Pourquoi l’ingénierie sociale reste la principale menace en cybersécurité

Près de 70 % des violations de données impliquent un facteur humain. Voici comment les organisations peuvent protéger leurs atouts vitaux — leurs employés, leurs finances et leurs données — des arnaqueurs.

L’ingénierie sociale demeure la forme d’attaque cybernétique la plus répandue, et pour une raison simple : les humains sont plus faciles à manipuler que la plupart des machines.

En exploitant nos faiblesses psychologiques, de personnalité ou comportementales, les cybercriminels réussissent à nous tromper pour obtenir un accès non autorisé à des systèmes ou à réaliser des gains financiers en dupant leurs victimes. Les attaques d’ingénierie sociale peuvent être menées par divers canaux, notamment les courriels (phishing), les appels téléphoniques, les SMS, les réseaux sociaux, les applications de chat, les plateformes de jeux et les vidéoconférences.

La principale raison pour laquelle l’ingénierie sociale est si efficace est qu’elle continue d’évoluer. Il n’existe pas de schéma clair ou uniforme, ce qui signifie qu’à l’instar des attaques elles-mêmes, nous devons constamment adapter nos réponses. Nous ne pouvons pas compter uniquement sur la technologie en raison de l’élément humain impliqué dans l’ingénierie sociale.

De plus, l’avancée rapide de l’intelligence artificielle a profondément modifié le paysage numérique. L’essor des deepfakes — des images et vidéos générées artificiellement d’une réalisme frappant — a encore aggravé le potentiel de désinformation et de manipulation.

Les arnaqueurs excellent à tirer parti des émotions humaines et des biais cognitifs pour atteindre leurs objectifs. Ils utilisent souvent l’usurpation d’identité, se faisant passer pour des personnes familières afin de gagner votre confiance, ou créent un sentiment de peur, vous poussant à agir impulsivement. Cette tactique est particulièrement efficace, car elle vous amène à prendre des décisions rapides, comme cliquer sur un lien ou partager des informations sensibles.

Une autre stratégie courante consiste à créer un sentiment d’urgence ou à utiliser le principe de rareté pour vous inciter à agir immédiatement. Enfin, ils peuvent aussi se prévaloir de l’autorité, se présentant comme une figure d’autorité pour vous manipuler à vous conformer.

Une analyse des données révèle que certains types de personnalité et groupes démographiques sont plus vulnérables aux menaces d’ingénierie sociale que d’autres. Par exemple, les personnes facilement distraites et impulsives peuvent être plus faciles à berner. Celles qui sont privées de sommeil, stressées et constamment multitâches peuvent également tomber plus rapidement dans le piège des arnaques que celles qui sont calmes, attentives et à l’écoute de leur état intérieur.

Ces tactiques ont des implications considérables pour les entreprises. La conséquence la plus évidente des attaques d’ingénierie sociale est la perte financière pour l’organisation, les violations de données, les perturbations et l’érosion de la confiance des clients.

Avec des enjeux aussi élevés, que peuvent faire les organisations pour se protéger contre les attaques d’ingénierie sociale?

Tout d’abord, il existe des solutions technologiques à envisager, telles que des filtres de courriel, capables de détecter et de bloquer les tentatives de phishing avant qu’elles n’atteignent les employés. L’authentification multifacteur, résistante au phishing, est également une bonne option, ajoutant une couche de sécurité, rendant plus difficile l’accès non autorisé pour les attaquants. Les entreprises peuvent également mettre en œuvre des analyses de comportement des utilisateurs pour surveiller et analyser les activités des employés afin de détecter des anomalies qui pourraient indiquer un compte compromis.

Cependant, la technologie seule ne suffit pas. Les entreprises doivent investir dans une formation adéquate en cybersécurité, en cultivant une culture de sécurité centrée sur l’humain et des pratiques de sécurité réfléchies.

Dans mes recherches, j’ai démontré que les bienfaits de la pleine conscience peuvent avoir un impact positif sur 23 des 33 facteurs identifiés qui rendent les humains vulnérables à l’ingénierie sociale, incluant des facteurs cognitifs, psychologiques, comportementaux et situationnels.

Une approche consciente favorise un niveau d’attention plus profond, encourageant les employés à éviter le multitâche et à prendre le temps de remarquer leur environnement interne et externe avant de réagir. Cela développe également des attributs mentaux clés, tels que la concentration, la résilience, l’autorégulation et la clarté.

Pour cela, un changement transformateur de la culture organisationnelle est requis, promouvant un ralentissement intentionnel, avec le soutien des dirigeants, favorisant le bien-être des employés plutôt que l’immédiateté. L’intégration des concepts de pleine conscience dans les programmes de formation, comme la sensibilisation au phishing émotionnel pour les personnes qui cliquent fréquemment, et la promotion d’une mentalité de zéro confiance, peuvent contribuer à améliorer les campagnes de cybersécurité et les efforts de sensibilisation.

Article original rédigé par : Anna Collard.