Tests d’ingénierie sociale
Chaque contrôle technique que vous avez acheté part du principe qu’un être humain agira correctement au bon moment. Les tests d’ingénierie sociale vous permettent de vérifier si cette hypothèse est valable — avant qu’une personne mal intentionnée ne le découvre à votre place.
Je mène ces missions comme le ferait un véritable adversaire : un prétexte élaboré à partir des informations accessibles au public concernant votre organisation, une demande crédible et un parcours menant à une action concrète — l’accès à une porte à l’aide d’un badge, la réinitialisation d’un mot de passe par téléphone, un lien qui dépose une charge utile. Le hameçonnage retient la plupart de l’attention, mais le vishing (hameçonnage par téléphone), le « tailgating » physique et les clés USB malveillantes font tous partie du même débat, car un attaquant déterminé ne se limitera pas non plus aux e-mails.
Ce que je teste réellement
Il ne s’agit pas de savoir si « quelqu’un a cliqué ». Cet indicateur ne vous apprend pratiquement rien en soi. Je vérifie si vos processus de détection et de réponse repèrent la tentative, si la personne qui s’est fait piéger savait quoi faire ensuite, et si un identifiant compromis ou une porte laissée ouverte peut déboucher sur un problème bien plus grave. Le rapport que je vous remets établit un lien entre des lacunes spécifiques — en matière de formation, de processus et de contrôles physiques — et des solutions concrètes, et non une recommandation générique du type « sensibiliser ».
Où cela s'inscrit-il ?
Si vous n’avez jamais mené de test d’ingénierie sociale, commencez modestement et de manière ciblée : un seul prétexte contre une seule équipe, afin que l’organisation n’ait pas l’impression d’être prise au dépourvu et que vous puissiez évaluer clairement un risque à la fois. Si vous disposez déjà d’un programme bien établi, je peux concevoir des scénarios plus complexes, en plusieurs étapes, qui enchaînent un appel téléphonique, une visite sur place et l’obtention d’un point d’ancrage sur le réseau, ce qui se rapproche davantage du déroulement réel d’une intrusion.
Quoi qu’il en soit, le but n’est pas de piéger les gens. Il s’agit de découvrir, dans un cadre contrôlé, ce qui se passe lorsque quelqu’un tente une attaque — et d’y remédier avant que cela ne se produise réellement.
Si vous souhaitez discuter de ce à quoi ressemblerait une mission ciblée pour votre organisation, contactez-moi.