Éléments d’ingénierie sociale

Généralités

Modes d’action de l’ingénierie sociale

Connaissance des organisations attaquées

Pour élaborer une stratégie, détecter les failles dans l’organisation, communiquer sur le bon registre de langage, en utilisant le bon jargon, ou appréhender les processus internes, l’ingénieur social doit se bâtir un modèle pertinent de l’organisation qu’il cible.

Cette analyse sera donc un atout précieux dans l’élaboration, la préparation et la mise en œuvre d’une stratégie d’approche pertinente.

Elle permettra par exemple de se faire passer plus facilement pour quelqu’un ayant de bonnes raisons de prendre contact et de demander des informations (membre du personnel, client, fournisseur, société de maintenance, partenaire, etc.).

Il est en effet important de comprendre qu’il existe dans n’importe quelle organisation humaine des éléments culturels qui se transmettent de proche en proche. Cela a pour conséquence une cohérence importante dans les groupes en termes de valeurs, de croyances, de manières, de langages, de comportements.

Ainsi, on ne communique pas de la même manière avec, par exemple, un cadre d’une multinationale, un employé municipal ou le bénévole d’une association caritative.

Le lecteur intéressé pourra lire sur le sujet de nombreux ouvrages consacrés notamment à l’approche mémétique permettant de modéliser ces phénomènes.

Failles humaines : bases et modèles théoriques

"Parce que si je voulais me lancer dans la psychanalyse, j’ajouterais que c’est le roi des cons."

Bernard Blier, "Le Cave se rebiffe" (1962), écrit par Michel Audiard

Il semble légitime de se poser la question : "L’ingénieur social doit-il s’intéresser aux modèles théoriques expliquant les failles humaines ?"

La réponse est, pour ce qui nous concerne : "Sans aucun doute, au moins dans les grandes lignes."

En effet, d’une part, il sera toujours plus facile de mettre en œuvre des techniques lorsqu’on en connaît les ressorts ; d’autre part, il est aussi surtout plus facile de s’en protéger.

Toutefois, il n’est pas nécessaire d’avoir un doctorat de psychologie pour être un ingénieur social efficace. Disposer de modèles valides de psychologie sociale et différentielle ne pourra être qu’un plus, ils devront avant tout rester simples.

Et bien sûr, il sera utile de connaître les méthodes de manipulation, qui seront le cœur de l’élicitation de l’information.

Influence et manipulation

Le cœur du travail de l’ingénieur social consiste à extraire des informations non diffusées, confidentielles ou protégées. Cela va le plus souvent solliciter la capacité d’influencer les personnes contactées. Il existe différentes méthodes pour cela, pour lesquelles il est nécessaire d’avoir un vocabulaire précis.

Les techniques de manipulation

Nous devons maintenant voir comment exploiter en pratique les failles et les ressorts de la psyché humaine décrits précédemment.

La typologie des techniques présentées ici reprend la classification connue en psychologie sociale et popularisée par Jean-Léon Beauvois et Robert-Vincent Jouve dans le maintenant classique "Petit traité de manipulation à l’usage des honnêtes gens". Nous recommandons vivement la lecture de cet ouvrage à ceux qui souhaitent approfondir le sujet des techniques de manipulation.

Les techniques de manipulation peuvent tout d’abord être classées en "grandes techniques" et "petites techniques". Toutefois, ne nous laissons pas abuser par la terminologie : les petites techniques n’ont de petit uniquement le fait qu’elles viennent en complément des grandes.

On peut en fait considérer les grandes techniques comme des trames opératoires omniprésentes et les petites comme l’habillage indispensable. La combinaison harmonieuse des deux est le gage du succès.

Les études de psychologie sociale mesurant les effets des diverses techniques ne manquent pas. Nous ne les rapporterons pas ici.

Pour être en mesure de se défendre contre les manipulations, il est indispensable de savoir détecter ces techniques lorsqu’elles sont mises en œuvre. Il faudra ensuite être capable de reconnaître les ressorts qu’elles utilisent.

Savoir "patcher" les failles humaines

Bien entendu, les éléments présentés précédemment ont pour but essentiel d’être capables de comprendre les attaques d’ingénierie sociale afin d’y trouver les réponses les plus adaptées.

Ainsi, il faut être conscient que face à l’utilisation de plus en plus courante de l’ingénierie sociale, les stratégies de sécurité doivent prendre en compte le système d’information dans sa globalité et s’appuyer d’une part sur la sensibilisation, l’information et la formation du personnel, d’autre part sur l’amélioration des aspects organisationnels et la maturité réelle de l’organisation à protéger.

Nous le savons, tout être humain peut être manipulé. Il sera donc indispensable de sensibiliser les membres de l’organisation sur les techniques d’attaque et de défense présentées ici. Cela passe bien sûr, tout d’abord, par des séances d’information ciblant la totalité de l’organisation. Rien de nouveau ici, sauf qu’en pratique cela pose souvent des difficultés.

D’une part, la taille de l’organisation et le renouvellement fréquent de ses membres augmentent la charge de la tâche.

Les techniques de manipulation et de self-défense restent encore très peu diffusées, ce qui veut dire que les humains arrivent presque toujours "non patchés".

Par ailleurs, les personnes les plus exposées en raison de leur position hiérarchique sont aussi celles qui peuvent facilement juger inutile d’être formées sur le sujet.

Enfin, la mémoire n’est pas parfaite et on ne pourra jamais considérer qu’une personne...

OSINT

Qui dit social engineering, dit obligatoirement recherche d’informations via de multiples sources. De cette constatation, l’utilisation de techniques d’OSINT est un élément indispensable. OSINT signifie Open Source Intelligence. Cet anglicisme regroupe un ensemble de techniques et d’outils qui permettent de collecter des renseignements sur une personne, une entreprise, une situation économique dans un pays.

Des recherches et un regroupement d’informations proposés par Internet. Du Renseignement de Source ouverte : réseaux sociaux, moteurs de recherche, sites web... L’OSINT s’intègre dans trois autres grands points à prendre en compte :

Outils

Il existe des centaines de logiciels dédiés à l’OSINT. Ils permettent de regrouper des informations, de collecter...