Si les entreprises mettent en oeuvre un grand nombre de mesures de sécurité pour protéger leur système informatique contre les attaques extérieures, les dirigeants négligent souvent la principale faille de sécurité : les employés. En effet, les collaborateurs de votre société, du fait de la méconnaissance des risques, de mauvaises pratiques ou de manque de prudence permettent aux menaces de s’introduire dans votre système. Les cybercriminels usent particulièrement de ingénierie sociale pour parvenir à leurs fins, c’est à dire, la manipulation des employés.
Qu’est-ce que l’ingénierie sociale ?
L’ingénierie sociale désigne un ensemble de méthodes utilisées par les cybercriminels visant à tirer profit des mauvais usages et du manque de méfiance des utilisateurs pour s’introduire dans le système informatique afin de diffuser des malwares, accéder aux données ou réaliser une arnaque financière. Ces techniques ont pour but de contourner les systèmes de sécurité informatique d’entreprise informatique en utilisant les employés à leur insu. En effet, il est souvent plus facile d’exploiter les failles humaines que de réaliser un piratage informatique demandant de grandes compétences techniques. 84% des incidents informatiques sont liés au comportement de l’utilisateur.
Les principales techniques utilisant l’ingénierie sociale.
Le phishing.
Le phishing est certainement la technique la plus efficace d’ingénierie sociale. Il s’agit de produire un email se faisant passer pour une entreprise ou une administration (banque, institution gouvernementale, police…) afin de demander à l’utilisateur de renseigner son identifiant et mot de passe. Ces emails de phishing sont souvent très crédibles. Ils permettent d’obtenir facilement des accès aux systèmes en misant sur le manque de méfiance des utilisateurs. 70% des emails de phishing sont ouverts et 95% des intrusions utilisent cette technique d’ingénierie sociale.
Le mail du « président »
Cette arnaque consiste à envoyer un email aux employés en se faisant passer pour le dirigeant de l’entreprise. Le message a pour but de faire réaliser certaines taches au destinataire comme effectuer un virement sur un compte, envoyer des documents ou donner certains accès aux données. Le ton de l’email mise sur l’urgence et l’autorité. Le cybercriminel exerce une pression psychologique sur l’employé pour parvenir à ses fins rapidement via une usurpation d’identité. Cette arnaque de social engineering vise surtout les grandes entreprises où tous les collaborateurs ne connaissent pas nécessairement le dirigeant.
La pièce jointe infectée.
Les pièces jointes sont le principal mode de diffusion des malwares et ransomwares. Il s’agit de cacher un logiciel malveillant dans un email en apparence inoffensif. Le nom de la pièce jointe a pour but d’inciter l’utilisateur à la télécharger et l’ouvrir (« Votre facture », « Devis »…). Le fichier une fois téléchargé permet aux cybercriminels d’accéder au système informatique. Cette technique repose en grande partie sur le manque de méfiance des utilisateurs qui introduisent eux-mêmes la menace dans le système de l’entreprise.
Comment prévenir les attaques utilisant le social engineering ?
Il est important de garder à l’esprit que les utilisateurs sont la principale faille de sécurité de votre système informatique. Vos collaborateurs peuvent mettre en péril votre entreprise par simple maladresse ou en étant utilisés à leur insu par des hackers malveillants. Certaines mesures de sécurité permettent de limiter les risques.
La prévention et la formation des employés
Le principal ressort de l’ingénierie sociale est le manque de méfiance des employés et une méconnaissance des techniques utilisées par les cybercriminels. Effectuer de la prévention auprès de vos équipes peut vous éviter bien des déboires. Informez vos employés des pratiques comme le phishing, les pièces jointes infectées, les ransomwares. Incitez les à vérifier la provenance des emails.
La charte informatique
Une charte informatique en entreprise permet de définir les règles d’utilisation de l’informatique au sein de la société et de promouvoir les bons usages. Définissez un ensemble de règles de sécurité et de pratiques afin de limiter les risques de piratages utilisant l’ingénierie sociale.
Contrôler l’usage du réseau
Un grand nombre d’intrusions ont pour origine un usage personnel ou incorrect du réseau internet en entreprise. Vous pouvez réduire ce risque en limitant l’accès à certains sites comme les réseaux sociaux, les plateformes de téléchargement ou les sites de streaming.
Une meilleure gestion de l’accès aux données
Contrôler de façon stricte l’accès aux données d’entreprise permet de limiter le piratage utilisant l’ingénierie sociale. Assurez que chaque employé a accès aux données nécessaires à l’exercice de sa fonction sans pour autant avoir accès à l’ensemble des données. En effet, si le poste de cet employé venait à être piraté, le cybercriminel n’aurait qu’un accès restreint aux fichiers de l’entreprise, ce qui limite l’ampleur de l’intrusion. Mettez également en place une politique de gestion des mots de passe efficace.
Solutions techniques et ingénierie sociale
Les solutions technologiques et informatiques comme le contrôle du réseau ou un meilleur système de gestion des accès peuvent contribuer à réduire le nombre de piratages. Même si la prévention et la formation des employés reste votre meilleur atout sécurité, faire appel à une société d’infogérance peut vous permettre d’associer ces mesures de prévention à des mesures techniques efficaces. Les experts Nowteam vous aident à protéger votre système informatique contre les intrusions faisant appel à l’ingénierie sociale.
