#NoHacked : Comment reconnaître et se protéger contre l'ingénierie sociale

Lundi 3 août 2015

Aujourd’hui, dans le cadre de notre campagne #NoHacked, nous parlerons de l’ingénierie sociale. Suivez les discussions sur Twitter et
Google+
en utilisant le hashtag #nohacked. (Partie 1)

Si vous avez passé un peu de temps sur le Web, vous avez très probablement rencontré une forme de
l’ingénierie sociale. L’ingénierie sociale tente d’extraire des informations confidentielles de votre part en vous manipulant ou en vous trompant d’une manière ou d’une autre.

Phishing

Vous connaissez peut-être le phishing, l’une des formes les plus courantes d’ingénierie sociale. Les sites et les e-mails de phishing imitaient des sites légitimes et vous incitent à saisir des informations confidentielles telles que votre nom d’utilisateur et votre mot de passe sur ces sites. Un
étude récente de Google
a révélé que certains sites de phishing peuvent piéger les victimes 45 % du temps ! Une fois qu’un site de phishing a obtenu vos informations, celles-ci seront soit vendues, soit utilisées pour manipuler vos comptes.

Autres formes d’ingénierie sociale

En tant que propriétaire de site, le phishing n’est pas la seule forme d’ingénierie sociale contre laquelle vous devez vous protéger. Une autre forme d’ingénierie sociale provient des logiciels et des outils utilisés sur votre site. Si vous téléchargez ou utilisez un
Système de Gestion de Contenu
(CMS), des plugins ou des add-ons, assurez-vous qu’ils proviennent de sources réputées, comme directement du site du développeur. Les logiciels provenant de sites non réputés peuvent contenir des exploits malveillants permettant aux pirates d’accéder à votre site.

Par exemple, la webmaster Wanda a récemment été engagée par Brandon’s Pet Palace pour aider à créer un site. Après avoir esquissé quelques conceptions, Wanda commence à compiler le logiciel dont elle a besoin pour construire le site. Cependant, elle découvre que Photo Frame Beautifier, l’un de ses plugins préférés, a été retiré du site officiel des plugins CMS et que le développeur a décidé d’arrêter de le prendre en charge. Elle effectue une recherche rapide et trouve un site qui propose une archive d’anciens plugins. Elle télécharge le plugin et l’utilise pour terminer le site. Deux mois plus tard, une notification dans Search Console avertit Wanda que le site de son client a été piraté. Elle s’empresse de corriger le contenu piraté et trouve la source de la compromission. Il s’avère que le plugin Photo Frame Beautifier a été modifié par un tiers pour permettre à des parties malveillantes d’accéder au site. Elle a supprimé le plugin, corrigé le contenu piraté, sécurisé son site contre de futures attaques et soumis une demande de réexamen dans Search Console. Comme vous pouvez le voir, un oubli involontaire de Wanda a conduit à la compromission du site de son client.

Se protéger contre les attaques d’ingénierie sociale

L’ingénierie sociale est efficace car il n’est pas évident qu’il y ait un problème dans ce que vous faites. Cependant, vous pouvez faire quelques gestes fondamentaux pour vous protéger contre l’ingénierie sociale.

• Restez vigilant : Chaque fois que vous saisissez des informations confidentielles en ligne ou que vous installez un logiciel de site Web, faites preuve d’un saine dose de scepticisme. Vérifiez les URL pour vous assurer que vous ne saisissez pas d’informations confidentielles sur des sites malveillants. Lors de l’installation de logiciels pour sites Web, assurez-vous qu’ils proviennent de sources connues et réputées, comme le site du développeur.
• Utilisez l’authentification à deux facteurs : L’authentification à deux facteurs comme celle de Google
  Validation en 2 étapes ajoute une couche de sécurité supplémentaire qui aide à protéger votre compte même si votre mot de passe a été volé. Vous devez utiliser l’authentification à deux facteurs sur tous les comptes possibles. Nous reparlerons plus en détail la semaine prochaine des avantages de l’authentification à deux facteurs.

Ressources supplémentaires sur l’ingénierie sociale :

• En savoir plus sur
  comment se protéger contre les attaques de phishing
• Signaler une page de phishing
• Éviter et signaler les escroqueries Google
• Identifier les e-mails de « phishing » et de « spoofing »

Si vous avez des questions supplémentaires, vous pouvez les publier dans les
Forums d’aide pour webmasters
où une communauté de webmasters peut vous aider à répondre à vos questions. Vous pouvez également rejoindre notre
Hangout on Air sur la sécurité
le 26 août.

Publié par Eric Kuan, spécialiste des relations avec les webmasters et Yuan Niu, analyste du webspam