Le tailgating (talonnage) sur le lieu de travail : une cybermenace qui peut être évitée

Frank Abagnale était l'un des pirates informatiques les plus tristement célèbres au monde. Ses activités criminelles ont été rendues célèbres par le film qui retrace sa vie, "Catch me if you can" (Arrête-moi si tu peux). Frank a réalisé la plupart de ses piratages dans les années 1960. Il a utilisé des techniques d'ingénierie sociale peu sophistiquées, notamment le "Tailgating" (talonnage en français), pour se faire passer pour un médecin et un pilote afin de faciliter diverses escroqueries financières. Au cours de ses escroqueries, Frank utilisait de fausses identités pour falsifier des chèques et les encaisser. Il a volé de grosses sommes d'argent et a été condamné à 12 ans de prison pour escroquerie. Frank a depuis longtemps quitté sa vie de criminel pour donner des conseils sur la manière de prévenir la cybercriminalité.

Frank a utilisé l’ingénierie sociale pour commettre des fraudes en manipulant des situations et des personnes. Ces méthodes d'attaque se concentrent généralement sur les faiblesses du comportement humain, qu'elles exploitent pour initier une fraude. Le terme "ingénierie" ne reflète pas la nature souvent subtile et peu technologique de nombreuses attaques, notamment les dommages criminels, le vol d'inventaire, l'infection par ransomware (rançongiciel), la compromission des courriels d'entreprise (BEC) et l'exposition des données. Le terme "ingénierie" dément donc la nature souvent subtile et peu technologique de nombreuses attaques. Voici un aperçu de la tactique de piratage de faible technicité connue sous le nom de “tailgating (talonnage) sur le lieu de travail”.

Qu'est-ce que le "tailgating" dans le contexte d'une cybermenace ?

Les titres de l'actualité sont remplis de failles de sécurité. Les analystes nous expliquent les piratages souvent complexes qu'ils impliquent. Cependant, tous les piratages ne sont pas numériques ; nombre d'entre eux sont réalisés à l'aide de tactiques peu techniques. Mais même ces attaques de faible technicité peuvent encore déboucher sur des violations de données et des vols importants.

Parfois connu sous le nom de "Piggbacking", le tailgating sur le lieu de travail est une forme de piratage "low-tech" ; il s'agit d'un piratage physique plutôt que numérique. Cependant, cette attaque physique peut conduire à un piratage numérique et à une cyberattaque.

Un exemple typique de tailgating est un fraudeur qui obtient l'accès pour pénétrer dans un bâtiment de l'entreprise en se faisant passer pour un visiteur légitime, un livreur ou quelqu’un d’autre. En 2009, Colin Greenless, consultant chez Siemens Enterprise Communications, a démontré à quel point le talonnage pouvait être préjudiciable. M. Greenless s'est introduit sans autorisation dans le bâtiment d'une institution financière cotée au FTSE 100 et, en l'espace de 20 minutes, il a trouvé un document de fusion et d'acquisition très sensible posé à la vue de tous sur un bureau.

La psychologie derrière le tailgating et les attaques par talonnage

L'acte de tailgating tire parti du comportement humain et des situations. Le tailgating sur le lieu de travail est un produit in-situ d’ingénierie sociale tactique - c'est-à-dire que le tailgater doit se trouver physiquement dans l'environnement qu'il souhaite exploiter. Cela met en jeu d'autres facteurs importants pour la réussite d'une attaque par tailgating, à savoir le "pretexting" (autrement dit, une forme d'ingénierie sociale "par faux-semblant").

Le faux-semblant est probablement aussi vieux que la société humaine. Il consiste à se faire passer pour quelqu'un d'autre afin d'obtenir des informations sensibles ou importantes d'un autre individu ou d'un groupe, un peu comme Frank Abagnale. Dans ce cas, l'auteur de l'infraction prend souvent une forme d'identité qui rend la cible plus disposée à révéler des informations ou à accomplir un acte (comme ouvrir une porte). Le faux-semblant nécessite des recherches sur la cible. Il repose également sur la notion de confiance - quelles sont les conditions préalables à la construction d'une personne de confiance pour lui faire faire ce que l'on veut qu'il fasse au moment où l'on veut qu'il le fasse Par exemple, si l’ingénieur social souhaite filer une entreprise cible, il peut passer du temps à examiner les types de visiteurs qui se présentent dans le bâtiment de l'organisation ; y a-t-il une heure précise à laquelle les livraisons sont effectuées, par exemple ? Cette collecte de renseignements permet au fraudeur de construire un personnage de confiance qu'il peut utiliser pour manipuler et influencer les employés afin qu'ils l'autorisent à entrer dans un bâtiment ou une pièce normalement sécurisée.

Les dommages causés par le tailgating en entreprise

Il ne s'agit pas simplement d'un cas où quelqu'un fait le malin et s'introduit dans un bâtiment pour le plaisir. Les auteurs de ces actes ont une intention malveillante et agissent dans le but de causer des dommages matériels ou de voler des informations, installer des logiciels malveillants, voire de mettre la vie du personnel en danger. Dans une enquête récente de Boon Edam, 71% des personnes interrogées se sentent menacées par une atteinte à l'intégrité physique pour des raisons de tailgating.

Le talonnage sur le lieu de travail peut se présenter sous n'importe quelle forme et ceux qui la mettent en œuvre peuvent être aussi bien d'anciens employés que des étrangers.

Ex-salariés : Selon la recherche, 80 % des sinistres liés à la cyber-responsabilité proviennent de la négligence des employés, y compris des ex-employés malhonnêtes. Ces ex-employés sont souvent mécontents, cherchent à se venger et à endommager des biens, et volent des informations et des données sensibles de l'entreprise pour mettre en œuvre leur vengeance.

Politesse à l'égard des inconnus : La politesse peut conduire au vol de données et à l'infection par des logiciels malveillants. Dans le cadre d’un exercice, 17 employés ont donné à Colin, à sa demande, leurs mots de passe. Les fraudeurs planifient généralement leur attaque longtemps à l'avance. Ils savent qui cibler, et en plus des mots de passe, des accès badges sera sur leur liste d'incontournables. La politesse à l'égard d'un inconnu peut conduire à la compromission de comptes, d'une violation de données et même l'infection en installant des logiciels malveillants.

Comment arrêter le tailgating en entreprise et les attaques par talonnage ?

La politique de sécurité est une première étape importante dans l'élaboration de méthodes visant à mettre un terme au tailgating sur le lieu de travail. La politique doit refléter les talonnages afin d'arrêter le tailgater dans son élan. Avant que le tailgater n'entre dans votre organisation, examinez les domaines suivants :

Principes fondamentaux

Enseignez aux employés ce qu'est le tailgating, comment il se produit et quelles en sont les conséquences. Cela doit faire partie d'un programme permanent de sensibilisation à la sécurité. Les programmes de sensibilisation à la sécurité doivent couvrir tous les aspects des menaces, qu'elles soient numériques ou pour la sécurité physique.

Vigilance

Encouragez une attitude vigilante de la part des employés. Toute personne qui semble suspecte doit fournir des informations d'identification. Mieux encore, mettez en place un processus permettant aux employés d'informer un membre de l'équipe de sécurité ou un responsable de leurs soupçons.

Sensibilisation à l'environnement

Formez les employés aux actions des "tailgaters", telles que les tentatives de soustraire de l'argent ou d’accéder à des zones restreintes de l’entreprise. Veillez à ce que les employés sachent que tailgating implique des astuces utilisées pour instaurer la confiance.

Assertivité

Il est important d'être poli, mais l’affirmation assertive peut contribuer à éviter une grave violation des règles de l'entreprise. Les employés doivent apprendre à connaître les techniques des criminels qui utilisent souvent la peur de paraître impolis pour contourner la sécurité.

Fermer la porte au tailgating et aux attaques par talonnage dans les entreprises

Colin Greenless était un pirate informatique et ses fraudes ont été rendues publiques afin d'aider à la mise en place d'un système de gestion de l’information. Cependant les attaques par talonnage dans les entreprises sont encore un événement courant. Un exemple plus récent est celui d'une femme qui a pu accéder à une zone restreinte du Mar-a-Lago Trump Resort. Elle s'est rendue à l'aéroport de Paris, où elle transportait quatre appareils mobiles, un ordinateur portable, un disque dur externe et une clé USB contenant des logiciels malveillants. Malgré les niveaux de sécurité présidentiels en place, elle a réussi à contourner la sécurité en faisant semblant de ne pas comprendre les questions du personnel de sécurité, ce qui a eu pour résultat que "le personnel de sécurité a invoqué la barrière de la langue et l'a admise."

Les personnes désireuses de nuire à une organisation et/ou de commettre des fraudes s'efforceront de tromper les employés. Des traits humains tels que la politesse, le manque de vigilance ou le simple fait d'être distrait par le travail peuvent amener des individus malveillants à pénétrer dans une organisation avec des intentions malveillantes. Les employés doivent être sensibilisés aux dangers de ce qui peut sembler inoffensif, comme l'irruption dans un bureau d'une personne qui ne devrait peut-être pas s'y trouver. La formation à la sensibilisation à la sécurité bloquera les menaces de tailgating et donnera aux employés les connaissances nécessaires pour pouvoir gérer les tentatives d’attaque par talonnage en entreprise.