Dans une récente tribune, Eric Heddeland, vice-président EMEA de Barracuda Netwoks, une société spécialisée dans la protection des courriels et des services Web des entreprises, montre comment des cybercriminels exploitent l’ingénierie sociale pour trouver les failles qui leur permettront de frapper au cœur des systèmes d’information publics ou privés. Avant de s’attaquer aux systèmes les hackers exploitent d’abord des faiblesses… humaines.
Ils pourraient être installés dans une chambre obscure, enfoncés dans leurs sweats noirs à capuche, en pianotant sur leur clavier à la recherche de vulnérabilités informatiques pour voler des données, faire dérailler un train ou encore diffuser un ransomware. Mais aujourd’hui, ils s’appuient sur une organisation internationale qui donne accès à des supports techniques dédiés et commercialise des toolkits « clé en main » sur le darknet , les hackers ne sont pas forcément représentés par l’image d’Epinal décrite dans les magazines informatiques ou d’information générale. En effet, dans l’opinion publique, ces pirates du Web nourrissent bien des fantasmes.
Si en 2019, rien n’est inviolable, si tout se pirate et si tout se transforme dans l’univers numérique, parfois de manière spectaculaire, du smartphone à Google Home en passant par un stimulateur cardiaque, le hacking est surtout aujourd’hui une affaire d’usurpation d’identité. Elle repose de plus en plus sur une stratégie de mimétisme numérique à de fins douteuses : le social engineering. Pourquoi ? Comment ?
Leçon n°1 : un travail de repérage minutieux
Fini les spams de masse, le social engineering ou ingénierie sociale a de quoi trouver sa source d’inspiration dans la nature. Car hacker un individu ou, une société, ressemble de près ou de loin à l’adoption de la stratégie du caméléon : se fondre dans un environnement pour mieux se dissimuler ou bien, se mettre à ressembler à un individu pour mieux l’attaquer.
Dans ce cadre, la première étape s’appuie sur un travail de repérage minutieux de l’organisation d’une société donnée. Les hackers cherchent à comprendre quel individu est autour de la table, qui interagit avec qui, et qui est hiérarchiquement positionné par rapport à un autre individu. Jamie Woodruff, un hacker éthique qui a percé les défenses des plus grandes entreprises californiennes telles que Facebook, YouTube, Apple ou encore Google, rapporte par exemple, s’être fait embaucher comme livreur de pizza pour accéder aux serveurs d’une importante institution financière.
Leçon n°2 : une analyse comportementale
La seconde étape du social engineering repose sur l’analyse comportementale de ces mêmes cibles. Il faut découvrir comment les protagonistes communiquent entre eux, comment ils se partagent l’information pour identifier une faille comportementale et installer un logiciel espion, non intrusif.
Puis vient l’action. Une fois les données sensibles recueillies (codes d’accès, mots de passe, etc.), le hacker peut installer un logiciel de prise de contrôle à distance et développer une stratégie de mime et d’usurpation d’identité. Le schéma est classique comme par exemple, se faire passer pour le Pdg d’une société qui demanderait au service comptable de réaliser un virement sur le compte d’un nouveau client.
Leçon 3 : mafia digitale ou cyberguerre ?
Dans le hacking, l’usurpation d’identité a deux mobiles principaux. Le premier est d’ordre mafieux : escroquer, dérober, soutirer une somme d’argent à des entreprises à grands capitaux. Moins connu du public, le second mobile est d’ordre politique. Il s’invite comme une arme étatique de désinformation et de déstabilisation des régimes en place – notamment démocratiques – dans le cadre d’élections présidentielles.
En France, le cas le plus flagrant fut celui du MacronLeaks, lors de la campagne de La République en marche. Deux ans après l’élection, des preuves appuient l’implication d’un groupe de suprémacistes américains d’extrême droite dans la divulgation du contenu de cinq boîtes de courrier électronique de membres du parti, en ajoutant au passage faux documents et fake news. Dans la même veine, les piratages subis par le parti démocrate d’Hillary Clinton durant la campagne présidentielle seraient, selon un rapport confidentiel de la CIA, l’œuvre de hackers russes pour favoriser la victoire de Donald Trump.
Face au hacking, l’enjeu de la cybersécurité s’impose comme un travail de décorticage. Elle consiste justement à passer au tamis, l’ensemble des comportements de chaque utilisateur pour recréer des modèles comportementaux. Dès lors qu’il y a la moindre modification dans ce modèle comportemental, l’ordinateur doit émettre une alerte et demander une validation physique complémentaire. Voilà là tout l’enjeu du machine learning et ce qui sera l’objet d’une leçon n’°4 qui reste à écrire… collectivement.
