Chapitre 7 (suite) — Ingénierie Sociale

⏱ ~25 min autonome · ~40 min encadré

Aucun pare-feu ne protège contre une personne convaincue de faire confiance à la mauvaise personne. L'ingénierie sociale cible directement le facteur humain, souvent le maillon le plus vulnérable d'une organisation par ailleurs bien défendue techniquement.

Distinguer hameçonnage, harponnage et whaling selon leur ciblage.
Différencier prétexting, appâtage et talonnage physique.
Proposer des mesures de sensibilisation organisationnelle adaptées.

Principes psychologiques exploités

L'ingénierie sociale exploite des réflexes humains normaux — pas une négligence particulière de la victime. L'annexe dédiée détaille les leviers psychologiques (autorité, urgence, réciprocité, preuve sociale, sympathie, engagement) et le cycle typique d'une attaque. Ce chapitre se concentre sur les catégories d'attaques concrètes qui les mettent en œuvre.

Hameçonnage, harponnage, whaling

Terme	Ciblage
Hameçonnage (phishing)	Envoi massif, non ciblé — un grand volume de messages génériques dans l'espoir qu'une petite fraction morde à l'hameçon.
Harponnage (spear phishing)	Ciblé sur une personne ou un petit groupe précis, personnalisé à partir d'information réelle collectée (voir Chapitre 2) — bien plus crédible et donc plus efficace.
Whaling	Une variante du harponnage ciblant spécifiquement des cadres dirigeants ou des décideurs de haut niveau, où l'enjeu financier ou stratégique du message est particulièrement élevé.

Mémorisez ! Plus une attaque est ciblée (whaling > harponnage > hameçonnage de masse), plus elle nécessite de reconnaissance préalable, mais plus son taux de succès augmente — le compromis entre effort et efficacité est directement au cœur du choix de l'attaquant.

Prétexting, appâtage, talonnage

Prétexting : construction d'un scénario complet et crédible (se faire passer pour un technicien, un auditeur, un fournisseur) pour justifier une demande d'information ou d'accès.
Appâtage (baiting) : laisser un support physique infecté (clé USB) dans un lieu public ou un stationnement d'entreprise, en pariant sur la curiosité de qui la trouvera pour la brancher.
Talonnage physique (tailgating) : suivre une personne autorisée à travers un point d'accès sécurisé (porte à badge) sans présenter soi-même d'identification, en s'appuyant sur la politesse ou la réticence à confronter un inconnu.

Scénario : Une personne se présente à l'entrée d'un bureau les bras chargés de boîtes, juste derrière un employé qui vient de badger. L'employé, par courtoisie, lui tient la porte. Aucune technologie n'a été contournée — seule la politesse humaine a été exploitée. C'est un talonnage physique typique, et la meilleure contre-mesure reste une culture organisationnelle où demander poliment un badge n'est jamais perçu comme impoli.

Sensibilisation et défense organisationnelle

Puisque ces attaques exploitent des réflexes humains plutôt qu'une faille technique (voir aussi l' annexe pour l'angle défensif détaillé), la défense repose principalement sur :

Formations répétées, pas ponctuelles — la vigilance s'érode avec le temps sans rappel.
Simulations de phishing internes pour mesurer et améliorer concrètement le taux de détection des employés.
Procédures de vérification qui ne dépendent jamais du seul jugement individuel sous pression (rappeler un numéro connu plutôt que celui fourni par l'appelant, par exemple).

Suite du chapitre → Déni de Service

Quiz — Ingénierie Sociale

1. Qu'est-ce qui distingue le harponnage (spear phishing) de l'hameçonnage de masse ?

Le harponnage n'utilise jamais de courriel L'hameçonnage de masse est toujours plus efficace Le harponnage cible une personne précise avec de l'information personnalisée Ce sont des synonymes exacts

Le harponnage personnalise l'attaque à partir d'information réelle collectée sur une cible précise, augmentant sa crédibilité.

2. Le whaling cible spécifiquement quel type de victime ?

N'importe quel employé au hasard Uniquement les nouveaux employés Les administrateurs systèmes uniquement Les cadres dirigeants ou décideurs de haut niveau

Le whaling est une forme de harponnage visant spécifiquement des cibles de haut niveau, à fort enjeu.

3. Une clé USB infectée laissée délibérément dans un stationnement d'entreprise illustre quelle technique ?

Le talonnage physique L'appâtage (baiting) Le harponnage Le prétexting

L'appâtage repose sur la curiosité de la victime face à un support physique trouvé.

4. Suivre un employé à travers une porte sécurisée sans présenter son propre badge illustre :

Le whaling L'hameçonnage Le talonnage physique (tailgating) L'appâtage

Exploiter la politesse d'un employé pour franchir un accès sécurisé sans badge est un talonnage physique typique.

5. Le prétexting repose principalement sur :

La construction d'un scénario complet et crédible justifiant une demande L'exploitation d'une faille logicielle Le chiffrement du trafic réseau L'utilisation exclusive du courriel

Le prétexting construit un scénario crédible (identité fausse, motif plausible) pour justifier une demande d'information ou d'accès.

6. Pourquoi les formations de sensibilisation doivent-elles être répétées plutôt que ponctuelles ?

La loi exige une fréquence précise Une seule formation suffit toujours Les attaques d'ingénierie sociale ont disparu depuis 2020 La vigilance s'érode avec le temps sans rappel régulier

Sans rappel régulier, la reconnaissance des patterns d'ingénierie sociale s'estompe progressivement chez les employés.

7. Quel est l'objectif principal des simulations de phishing internes ?

Punir les employés qui échouent Mesurer et améliorer concrètement le taux de détection des employés Remplacer entièrement le pare-feu Tester la vitesse du réseau

Les simulations mesurent la vulnérabilité réelle des employés et orientent les efforts de sensibilisation.

8. Quelle procédure de vérification est recommandée face à un appel urgent demandant une action sensible ?

Exécuter la demande immédiatement pour éviter tout retard Ignorer systématiquement tout appel urgent Rappeler un numéro déjà connu plutôt que celui fourni par l'appelant Demander le mot de passe de l'appelant pour vérifier son identité

Rappeler un numéro déjà vérifié, indépendamment de celui fourni par l'appelant, contourne une éventuelle usurpation.

9. Pourquoi une attaque plus ciblée (harponnage, whaling) est-elle généralement plus efficace qu'un hameçonnage de masse ?

Elle est personnalisée à partir d'information réelle sur la cible, la rendant plus crédible Elle ne nécessite aucune reconnaissance préalable Elle est toujours moins coûteuse à mener Elle ne peut jamais être détectée

La personnalisation à partir de vraies informations collectées augmente fortement la crédibilité perçue par la victime.

10. Quelle affirmation résume le mieux ce que cible fondamentalement l'ingénierie sociale ?

Des vulnérabilités logicielles non corrigées Des faiblesses cryptographiques Des erreurs de configuration réseau Des réflexes psychologiques humains normaux

L'ingénierie sociale exploite des mécanismes psychologiques universels, pas une faille technique ou une négligence particulière.