L'appâtage consiste à utiliser un élément attrayant pour inciter une victime à se compromettre. Le cas classique est celui d'une clé USB abandonnée sur un parking. Par curiosité, quelqu'un la ramasse, la branche, et un logiciel malveillant s'y installe. Les chercheurs ont reproduit cette expérience à maintes reprises. Une grande partie des clés USB abandonnées sont finalement utilisées. Le logiciel malveillant peut être un enregistreur de frappe, un outil d'accès à distance ou un script permettant de voler des identifiants.

L'appâtage numérique fonctionne de la même manière. Téléchargements de films gratuits installant des logiciels malveillants. Faux cracks de logiciels contenant des chevaux de Troie. Publicités intempestives proposant un téléphone gratuit en échange de la participation à un sondage. L'appât n'a pas besoin d'être crédible pour tout le monde ; il suffit d'en piéger quelques-uns. L'appâtage est souvent associé à d'autres techniques d'ingénierie sociale. Un courriel d'hameçonnage propose une carte-cadeau gratuite et un lien. Ce lien redirige vers une page demandant les identifiants de connexion. L'attaquant possède alors les identifiants et la confiance de la victime. La défense repose principalement sur la vigilance et le respect des règles. Ne branchez pas d'appareils inconnus. Ne téléchargez pas de logiciels provenant de sources non officielles. Ne remplissez pas de formulaires promettant des récompenses gratuites.

Techniques d'appâtage courantes

• Clés USB tombées dans les parkings ou les halls d'entrée
• Téléchargements gratuits contenant des logiciels malveillants
• fausses notifications de prix et faux sondages
• Partage de fichiers peer-to-peer avec des fichiers infectés

La curiosité est la vulnérabilité. Les attaquants l'exploitent car elle est fiable.