Le Mid-Year Market Report 2022 du Cyber Security Hub a révélé que 75 % des personnes interrogées ont cité l’ingénierie sociale et le phishing comme la principale menace pour leur organisation. Ces résultats font suite aux avertissements de chercheurs tels que Check Point Research sur la façon dont les technologies basées sur l’IA, telles que ChatGPT, peuvent être utilisées pour créer des courriels d’hameçonnage convaincants.

L’ingénierie sociale est une technique d’escroquerie insidieuse utilisée parce qu’elle fonctionne. Être victime d’ingénierie sociale, c’est être exploité en utilisant le même comportement que celui que vous utilisez quotidiennement. Comme les pirates informatiques savent comment manipuler les gens à un niveau élémentaire, il peut être difficile d’identifier les attaques. MetaCompliance présente ici le processus nécessaire pour s’assurer que vos employés ne deviennent pas victimes d’une attaque d’ingénierie sociale.

Trois étapes pour éviter les attaques d’ingénierie sociale

La prévention des attaques par ingénierie sociale, sous toutes ses formes, nécessite des processus et des outils et doit être considérée comme une approche à plusieurs volets. Il existe trois éléments fondamentaux qui, utilisés ensemble, permettent de garantir que votre organisation et vos employés sont prêts à faire face à toute forme d’ingénierie sociale utilisée pour mener une attaque de cybersécurité :

  1. Stratégies: intégrez l’ingénierie sociale dans votre stratégie de sécurité.
  2. Personnalisez : formez les employés aux menaces d’ingénierie sociale auxquelles ils sont le plus susceptibles d’être confrontés.
  3. Rapport: Encouragez le signalement des incidents afin d’améliorer votre réponse à une attaque impliquant l’ingénierie sociale.

Stratégies : veillez à ce que votre stratégie de sécurité reflète les attaques du monde réel

Les attaques d’ingénierie sociale couvrent de nombreux scénarios, de l’hameçonnage à la manipulation des relations, en passant par des versions physiques de l’ingénierie sociale telles que le« tailgating« . Souvent, les pirates utilisent un mélange d’astuces réelles et numériques dans le cadre d’une attaque de sécurité sophistiquée.

Les courriels de spear phishing, par exemple, peuvent être très difficiles à détecter et sont souvent utilisés comme un moyen populaire d’accéder à des identifiants de mot de passe ou à des informations personnelles. Souvent, ces attaques en plusieurs étapes peuvent impliquer le téléchargement de logiciels malveillants et créer un sentiment d’urgence pour encourager le destinataire à agir sans réfléchir.

Pour vous assurer que votre organisation couvre tous ces scénarios, élaborez une stratégie de sécurité qui comprend des mesures de détection, des procédures de signalement des incidents de sécurité, des plans d’intervention en cas d’incident et la manière d’effectuer des audits de sécurité et de protection de la vie privée.

Votre planification stratégique doit inclure la manière d’atténuer l’impact de l’ingénierie sociale ; cela consistera en une formation de sensibilisation à la sécurité qui comprendra un jeu de rôle d’ingénierie sociale. Une fois en place, votre stratégie de sécurité et vos plans d’intervention doivent être régulièrement revus et mis à jour en fonction de l’évolution du paysage des menaces et des nouvelles possibilités offertes par la technologie et les modes de travail, tels que le travail à distance.

Personnaliser la formation à la sensibilisation à la sécurité

Organisez des sessions de sensibilisation à la sécurité avec les employés en fonction de menaces spécifiques. Cela signifie que ces sessions de formation sont organisées en fonction du rôle de l’employé ; différents rôles d’employés attirent généralement différents types d’attaques d’ingénierie sociale.

Par exemple, les escroqueries de type Business Email Compromise (BEC) ont tendance à utiliser l’ingénierie sociale pour cibler le personnel travaillant dans les comptes fournisseurs ou les cadres de niveau C, car ces fonctions contrôlent les finances de l’entreprise.

Un rapport récent d’ Abnormal Security portant sur les menaces par courrier électronique a révélé qu’environ 28 % des employés ciblés ouvriraient un message texte BEC ; parmi ceux qui ouvrent ces messages BEC, 15 % y répondent, entrant ainsi en contact avec le fraudeur et ouvrant la porte à d’autres opérations d’ingénierie sociale.

Adaptez votre formation à la sensibilisation à la sécurité pour dispenser une formation basée sur les rôles et axée sur les principales menaces. Utilisez une plateforme qui propose des modèles basés sur les rôles pour les exercices de simulation d’hameçonnage. Créez des simulations d’hameçonnage et des sessions de formation axées sur le type de menaces auxquelles un employé ou un service est susceptible d’être confronté.

Encourager le signalement des incidents de sécurité

Le rapport Abnormal Security a également révélé que seulement 2,1 % des incidents de sécurité étaient signalés à l’équipe de sécurité de l’entreprise. Cela laisse un trou béant dans la capacité à répondre rapidement à une attaque en cours.

L’ingénierie sociale faisant souvent partie d’une chaîne d’événements menant à des résultats tels que le vol financier ou l’infection par un ransomware, le fait d’être averti rapidement d’un incident en cours peut fournir les informations nécessaires pour stopper l’attaque dans son élan et en atténuer les effets.

Il est essentiel de fournir un moyen de signaler facilement les incidents et de cultiver un environnement sans reproche afin d’encourager les employés à signaler les incidents. Les organisations ne devraient pas compter uniquement sur les pare-feu ou les filtres anti-spam pour prévenir ces types d’attaques.

Au contraire, donnez à vos employés la possibilité de signaler un cyberincident. Le signalement d’un incident peut contribuer à en atténuer l’impact en confiant la réponse à un employé compétent. Surtout, offrez à vos employés un endroit sûr pour enregistrer les détails de l’incident, par exemple un portail dédié au signalement des incidents de sécurité.

En utilisant les informations sur l’incident saisies par l’employé, l’équipe de sécurité peut trier l’incident, établir des priorités de réponse et lancer des protocoles de sécurité. Par exemple, la console MetaCompliance MetaIncident est un système de gestion des incidents tout au long du cycle de vie qui comprend un registre des incidents pour gérer les problèmes. La possibilité d’auditer les rapports d’incidents et les réponses et de générer des rapports à partir des données d’un incident de sécurité est également utile pour prouver la conformité avec les réglementations.

L’ingénierie sociale devrait continuer à poser un défi aux organisations. Les nouvelles technologies, telles que les interfaces basées sur l’IA, permettront aux fraudeurs de créer des outils d’ingénierie sociale encore plus sophistiqués. Cependant, une entreprise peut mettre fin à cette menace insidieuse en développant des programmes de formation ciblés et en intégrant le signalement des incidents dans le travail quotidien.

Risque de ransomware