En informatique, il existe un acronyme peu élégant mais très honnête : PEBKAC, « Problem Exists Between Keyboard And Chair ». Traduit sans détour : le problème est entre la chaise et le clavier. Ce n’est pas le pare-feu qui lâche. Ce n’est pas l’antivirus qui s’endort. C’est la personne devant l’écran qui clique, qui tape un mot de passe là où il ne faut pas, qui fait confiance à un message bien écrit. C’est de cela que parle l’ingénierie sociale. Et c’est de cela que parle cette rubrique, qui porte le même nom, un peu ironique.
Celui qui se fait avoir n’est pas stupide. Il faut le dire clairement dès le premier article. L’ingénierie sociale fonctionne parce qu’elle joue sur des leviers humains tout à fait normaux. La hâte de qui doit traiter trente e-mails. Le respect instinctif envers un patron ou une banque. La confiance dans un fournisseur que l’on connaît depuis des années. Personne n’est à l’abri, moi compris un jour de fatigue. Cette rubrique n’est pas une liste de bourdes à railler. C’est un espace où je raconte des cas réels. Je les recueille au fil du temps, en travaillant avec les clients. Ils servent à apprendre à reconnaître les techniques, avant qu’elles ne nous reconnaissent.
Les leviers psychologiques derrière l’ingénierie sociale
Dans la pratique, l’ingénierie sociale recycle toujours les quatre mêmes leviers. Tu les trouves bien décrits aussi dans l’article de Wikipédia sur l’ingénierie sociale appliquée à la sécurité informatique. Le premier est l’urgence artificielle : fausses échéances, « le paiement est bloqué », « réponds dans l’heure ». Le deuxième est la fausse autorité : un e-mail qui semble venir du patron ou de la banque, avec signature et logo bien copiés. Le troisième est la familiarité : un vrai fournisseur, un vrai collègue, un numéro que tu connais déjà. Le quatrième est la peur de perdre quelque chose : l’accès, la facture, la réservation confirmée. Reconnaître ces quatre leviers, c’est déjà la moitié du travail. Cela vaut pour quiconque gère une boîte mail au quotidien.
Le premier cas, je l’ai déjà raconté en entier. C’est une tentative de phishing hôtelier reçue par un gestionnaire d’établissement, avec les captures d’écran réelles de l’e-mail piège et les détails qui l’ont trahi. À partir de là, j’ajouterai les nouveaux cas que je verrai passer, un par un. Sans noms, et sans données permettant de reconnaître qui que ce soit.
L’ingénierie sociale ne disparaîtra pas. Seul le prétexte change, pas la mécanique de fond. C’est pourquoi il vaut mieux l’étudier à froid, pas quand l’e-mail suspect est déjà arrivé et que le cœur bat un peu plus fort.
Si dans les prochains mois tu reçois quelque chose qui te semble étrange, écris-moi. On regarde ça ensemble. Si c’est un cas instructif, il pourrait finir, sous forme anonyme, dans le prochain épisode de cette rubrique.
Laisser un commentaire