L'ingénierie sociale cible d'abord les personnes, pas les systèmes
De nombreux comptes sont piratés non pas parce que les plateformes sont compromises, mais parce que les utilisateurs sont induits à remettre leurs mots de passe, codes de vérification, informations de paiement ou droits d'accès. De faux services clients, des comptes d'amis, des administrateurs de plateformes, des employés de banque, des conseillers d'investissement et des notifications de marques peuvent tous être utilisés pour ce type d'induction.
Les fausses pages de connexion sont l'entrée la plus courante
L'interlocuteur peut envoyer des messages concernant des violations de compte, des vérifications de pages, des connexions anormales à Gmail, des confirmations de sécurité sur Telegram ou des réauthentifications sur WhatsApp. Les pages peuvent sembler officielles, avec HTTPS, mais tant que l'URL n'est pas le domaine principal officiel, les identifiants et mots de passe saisis peuvent être capturés par l'autre partie.
Les faux services clients utilisent la pression pour vous pousser à agir rapidement
La suspension de compte, le gel de fonds, l'annulation de commandes, les fuites de données et les vérifications de risque sont toutes des situations de pression courantes. Les véritables services clients d'une plateforme ne vous demanderont généralement pas de fournir votre mot de passe, code de vérification à deux facteurs, code de secours ou droits de contrôle à distance.
Le code de vérification n'est pas une donnée que le service client peut emprunter
Les codes de vérification par SMS, par email, les codes dynamiques d'applications d'authentification et les codes de secours sont tous des informations qui confirment que vous êtes bien la personne qui agit. Si vous fournissez ce code à quelqu'un d'autre, l'interlocuteur peut alors réussir à se connecter, modifier le mot de passe ou transférer le compte.
Les appels téléphoniques et les scénarios hors ligne peuvent aussi être de l'ingénierie sociale
Certaines personnes se présentant comme des employés de banques, de logistique, de départements de sécurité de plateformes ou de support technique peuvent vous demander de confirmer une transaction, de fournir des informations supplémentaires, d'installer des outils d'assistance à distance ou de partager votre écran ; cela implique également d'utiliser leur identité pour vous inciter à agir. Lorsque des données sensibles, des paiements, des outils à distance ou des codes de vérification sont concernés, vous devez toujours confirmer via des canaux officiels.
La clé pour prévenir l'ingénierie sociale n'est pas de comprendre davantage de technologies, mais de ne pas céder à la pression pour agir. Ne vous connectez pas via des liens inconnus, ne fournissez pas de codes de vérification, ne téléchargez pas d'outils à distance inconnus, et même les demandes suspectes d'amies doivent être confirmées par d'autres moyens.