Qu'est-ce que le pretexting ?

Le prétexte est courant dans les attaques de phishing ciblées telles que le phishing ciblé, qui cible une personne en particulier, et le whaling, qui cible un dirigeant ou un employé ayant un accès privilégié à des informations ou des systèmes sensibles.  

Mais le pretexting joue également un rôle dans les escroqueries par hameçonnage non ciblé, c’est-à-dire envoyé au plus grand nombre de personnes possible, que ce soit par e-mail, SMS ou appel vocal.

Par exemple, un escroc pourrait envoyer un SMS tel que « [NOM DE LA BANQUE MONDIALE ICI] : votre compte est à découvert » à des millions de personnes, en espérant qu’un certain pourcentage des destinataires soient clients de la banque, et qu’un certain pourcentage de ces clients répondront au message. Même un faible pourcentage de victimes peut représenter une grosse somme pour les escrocs.

Dans ce type d’attaques, un criminel incite les victimes à télécharger des logiciels malveillants en les attirant avec un appât alléchant, mais compromis. L’appât peut être physique, comme une clé USB contenant un code malveillant et laissée bien en vue dans un lieu public. L’appât peut également être numérique, comme la publicité de téléchargements gratuits de films qui s’avèrent être des logiciels malveillants. 

Les escrocs utilisent souvent des techniques de pretexting pour rendre l’appât plus attrayant. Par exemple, un escroc pourrait apposer des étiquettes sur une clé USB compromise pour suggérer qu’elle appartient à une entreprise particulière et contient des fichiers importants.

Le pretexting peut également être utilisé pour les escroqueries en personne, telles que le tailgating. Le tailgating (ou « talonnage ») (voir aussi la variante appelée « piggybacking ») désigne le fait qu’une personne non autorisée suive de près une personne autorisée dans un lieu physique nécessitant une autorisation, comme un immeuble de bureaux sécurisé. Les escrocs utilisent le pretexting pour améliorer la réussite de leurs tentatives de tailgating, par exemple en se faisant passer pour un livreur et en demandant à un employé peu méfiant de lui ouvrir une porte fermée à clé.

Dans cette cyberattaque, l’escroc se fait passer pour un représentant d’une entreprise alertant la victime d’un problème avec son compte, comme des informations de facturation expirées ou un achat suspect. L’escroc inclut un lien qui conduit la victime vers un faux site Web qui dérobe ses identifiants de connexion, ses informations de carte de crédit, son numéro de compte bancaire ou son numéro de sécurité sociale.

La compromission des e-mails professionnels (BEC) est un type d’attaque d’ingénierie sociale ciblée qui repose largement sur le pretexting. 25 % des attaques BEC (lien externe à ibm.com) commencent désormais par du pretexting. 

Dans ce type d’escroquerie, le personnage est un cadre d’entreprise réel ou un associé de haut niveau ayant de l’autorité ou de l’influence sur la cible. Comme l’escroc se fait passer pour une personne en position de pouvoir, de nombreuses cibles se contenteront d’obtempérer.

La situation est le besoin d’aide du personnage pour une tâche (presque toujours) urgente. Par exemple, « Je suis coincé dans un aéroport et j’ai oublié mon mot de passe pour le système de paiement. Pouvez-vous me le rappeler ? » ou « Pouvez-vous virer XXX,XXX USD sur le compte bancaire N° YYYYY pour payer la facture ci-jointe ? Vite, avant qu’ils ne résilient notre service. »

En se faisant passer pour un patron par le biais de SMS, d’e-mails, d’appels téléphoniques et même de vidéos générées par l’IA, les escrocs peuvent souvent inciter les employés à exposer des informations sensibles ou même à commettre des délits.

Dans un cas célèbre, une conférence en ligne préenregistrée (et générée par l’IA) s’est terminée par des instructions données par de faux cadres supérieurs qui ont convaincu un employé de transférer 200 millions de dollars de Hong Kong aux attaquants.⁴

Année après année, la BEC se classe parmi les cybercrimes et les techniques d’ingénierie sociale les plus coûteux. Selon le rapport 2023 sur le coût d’une violation de données d’IBM, les violations de données causées par des attaques BEC coûtent en moyenne 4,88 millions de dollars aux victimes. 

Selon les données de l’Internet Crime Complaint Center du FBI, les pertes totales subies par les victimes de BEC s’élèveront à près de 2,9 milliards de dollars en 2023.³

Le fraudeur se fait passer pour un investisseur prospère ayant une opportunité infaillible en matière de cryptomonnaies et dirige la victime vers une fausse bourse de cryptomonnaies, où les informations financières ou l’argent de la victime sont dérobés. 

Dans une variante à long terme de cette escroquerie, appelée « pig butchering » (boucherie de porcs), le fraudeur cultive une relation avec la victime et gagne sa confiance grâce aux médias sociaux. Ensuite, l’escroc présente une « opportunité commerciale » à la victime, qui est dirigée vers un site de cryptomonnaie pour effectuer des dépôts. Le site peut même déclarer à tort des gains de valeur de l’investissement, mais la devise ne peut jamais être retirée.⁵ 

Comme beaucoup d’escroqueries d’ingénierie sociale, elles s’adressent souvent à des personnes âgées. Le cybercriminel se fait passer pour le petit-fils ou la petite-fille de la victime et prétend être en difficulté (par exemple, il/elle a eu un accident de voiture ou a été arrêté[e]) et a besoin que ses grands-parents lui envoient de l’argent pour payer les frais d’hospitalisation ou la caution. 

La victime ciblée reçoit une facture pour un service ou un produit qu’elle n’a pas commandé ou utilisé. L’escroc veut souvent que la victime clique sur un lien dans un e-mail pour demander plus d’informations ou se plaindre des frais. On demande ensuite à la victime de fournir des données personnelles (PII) pour vérifier son compte. Ces informations privées sont ce que l’escroc recherchait dès le début.

L’escroc se fait passer pour des responsables de l’Internal Revenue Service (IRS), des agents de l’application de la loi ou d’autres représentants du gouvernement, prétendant que la cible est en difficulté. Il peut s’agir d’un défaut de paiement d’impôts ou d’un mandat d’arrêt. En général, l’escroc demande à la personne visée d’effectuer un paiement pour éviter une arrestation, un privilège hypothécaire ou une saisie de salaire. Bien sûr, le paiement est versé sur le compte de l’escroc. 

Un demandeur d’emploi pourrait être prêt à divulguer des informations normalement sensibles à un employeur potentiel. Mais si la description du poste est fausse et publiée par un escroc, le candidat risque d’être victime d’une usurpation d’identité.

L’escroc prétend chercher une relation amoureuse avec la victime. Après avoir conquis le cœur de la victime, l’escroc lui demande généralement de l’argent qui supprimera un dernier obstacle à leur (ré)union. Cet obstacle peut être une dette paralysante, une obligation légale ou même le coût d’un billet d’avion pour rendre visite à la victime.

Les scarewares (ou « logiciels alarmants ») sont une escroquerie d’ingénierie sociale qui se sert de la peur pour pousser les gens à télécharger des logiciels malveillants, à dépenser de l’argent ou à transmettre des données personnelles. 

Le prétexte effrayant peut être une fausse alerte de virus, une fausse offre d’assistance technique ou une escroquerie des forces de l’ordre. Une fenêtre contextuelle peut avertir la victime que du « matériel illégal » a été trouvé sur son appareil numérique, ou un « test de diagnostic » en ligne peut lui indiquer que son appareil est compromis et qu’elle doit télécharger un (faux) logiciel antivirus pour le réparer. 

Le DMARC est un protocole d’authentification des e-mails qui aide à empêcher l’usurpation d’identité. En analysant le texte et les métadonnées des messages à la recherche d’indicateurs courants de compromission, le DMARC vérifie si un e-mail a été envoyé par le domaine dont il prétend provenir. Si un e-mail est usurpé, il peut être automatiquement redirigé vers un dossier spam ou supprimé.

Dans la mesure où le pretexting manipule les gens pour qu’ils compromettent leur propre sécurité, la formation des employés à la détection et à la réponse adéquate aux escroqueries par pretexting peut contribuer à protéger une organisation. Les experts recommandent de réaliser des simulations basées sur des exemples concrets de pretexting pour aider les employés à faire la différence entre le pretexting et les demandes légitimes de leurs collègues.  

La formation peut également inclure des protocoles clairs pour des mesures d’authentification strictes telles que l’authentification à étapes (MFA), le traitement d’informations précieuses, l’autorisation de paiements et la vérification des demandes auprès de leurs sources supposées avant d’y donner suite. 

La vérification peut consister tout simplement à envoyer un SMS à l’expéditeur présumé : « M’avez-vous envoyé ceci ? » ou un message au service d’assistance : « Est-ce que cela ressemble à un pirate informatique ? » Les procédures relatives aux transactions financières peuvent inclure l’obligation de valider les demandes entrantes en personne ou par le biais d’un contact personnel direct.