Secrets d'espionnage révélés : Les cybercriminels recyclent les techniques d'espionnage

Il existe de nombreuses similitudes entre les tactiques utilisées par les espions dans le cadre d'opérations clandestines traditionnelles dans le monde entier et celles utilisées par les acteurs des menaces liées à la cybersécurité. Les deux reposent sur le recrutement de personnes qui donnent accès, volontairement ou non, à des informations sensibles et confidentielles. Dans le cas d'un espion traditionnel, l'objectif des gouvernements est de recueillir, d'analyser et parfois d'influencer des informations importantes pour la sécurité nationale et les intérêts stratégiques d'un pays. L'objectif d'un acteur de la menace est d'obtenir des informations d'identification et de s'implanter dans une organisation afin de récolter des informations pour les vendre à des fins lucratives ou les utiliser pour commettre des délits.

Selon Shawnee Delaney, fondatrice et PDG de Vaillance Group, et experte mondialement reconnue en matière de gestion des risques humains, de menaces d'initiés et d'enquêtes de sécurité, "les ingénieurs sociaux et les cybercriminels n'inventent rien de nouveau. Ils recyclent essentiellement des techniques d'espionnage". Examinons quelques-unes de ces tactiques.

Les maîtres de la manipulation

Les acteurs des menaces de cybersécurité qui réussissent sont des maîtres de la manipulation, qui exploitent souvent les émotions humaines, en particulier la peur, pour atteindre leurs objectifs malveillants. En élaborant des messages qui créent un sentiment d'urgence ou de panique, tels que de faux avertissements concernant des comptes compromis, des factures impayées ou des actions en justice imminentes, ils poussent les gens à agir sans réfléchir.

Ces tactiques d'ingénierie sociale s'appuient sur notre instinct qui nous pousse à résoudre rapidement les menaces perçues, ce qui incite les victimes à cliquer sur des liens malveillants, à télécharger des pièces jointes nuisibles ou à fournir des informations sensibles telles que les identifiants de connexion. La peur est un puissant facteur de motivation, et les cybercriminels l'utilisent pour contourner notre jugement rationnel, rendant même les individus les plus prudents vulnérables à leurs stratagèmes. Il est essentiel de reconnaître ces déclencheurs émotionnels pour rester vigilant et éviter de tomber dans leurs pièges.

Parti pris de l'autorité

Les gens peuvent être particulièrement vulnérables à la manipulation par des courriels et des messages malveillants provenant de personnes perçues comme des figures d'autorité, en raison d'un phénomène psychologique connu sous le nom de préjugé d'autorité. Ce préjugé découle de notre tendance innée à nous conformer aux demandes ou aux instructions de ceux que nous considérons comme ayant du pouvoir, de l'expertise ou de l'influence.

Les cybercriminels exploitent cette situation en se faisant passer pour des directeurs, des cadres ou d'autres personnes faisant autorité, et en rédigeant des messages qui créent un sentiment d'urgence ou d'obligation. Par exemple, un courriel semblant provenir d'un PDG peut demander des informations sensibles ou une action immédiate, en exploitant le désir du destinataire de plaire et d'éviter de décevoir une personne en position de pouvoir. "La peur des répercussions ou l'instinct de suivre les ordres sans poser de questions peuvent prendre le pas sur l'esprit critique, ce qui rend les individus plus susceptibles d'être victimes d'escroqueries par phishing ou d'autres formes d'ingénierie sociale. " Cela souligne l'importance d'encourager une culture du scepticisme et de former les employés à vérifier les demandes, même celles émanant de sources fiables, avant d'agir.

Réciprocité et curiosité

La réciprocité et la curiosité sont deux déclencheurs psychologiques souvent exploités dans les courriels malveillants pour inciter les gens à cliquer sur des liens nuisibles. La réciprocité joue sur la tendance humaine à se sentir obligé de rendre une faveur ; par exemple, un courriel peut offrir un cadeau gratuit, une réduction exclusive ou une ressource utile en échange d'un clic sur un lien. Cela crée un sentiment d'endettement qui incite le destinataire à agir sans prendre pleinement en compte les risques.

La curiosité, quant à elle, fait appel à notre désir inné de découvrir l'inconnu. Un objet astucieux comme "Vous ne croirez pas ce que nous avons découvert sur vous !" ou "Urgent : Fonds non réclamés à votre nom" peut susciter l'intérêt des destinataires et les inciter à cliquer pour satisfaire leur curiosité. Ensemble, ces tactiques exercent une forte pression psychologique, rendant même les personnes prudentes plus susceptibles de tomber dans le piège du phishing.

Exploiter nos émotions

Tout comme les espions, les cybercriminels sont devenus très habiles à exploiter les émotions de leurs cibles. Ils exploitent l'appât du gain en rédigeant des messages séduisants qui promettent des récompenses financières, des gains à la loterie ou des offres exclusives, ce qui incite les victimes à cliquer sur des liens dangereux ou à partager des informations sensibles. De même, ils exploitent notre nature serviable en se faisant passer pour des collègues de confiance, des amis ou des figures d'autorité en détresse, créant ainsi un sentiment d'urgence qui abaisse les défenses et encourage une action rapide et non critique. En combinant la manipulation émotionnelle et l'ingénierie sociale, ces tactiques trompent efficacement les individus et ouvrent la porte aux cyberattaques.

En outre, les cybercriminels tirent parti de l'excès de confiance, de la routine et de la complaisance pour faire avancer leurs projets. De nombreuses personnes se croient trop averties pour tomber dans des escroqueries, ne lisent pas les courriels lorsqu'elles sont occupées, ou se fient trop aux mesures de sécurité de leur organisation, ce qui les rend moins vigilantes. En imitant des modèles familiers, tels que des demandes liées au travail, des mises à jour de colis ou des avis financiers, et en utilisant des outils d'intelligence artificielle pour personnaliser les messages en fonction de l'activité sur les médias sociaux et du comportement en ligne, les cybercriminels créent des courriels très convaincants. Ces messages personnalisés font référence à des détails spécifiques, tels que des achats récents ou des étapes professionnelles, ce qui les fait paraître authentiques et augmente la probabilité d'engagement.

Le fait de ne pas agir

Shawnee Delaney donne un excellent conseil aux personnes susceptibles d'être victimes de tactiques d'espionnage cybercriminelles, que ce soit dans le cadre de leur travail ou de leur vie privée : "Je dis toujours à mes enfants que s'ils reçoivent un courriel ou un appel téléphonique [...] et que cela leur fait ressentir une grande émotion, ils ne doivent rien faire".

Lorsque l'on reçoit un courriel ou un message urgent qui pourrait être malveillant, il est essentiel de résister à l'envie d'agir immédiatement. Les cybercriminels exploitent souvent l'urgence pour contourner la prise de décision rationnelle, en incitant à des actions précipitées comme cliquer sur des liens dangereux ou partager des informations sensibles. S'arrêter pour vérifier l'authenticité d'un message peut faire la différence entre être victime d'une escroquerie et préserver sa sécurité personnelle ou celle de son organisation.

Des mesures simples comme la vérification de l'adresse électronique de l'expéditeur ou la prise de contact avec l'expéditeur par l'intermédiaire d'un canal de confiance peuvent aider à confirmer la légitimité. En privilégiant la prudence à la rapidité, les individus peuvent se protéger et protéger leur organisation contre les attaques de phishing et autres cybermenaces. 

En savoir plus

Ce blog ne fait qu'effleurer la surface de notre discussion entre Shawnee Delaney, Adenike Cosgrove, Chief Marketing Officer, et Rob Juncker, Chief Product Officer, de Mimecast. Regardez la session complète, Secrets d'espionnage révélés : Maîtriser le Human Risk, et pendant que vous y êtes, obtenez un accès exclusif au kit de sensibilisation à la cybersécurité de Mimecast, qui contient les meilleures pratiques pour les responsables de l'informatique, de la sécurité et de l'entreprise, ainsi qu'une formation utile pour les employés.