Ingénierie sociale : techniques & outils

Le social engineering, ou l'ingénierie sociale en Français, est un ensemble de techniques qui permettent d’obtenir d’une personne ce que l’on souhaite. Cela peut s’apparenter à de la manipulation dont le but le plus fréquent est de soutirer des informations confidentielles à son interlocuteur ou de lui faire faire des actions à son insu.

Au fil des années, les systèmes contribuant à la sécurité se multiplient et se complexifient : IDS/IPS, systèmes de supervision, d'agrégations et corrélations de logs… Les entreprises ont tendance à oublier que l'humain est à la base de l'entreprise, à la fois le principal potentiel problème de sécurité ainsi que sa meilleure solution.

Une brave dame accepte de plonger son téléphone dans une bassine d'eau « pour vérifier sa ligne » ; un cadre clique sur un lien et télécharge un virus dans le réseau de l'entreprise, parce qu'un usurpateur le lui a demandé ; un homme esseulé envoie à une inconnue des photos intimes puis subit un chantage… Ces gens, et bien d'autres, ont été victimes du social engineering (ingénierie psycho-relationnelle). Ça peut aussi vous arriver.

L’ingénierie sociale à but économique (ou competitive social engineering) est une catégorie bien particulière de social engineering qui a pour objectif de ne recueillir que des informations dont l’analyse et le traitement peuvent conduire à des renseignements de nature à obtenir un avantage concurrentiel. Elle intéresse donc les entreprises mais aussi les États, notamment pour les secteurs stratégiques que sont l’énergie, la défense, l’innovation dans les nouvelles technologies ou pour investir via des fonds souverains. Toutes les actions d’ingénierie sociale s’effectuant à partir de renseignements préalables de nature humaine ou électronique, l’objectif de cet article est de créer intentionnellement des leurres sur l’Internet pour influencer la concurrence, la désinformer et la déstabiliser. Dans cet article, nous allons détailler ces concepts qui reposent tous sur une déclinaison des pots de miel informatiques.

Cet article est un condensé de méthodologies utilisables pour faire de l’OSINT (Open Source INTelligence) orienté sur les informations que l’on peut trouver sur les réseaux sociaux. Il retrace uniquement certains outils pouvant être utiles, leur exploitation et les résultats qu’il est possible d’obtenir.