L'ingénierie sociale manipule les individus pour obtenir des informations ou un accès non autorisé. Elle cible la psychologie humaine, et non la technologie. L'attaquant instaure un climat de confiance, crée un sentiment d'urgence et exploite le désir de bien faire. Un appel téléphonique d'une personne se faisant passer pour un informaticien. Un courriel d'un faux cadre demandant un virement bancaire. Un visiteur muni d'un bloc-notes qui parvient à se faire entendre sans passer par la réception. Les techniques varient, mais l'objectif reste le même : amener la victime à faire quelque chose qu'elle ne devrait pas.

L'ingénierie sociale est efficace car elle contourne les contrôles techniques. Un pare-feu n'empêche pas un employé du service d'assistance de réinitialiser le mot de passe d'une personne qui semble légitime. Le piratage de Twitter en 2020 a utilisé l'ingénierie sociale par téléphone pour convaincre des employés de divulguer leurs identifiants. Les attaquants ont ensuite pris le contrôle de comptes importants et ont lancé une arnaque au Bitcoin. Le FBI a qualifié l'attaque d'ingénierie sociale coordonnée. La défense commence par la sensibilisation, mais celle-ci ne suffit pas. Les procédures sont primordiales. Il faut vérifier l'identité par un canal distinct, exiger une approbation pour les actions sensibles et limiter les actions de chaque individu. L'objectif est de rendre plus difficile la réussite d'un mensonge convaincant. La formation est utile, mais des procédures robustes permettent de détecter les failles de la formation.

Techniques courantes d'ingénierie sociale

• Hameçonnage — tromperie par courriel
• Vishing — escroquerie par appel vocal
• Prétexte — scénario fabriqué
• Appât — offre alléchante, comme une clé USB gratuite
• Suivre quelqu'un de trop près — le faire entrer dans une zone sécurisée

L'ingénierie sociale exploite la confiance. La défense repose sur la vérification, et non sur la suspicion.