Securité informatique et "social engineering"
Facteur humain et piratage.
Sujet qui mobilise toutes les entreprises et sociétés en ce moment, et à juste titre.
Le problème de la faillibilité des systèmes d’informations ne s’est réellement posé qu’au milieu des années quatre-vingt. En fait, lorsque le premier « pirate » a été arrêté en 1995 aux Etats-Unis, le célèbre Kevin Mitnick, il avait à son actif le piratage du Pentagone, de sociétés de crédit, d’universités, de la police, d’entreprises high-tech…
Ce qui est ressorti de son interpellation et de ses déclarations est pour le moins surprenant :
La plupart des techniques informatiques qu’il a utilisées sont très simples à l’exception d’une ou deux. Son secret : La faille humaine. En effet, il a obtenu nombre d’accès à des machines ou à des programmes en se faisant passer pour untel ou unetelle appartenant aux organisations correspondantes. Ceci a certes nécessité des prises de renseignements préalables sur l’organisation des structures visées mais l’effet est bien là! Des millions de dollars de dégâts.
Tout ceci permet de comprendre pourquoi les entreprises actuellement investissent énormément dans des procédures de sécurité visant à cadrer de façon stricte les droits d’accès informatiques.
Rien de plus facile que : « Allo, Madame Dubois (secrétaire de son état) Mister Anderson speaking, (le n+2 de son directeur). J’ai besoin d’accéder au planning de votre patron, pourriez-vous me communiquer son mot de passe ? » « Merci Madame Dubois, have a nice day! »
Donc si on comprend bien le fonctionnement d’une entreprise, l’informatique devient secondaire par rapport au facteur humain si l’on tente de nuire à la sécurité d’un réseau.
C’est ce que l’on appelle le « social engineering ».
JSH