La France se trouve aujourd’hui face à une vague sans précédent de cyberattaques, avec l’ingénierie sociale au premier plan de cette menace numérique. Cette technique de manipulation, qui joue sur les faiblesses humaines pour extorquer des informations ou de l’argent, n’a jamais été aussi pertinente.

Alors que le pays se remet d’une attaque majeure contre l’un de ses services publics essentiels, France travail, la vigilance est de mise. Les cybercriminels, armés de stratégies toujours plus sophistiquées, cherchent à exploiter la moindre faille dans notre armure collective. Dans ce contexte, comprendre les mécanismes de l’ingénierie sociale et les moyens de s’en prémunir est crucial pour la sécurité individuelle et nationale. Cet article se propose de démystifier l’ingénierie sociale, en explorant ses méthodes les plus courantes et en offrant des conseils pratiques pour renforcer notre défense contre ces attaques insidieuses.

L’ingénierie sociale : L’erreur est humaine.

Le phishing, un cas d’ingénierie sociale courant

Les hackers sont de plus en plus créatifs dans l’élaboration de tactiques pour influencer et tromper des individus dans le but d’obtenir des données sensibles. L’hameçonnage est une des principales méthodes utilisées. Les vecteurs d’attaques sont les SMS, les médias sociaux et plus fréquemment les e-mails.

Le scénario, bien qu’assez connu, est toujours aussi efficace. L’attaquant contacte sa potentielle victime en se faisant passer généralement pour une entreprise dont la légitimité n’est pas à remettre en question (une banque, une compagnie d’électricité …).

Le message est toujours pressant et s’appuie sur des problèmes de sécurité liés au compte, des impayés ou encore des remboursements, s’en suivra toujours une injonction incitant la cible à passer à l’action très rapidement pour éviter des conséquences fâcheuses. En règle générale, l’internaute doit cliquer sur un lien malveillant et devra communiquer des informations confidentielles.

Voici comment cela fonctionne généralement :

Le mail initial : Vous recevez un courrier électronique qui semble provenir d’une entreprise légitime avec laquelle vous faites affaire, comme votre banque, un service de streaming comme Netflix, ou un service de courrier électronique comme Google. Le courrier électronique vous informe généralement d’un problème urgent avec votre compte qui nécessite votre attention immédiate.

Le lien : Le courrier électronique contient un lien vers ce qui semble être le site web de l’entreprise. Cependant, si vous regardez attentivement l’URL, vous verrez qu’elle ne correspond pas exactement à l’URL officielle de l’entreprise. Par exemple, au lieu de « www.netflix.com », l’URL pourrait être « www.netflix.billing-problem.com ».

La page de connexion : Lorsque vous cliquez sur le lien, vous êtes dirigé vers une page de connexion qui ressemble exactement à celle de l’entreprise légitime. On vous demandera de vous connecter avec votre nom d’utilisateur et votre mot de passe.

Le vol d’informations : Lorsque vous vous connectez, vos informations de connexion sont enregistrées par le pirate informatique. Ils peuvent alors utiliser ces informations pour accéder à votre compte réel et commettre des fraudes, comme voler de l’argent de votre compte bancaire ou faire des achats en votre nom.

Les goûts et les couleurs…

En matière d’ingénierie sociale, les arnaques sont conçues en se basant sur des données statistiques visant à coller au plus près avec la réalité des internautes et ratissent très large.

• La sextorsion consiste à envoyer un mail accompagné d’une demande de rançon. Le courrier indique que la webcam de l’utilisation a été piratée et que les images compromettantes seront envoyées à l’intégralité des contacts de la victime si celle-ci ne paie pas.
• L’escroquerie aux bons d’achats (coupons) est en général un mail, un sms ou un message sur Whatapp se faisant passer pour une grande marque invitant l’internaute à cliquer sur un lien pour bénéficier de réductions importantes. Une fois sur le faux site, la victime sera invitée à rentrer ses coordonnées pour que l’offre promotionnelle soit validée.
• Les Amazon day Prime sont également une période propice à la réception de faux mails promotionnels incitant à divulguer les informations personnelles relatives au compte des utilisateurs. D’autres grandes marques sont également régulièrement usurpées, Apple, UPS, FedEx, Microsoft…
• L’agenda Google peut également servir de vecteur d’attaque. Le pirate s’en servira pour placer des faux événements sur lesquels il faut cliquer, s’inscrire et fournir des données sensibles.

Une question d’échelle

Si pour tromper des particuliers un simple hameçon peut parfois suffire, pour ce qui est des entreprises, un harpon est nécessaire. Le Spread phishing ou spear phishing est une technique d’ingénierie sociale extrêmement ciblée et capable de causer énormément de dégâts à une entreprise.

Un peu plus exigeant en terme de moyens à déployer le Spread phishing nécessite au préalable des recherches approfondies sur l’entreprise qui est visée (en générale des firmes manipulant des données sensibles à travers leur propre système d’information), ses employés et plus particulièrement les nouveaux venus.

En effet, les erreurs les plus courantes liées à la sécurité des données dans les entreprises sont souvent le fruit d’un excès de zèle de la part d’un salarié désireux de bien faire. Inexpérimenté et donc peu familier des différentes interfaces et procédures en vigueur, ils deviennent des cibles de premier choix. Les VPN pour entreprise, même les plus sûrs et pointus techniquement, ne peuvent rien faire contre ça.
Pour les très grosses entreprises et pour des cibles qui occupent des postes stratégiques assez haut placés, le terme utilisé est le whaling, la pêche à la baleine. Cette technique cible spécifiquement les cadres supérieurs et les dirigeants d’entreprise, qui ont souvent accès à des informations particulièrement sensibles.

L’ingénierie sociale : La peur sur tous les systèmes

Parmi les leviers les plus efficaces, la peur est le sentiment qui permet de créer la panique chez les victimes. Il existe d’ailleurs un mode d’attaque exclusivement basée sur celle-ci. Les peurs croissantes liées à la cyber-sécurité sont devenues un terreau particulièrement fertile pour les hackers.

Depuis quelques années des fenêtres contextuelles apparaissent de manière inopinée sur les écrans. Particulièrement intrusives et menaçantes, elles alertent l’internaute sur une faille de sécurité et/ou sur la présence d’un malware dans son système et intime l’ordre de télécharger l’antivirus proposé pour régler le problème. Dans le pire des cas, l’utilisateur aura même à débourser de l’argent pour acquérir un virus qui permettra l’accès aux hackers à toutes les informations sensibles contenues dans l’ordinateur.

D’autres techniques de manipulation entrent dans le champ que couvre le terme d’ingénierie sociale comme le quiproquo, l’usurpation d’identité (pretexting) ou le tailgating (ouvrir une porte à quelqu’un qui aurait oublié sa carte d’accès ou le code secret)

Et si par hasard vous trouvez une clef USB dans un café, remettez là à un serveur ou au gérant. Aussi surréaliste que cela puisse paraître, la clef peut contenir des malwares dissimulés sur des fichiers de musique par exemple, assez peu pratiquée, mais déjà recensée, le Baiting (appâter en anglais) n’existe pas que dans les films.

L’ingénierie sociale, par sa nature même, est indépendante du système d’exploitation que vous utilisez. Que vous soyez sur Windows, Linux ou Mac, vous n’êtes pas à l’abri. Les attaques d’ingénierie sociale visent à exploiter les failles humaines, pas les failles logicielles. Aucun système d’exploitation n’est immunisé contre ces tactiques.

De plus, il est important de noter que l‘idée selon laquelle les Macs sont immunisés contre les virus est un mythe. Bien que les Macs aient été moins ciblés par les logiciels malveillants dans le passé, principalement en raison de leur part de marché plus petite par rapport à Windows, la situation a changé. Avec l’augmentation de la popularité des produits Apple, ils sont devenus une cible de plus en plus attrayante pour les cybercriminels. 

L’ingénierie sociale : En conclusion

Soyez toujours sceptique, et ce, même si le message que vous recevez vous presse ou vous fait peur. Ne paniquez pas et trouvez un moyen de communiquer directement avec vos interlocuteurs s’il s’agit de votre banque par exemple. Vérifiez toujours les liens et les sites sur lesquelles vous vous rendez, bien souvent, certains détails trahissent leur authenticité.

Est-ce que ma smartTV met ma vie privée en danger ? Avec l’augmentation de la popularité des objets connectés, les entreprises ont la possibilité d’accéder et de traiter les activités privées des utilisateurs. La collecte de données qui est présente sur Internet se propage et envahit les foyers. Les enceintes et les téléviseurs connectées sont parmi les appareils les plus exposés. Comment les télévisions intelligentes peuvent nous espionner et que pouvons-nous faire pour protéger notre intimité ?

Que fait exactement une smartTV ?

Des préoccupations concernant la vie privée

Les habitudes d’écoute de la télévision peuvent en révéler presque autant sur vous que votre historique de navigation sur Internet. Les annonceurs peuvent déterminer vos préférences politiques, votre tranche socioprofessionnelle ainsi que votre situation géographique. En France, la CNIL alerte régulièrement.

La manière dont les SmartTV partagent ces données pose un autre problème de protection de la vie privée. Lorsqu’elles vendent l’historique télévisuel à des annonceurs et/ou à des tiers, elles le relient à l’adresse IP du réseau. Grâce à ces listes détaillées, les annonceurs peuvent établir un lien entre l’historique d’écoute de la télévision et l’historique de navigation Internet, ce qui signifie qu’ils ont les yeux sur les Internautes en permanence peu importe le support.

Les dangers des smartTV pour la vie privée

Bien que parfois stipulés dans les conditions d’utilisation, l’archivage et la récupération de certaines informations n’étaient pas clairement formulés. Plusieurs constructeurs ont déjà été pointé du doigts ou ont déjà eu affaire à la justice.

• Collecte de données cachées

Vizio est l’une de ces entreprises qui n’a jamais informé ses utilisateurs de la collecte de données. Entre 2014 et 2017, elle a vendu des téléviseurs intelligents (et mis à jour d’anciens modèles) qui utilisaient automatiquement l’ACR pour surveiller ce que les utilisateurs regardaient. En 2017, il y avait plus de 11 millions de Vizio Smart TV qui suivaient l’historique de tous les téléspectateurs de leurs clients. Vizio a dû payer une amende de 2,2 millions de dollars.

• Un micro est toujours à l’écoute

Samsung a intégré des microphones dans certains modèles de téléviseurs intelligents pour permettre aux utilisateurs de changer de chaîne ou d’allumer le téléviseur à l’aide de commandes vocales.

Allumés en permanence, Samsung a été crontraint de publier une clarification, indiquant que la plupart des téléviseurs exigent que les utilisateurs activent le micro avec la télécommande. Les utilisateurs qui possèdent un téléviseur intelligent de la marque avec microphone intégré peuvent maintenant désactiver le système de reconnaissance vocale.

• Mauvaise protection de la vie privée

Jason Huntley, un consultant en informatique, a fait plusieurs découvertes sur les téléviseurs intelligents de LG et sur la façon dont ils collectent et transmettent les données d’audience de leurs utilisateurs.

Tout d’abord, les télé connectées transmettaient des données même si l’utilisateur désactivait la fonction. Ensuite, la SmartTV scannait toute clé USB insérée et enregistrait tous les noms de fichiers qu’elle trouvait.

Pour finir, l’appareil ne chiffrait pas les données qu’elle transmettait. L’envoi de data en texte clair signifie que toute personne se trouvant entre la SmartTV et les serveurs de LG aurait pu facilement accéder aux données. La firme d’électroménager a depuis mis à jour son logiciel afin que les utilisateurs puissent se désinscrire de cette collecte abusive.

• Les téléviseurs intelligents et la sécurité

La transmission de données sensibles non-chiffrées n’est qu’une des nombreuses failles de sécurité exploitables. En 2017, des consultants en sécurité ont découvert plus de 40 vulnérabilités de type « zero-day » (inconnues jusqu’alors) dans le système d’exploitation Open Source Tizen de Samsung pour les smart TV.

© Tizen

Sécuriser sa SmartTV

Il n’existe pas beaucoup de solutions actuellement, rester informé, bien choisir son appareil et surtout désactiver toutes les options susceptibles d’être invasives. Pour les personnes qui souhaitent sécuriser un minimum leur appareils connectés, dans ce cas précis, l’installation d’un VPN IPTV sécurisera une partie des données mais ne fera pas tout.

Les télévisions connectées ne sont malheureusement pas les seuls appareils connectés à souffrir du vide juridique actuel, les enceintes connectées font également débat actuellement.

Réflexions finales : L’évolution de la cybersécurité des Smart TVs en 2024

L’année 2023 a vu une augmentation significative des risques associés aux appareils de l’Internet des objets (IoT), et les smart TVs, en tant qu’éléments clés de cet écosystème, ne sont pas épargnées, 2024 ne fera que confirmer cette tendance. La prolifération de ces appareils augmente les chances pour les cybercriminels de lancer des attaques, rendant la vigilance et la mise en place de mesures de sécurité robustes plus importantes que jamais​

L’intelligence artificielle (IA) continue de remodeler le contexte des menaces, avec des cyberattaques de plus en plus sophistiquées. Cette évolution nécessite que les fabricants de smart TVs et les utilisateurs adoptent des stratégies de sécurité avancées pour contrer les menaces potentielles posées par l’IA générative​.

Parallèlement, l’importance d’une authentification forte est encore beaucoup trop sous-estimée. Dans un monde où les violations de données sont monnaie courante, l’utilisation de mots de passe solides et de systèmes d’authentification multi-facteurs est indispensable pour sécuriser nos appareils connectés​

Comprendre les risques et adopter les meilleures pratiques en matière de sécurité est essentiel pour protéger nos smart TVs et nos données personnelles.

Enfin, nous ne devons pas négliger les risques associés aux applications et services tiers utilisés sur nos smart TVs. La sélection d’applications fiables et la compréhension des implications de sécurité des services externes sont des aspects non-négligeables pour garantir la sécurité globale de nos appareils connectés​

En conclusion, rester informé et proactif en matière de cybersécurité est indispensable dans notre monde de plus en plus connecté. Les smart TVs, en tant que fenêtres sur le monde, nécessitent une attention et une protection particulière pour garantir notre sécurité et notre vie privée.

À l’approche des fêtes de fin d’année, l’attrait des appareils domestiques intelligents comme les enceintes connectées s’intensifie. Avant d’offrir ces appareils en cadeau, il est important de considérer leurs implications en termes de vie privée. Qu’il s’agisse de Google Nest, Amazon Echo ou Apple HomePod, ces appareils offrent certes de la commodité, mais soulèvent également d’importants enjeux de confidentialité.  En France, la CNIL alerte régulièrement sur ces dispositifs en raison de conditions d’utilisation abusives qui se cachent derrière. Quel danger représente une enceinte connectée ? Cet article explore les risques à connaître avant de placer une de ces enceintes sous votre sapin de Noël.

Alexa, tu m’écoutes ?