre antivirus et faites lui confiance ! N'écoutez pas un étranger même si il vous flatte et qu'il vous promet les rencontres les plus folles.

Allô ?
Pirate : Bonjour Madame / Monsieur je suis Jean Dupont de l'INSEE auriez quelques minutes a m'accorder pour un sondage ?
Victime : Oui bien sur je vous écoute. (Sinon le pirate n'a qu'à insister, rappeler plus tard ou changer de victime tout simplement)
Pirate : Avez-vous des enfants ?
Série de questions sans intérêt
Pirate : Quel est le nom et l'adresse de votre banque préférée ?
La question passera sans problème au milieu de toutes les autres, le pirate continu avec d'autres questions sans intérêt et raccroche.

Nous avons des cas où le pirate va rappeler quelques jours plus tard, la même personne se faisant passer pour le responsable de la banque en question. Dans nos cas, le pirate avait pris soin de se renseigner sur le directeur de l'agence bancaire en question. Il va expliquer que la carte de la victime a été piratée et qu'il lui faut les informations secrètes de cette dernière. La solution est simple, appelez la dite banque pour avoir confirmation du piratage en question mais ne révélez jamais votre mot de passe à toutes personnes vous le demandant par téléphone.

Faux sites
Le faux site web d'une banque australienne, ANZ, a été fermé par la police d'Australienne et américaine début juillet 2003. Il aura fallut près de 4 mois pour couper du web ce site monté par des escrocs qui, par mel, incitait les clients de ANZ de réactiver leurs comptes en ligne. Le même courrier a également visé des clients de la Westpac bank, avec des E-mails semblables incitant les clients à rentrer leurs informations confidentielles. Même problème pour Sony. Le géant du multimédia a été victime en juillet derniers d'une escroquerie internet par courriers électroniques. Un faux mel avait été diffusé par un pirate. Il tentait de récupérer les informations privées des internautes inscrits sur le site Sonystyle.com. Sony avait encouragé ses clients à entrer en contact avec leurs banques dans la mesure où ils avaient acheté des articles via le site Sonystyle. Un piratage de numéro de C.B. pouvant être possible. Le social engineering est à prendre au sérieux. Selon la société d'analyse Gartner, le vol d'identité aux Etats-Unis a augmenté de 79 % au cours de l'année dernière. Un pourcentage énorme au vu du nombre d'arrestation pour ce genre de délit, soit seulement 700 escrocs arrêtés. Sept millions d'américains ont été victimes d'un vol d'identité de juin 2002 à juin 2003. Ces manipulations ont été baptisée en 2004 Phishing. (En savoir plus)

Les virii sociaux
Afin de se répandre aussi rapidement et aussi largement que possible, les virus ont exploité les dernières techniques d'ingénierie sociale, allant dans certains cas jusqu'à se faire passer pour des patchs de sécurité de Microsoft. Par exemple, le virus Gibe (W32/Gibe) exploite des techniques toujours plus ingénieuses pour inciter les utilisateurs à exécuter des codes malveillants sur leurs ordinateurs. Gibe se propageait dans un mel ayant pour objet 'Internet Security Update' et incluant le fichier 'Q216309.exe'. Le message expliquait aux utilisateurs que le fichier attaché était un patch de sécurité de Microsoft. Totalement faux. Les patchs sont sur microsoft.com