Allo, pourriez-vous m’aider? La phrase qui va ruiner votre sécurité?

Allo, pourriez-vous m’aider? Cette phrase, n’importe quel employé d’une entreprise est susceptible de l’entendre chaque jour. Que ce soit un collègue, un client, un fournisseur qui appelle la comptabilité, le service clientèle, le support IT ou la gestion de l’immeuble, la plupart des collaborateurs d’une entreprise ont pour vocation d’aider d’autres personnes. C’est d’ailleurs de plus en plus souvent une valeur forte des entreprises. Vous avez déjà probablement lu cette phrase : « le service clientèle n’est pas un département, c’est une attitude ». Les entreprises 2.0 mettent leurs clients au centre de leur processus. Aider ses client n’est même plus qu’une tendance naturelle, c’est un objectif d’entreprise, une culture et une obligation. Même si en Europe nous avons parfois encore à apprendre sur ce sujet, de plus en plus d’entreprise améliorent l’attitude de leur personnel envers leur clients, internes ou externes, et les incitent à être plus collaboratif, empathique et aidant. Et c’est tant mieux! C’est finalement l’un des objectif principal d’une organisation: servir ses clients (et générer des bénéfices la plupart du temps)

Malheureusement, ce progrès vient avec un coup important en termes de sécurité. En effet, pour atteindre cet objectif, les employés ont souvent de plus en plus accès aux différentes informations relatives à leurs client afin de pouvoir mieux les servir et de plus, dans la mouvance 2.0, chaque collaborateur est responsabilisé et « empowered » afin de pouvoir atteindre ses objectifs. Et là aussi, l’entreprise y trouve énormément d’avantages en termes de bien-être et d’efficience. Mais là encore, la surface de risque augmente. Chaque employé à potentiellement plus de pouvoirs qu’auparavant, exposant donc à lui tout seul encore plus l’entreprise aux risques que sont les « human hackers »

Dans la petite vidéo ci-dessous, l’émission Real Future à demandé à nos très respectés collègues de www.social-engineer.com, d’effectuer une attaque par vishing (hameçonnage téléphonique en français). Comme vous pourrez le voir, il ne faudra que quelques minutes à Jessica Clarck pour obtenir l’adresse email de Kevin Roose et pour se faire créer un nouveau compte à son nom à elle, lui permettant ainsi d’accéder au compte de Kevin. Facile n’est-ce pas! Ne négligeons pas cependant les petits détails qui font la différence entre l’échec et le succès dans ce genre d’exercice.

Commençons par les plus facile et les plus évident: D’abord, Jessica est une femme. Comme je l’ai déjà écrit dans ce blog, la séduction est une arme souvent fatale mais dans ce cas-ci c’est la vulnérabilité associée aux femmes et la tendance chevaleresque des hommes qui est exploitée. Les cris de bébés dans le fond ajoutent au climat de détresse et permettront aussi probablement à amener le correspondant, homme ou femme, à vouloir encore plus aider notre « Visher ». Les êtres humains ont une réaction quasi instinctive de désir d’aider à l’écoute de cris de bébés. Autres caractéristique, Jessica est charmante, s’excuse de prime abord et met son interlocuteur sous pression en lui expliquant qu’un tiers non-présent, son mari, lui demande de faire quelque chose aujourd’hui même. Elle joue donc sur la réciprocité, la dissolution de responsabilité et sur la pression du temps, d’autres facteurs importants dans les techniques d’influence.

Un autre facteur plus complexe, très important et pourtant peu mis en avant dans cet exercice est le « spoffing » (l’usurpation) du numéro de téléphone. Les opérateurs téléphoniques utilisent fréquemment des systèmes qui affichent automatiquement les informations de leurs clients lorsqu’ils appellent avec le numéro de téléphone que ce même opérateur leur a attribué. Cela met d’office l’opérateur en confiance vu que son système lui dit que la personne qui l’appelle est bien qui elle prétend être. Ce n’est pas une petit élément et il n’est pas facile à obtenir même si ce n’est pas des plus compliqués. En effet, l’usurpation de numéro est une fonction qui existe chez tous les opérateurs et qui permet, par exemple, d’avoir votre propre numéro de GSM qui s’affiche quand vous appelez avec un opérateur VoIP comme Skype.

Notez aussi comment Jessica contourne la proposition de l’opérateur d’envoyer un PIN par SMS. Elle ne peux pas le recevoir en même temps. Avec les cris du bébé, l’opérateur ne va pas lui proposer une alternative et va l’aider directement. Dans la mise en place de contrôle d’identité, comme pour tout contrôle de sécurité en général, la convivialité, la simplicité doivent être pris en compte. L’opérateur aurait du pouvoir poser quelques questions simple à la personne (adresse de résidence, second prénom de son mari, date de naissance) afin d’identifier la personne. Simple mais efficace. Ce n’est pas le contrôle que l’on définirais par défaut mais il ne ferait pas de tort d’avoir la possibilité de le faire si d’autres contrôles s’avère impossible. un autre contrôle aurait pu être de proposer de rappeler la personne afin de s’assurer qu’il n’y a pas eu de spoofing (mais il faut déjà accepter la possibilité que ce soit possible pour penser à mettre de tels contrôles en place).

Bien sûr, comme souvent, la clé reste dans la préparation et dans la formation. Ce genre de vidéos, tout comme celle que nous avons réalisé dans le cadre de l’émission de la RTBF « On n’est pas des pigeons » font partie des moyens didactiques qui permettent d’augmenter la conscientisation et la capacité à identifier les techniques utilisées par les hackers.

Bien sûr des tests « in vivo », annoncés ou non, permettent aussi d’augmenter la vigilance, la reconnaissance et de mesurer l’efficacité des mesures de prévention et des contrôles mis en place. Qu’importe les moyens que vous avez décidé ou que vous déciderez de mettre en oeuvre pour prévenir ce genre d’attaque, qui peuvent coûter des millions d’Euro comme nous l’a malheureusement encore rappelé l’attaque réussie contre Crélan, il est important que ce soit un effort soutenu et régulier. Quand il s’agit d’éducation, la répétition est le maître mot.

La séduction comme outil de hacking

Quel est le point commun entre James Bond et le premier hacker venu?

On peut en trouver quelques-uns mais le plus évident, c’est leur objectif commun: collecter de l’information! Car, bien qu’on semble parfois l’oublier, l’objectif premier d’un espion n’est pas de séduire toute la gente féminine et de tuer tous les mâles alpha armés qu’il rencontre mais bien de faire du renseignement. Et si les espions utilisent de plus en plus les services des hackers pour arriver à leurs fins, les hackers utilisent de plus en plus les techniques les plus anciennes des espions: la manipulation, l’ingénierie sociale, le chantage.

Kevin Mitnick, un ancien Hacker « repenti » après avoir fait quelques années de prison pour délit informatique, a d’ailleurs consacré quelques livres à la plus grande faiblesse des systèmes informatiques: l’humain. Il en a d’ailleurs fait son fond de commerce.

Ces techniques utilisées par les espions tout comme les terroristes (Le Manuel d’AL Quaeda trouvé à Manchester, dont vous pouvez trouver une traduction sur le site du US Department of Justice, mentionne aussi des techniques d’espionnage utilisant les êtres humains (HUMINT – Human Intelligence).

En soit, rien de nouveau sur le soleil. Bien que ces techniques soient utilisés depuis la nuit des temps, la plupart des responsables sécurité sous-évaluent constamment le risque. On peut imaginer que cela est dû au profil parfois plus technologiques de certains RSSI (ou CISO) ou à l’impression qu’ils ne peuvent pas y faire grand chose, à part coller des posters, faire des petites séances d’information et compartimenter l’information. Trop souvent on confond sécurité informatique et sécurité de l’information. N’oublions pas que l’information est ce que l’on cherche à protéger, ou du moins, celle qui a de la valeur. Les systèmes informatiques, bien que de plus en plus présents dans nos vies, n’ont pas l’apanage de l’information. Que ce soit sur papier, dans nos conversations ou dans nos têtes, l’information est insaisissable et donc, de facto, difficile à contenir et à protéger. De plus, l’information est généralement destinée, in fine, à être utilisée par un ou plusieurs êtres humains. L’élément humain est donc indissociable de la protection de l’information.

Mais je m’éloigne de mon sujet: La séduction comme outil de hacking. D’abord, pourquoi est-ce que je viens avec ce sujet particulièrement? Hier je lisais un Tweet parlant de SexyCyborg, une jeune « hackeuse » (ou du moins, elle prétend s’y intéresser) chinoise qui a imprimé des chaussures 3D lui permettant de cacher son matériel de hacking. Sur sa page Imgur, elle dit ceci: « So I got to thinking- if I had to do penetration testing on a corporate facility, how would I do it? Social engineering for one- I’m a natural honeypot » (Ma traduction: Je me suis mise à penser: si je dois faire des tests de pénétration dans une entreprise, comment vais-je faire? De l’ingénierie sociale pour commencer – je suis un pot-de-miel [Honeypot] naturel).

Pour bien comprendre, je reprend une photo de cette jeune personne qui n’hésite pas à mettre son physique en avant:

SexyCyborg

Elle ajoute ceci juste après: « I think there’s a reasonable chance that a guy might invite me back to their office after a few drinks in the neighborhood? » (Ma traduction: Je pense qu’il y a une probabilité raisonnable qu’un type m’invite à son bureau après avoir bu quelques verre [avec lui] dans les environs).

Sans juger de l’attirance de son physique ni de ses tenues, la psychologie sociale a plutôt tendance à lui donner raison. Si voulez manipuler quelqu’un, il est préférable d’être séduisant. Et si ce quelqu’un est un homme hétérosexuel (ce qui est souvent le cas dans l’IT), être une jolie femme aide grandement (qui s’en serait douté?). Avoir une poitrine opulente et mise en valeur, encore plus (vraiment?). Quelques minutes de discussions dans une atmosphère intime, un peu d’alcool et un décolleté plongeant pourraient donc bien venir à bout de vos systèmes de protection les plus coûteux.

En plus des sciences psychologiques, l’histoire de l’humanité et particulièrement de l’espionnage, nous rappelle combien la séduction est un outil fort utile et souvent fort efficace, pour obtenir des informations. Mata Hari n’a pas marqué son temps pour rien et plus récemment, l’affaire d’espionnage impliquant Anna Vasil’yevna Chapman, nous a montré que même à notre ère du tout digital, le charme féminin restait une arme de premier choix. Bien sûr, la même chose est vraie pour les hommes qui peuvent aussi utiliser leurs charmes. En hacking comme en espionnage, il n’y a pas plus de sexisme que d’inhibition: tout ce qui fonctionne est bon à prendre. Tout est une question de coût et de rentabilité.

Et si vous pensez que la tâche ne peut être si facile, demandez-vous s’il est vraiment compliqué de trouver une photos d’un des responsables de vos systèmes informatiques sur Linkedin ou n’importe quel autre réseau social. Une fois cela fait, est-il difficile de se poster près de la sortie de vos bureaux et de suivre cette personne, identifiable par sa photo (et éventuellement par son badge que la plupart des gens oublient d’enlever quand ils sortent de l’entreprise), jusqu’à un bar, son train, sa salle de sport, son domicile, ou l’endroit où il rencontre sa maîtresse. D’ailleurs, vu les statistiques dévoilées dans le récent hack du site Ashley Madisson, on ne peux que se demander si l’éventuelle présence d’un membre de votre personnel dans la liste des utilisateurs (vous pouvez vérifier sur Trustify, à vos risques et péril) ne pourrait pas aussi être utilisé comme moyen de chantage pour obtenir des faveurs. D’ailleurs, il n’est probablement même plus nécessaire de suivre vos employés depuis l’entreprise, utiliser les réseaux sociaux est plus rapide et moins dangereux pour les rencontrer et les séduire (et en apprendre plus à leur sujet).

Ce n’est pas sans raison que les personnes qui sont titulaires d’une accréditation sécurité auprès d’un gouvernement sont invités à ne pas le mentionner (histoire de ne pas se mettre une cible sur le dos) et d’éviter d’avoir des affaires extraconjugales pour diminuer son exposition à des tentatives de chantage.

Tout cela amène bien sûr plusieurs questions: La vie amoureuse des employés devient-elle potentiellement un problème de sécurité pour l’entreprise? Et de là, où le droit à la vie privée s’arrête quand cette même vie privée devient une menace claire pour la sécurité de l’entreprise? La proportionnalité de la réponse n’est jamais facile à trouver et la gestion de la sécurité sera toujours bien plus un problème humain qu’un problème technologique, ne pensez-vous pas?

Pour terminer, quelques petites suggestions de lecture (si vous ne les connaissiez pas déjà):

  • « Psychologie de la manipulation et de la soumission » de Nicolas Guéguen (2014)
  • « 100 petites expériences de psychologie de séduction : Pour mieux comprendre tous nos comportements amoureux » de Nicolas Guéguen (2007)
  • « Influence et manipulation : Comprendre et maîtriser les mécanismes et les techniques de persuasion » de Robert Cialdini (2004)