An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering

Chaque jour, les gens font des choix sur ce qu'ils doivent cliquer, ce qu'ils doivent ouvrir et ce qu'ils doivent croire. Dans le monde de la cybersécurité, ces choix constituent la première ligne de défense. Les attaquants n'ont pas toujours besoin de briser des codes informatiques complexes ; souvent, ils ont simplement besoin de tromper une personne pour qu'elle remette un mot de passe ou télécharge un virus. Cette méthode de manipulation est appelée ingénierie sociale. Elle repose sur l'exploitation du fonctionnement de l'esprit humain, en utilisant des déclencheurs psychologiques spécifiques pour contourner la prudence. Certains de ces déclencheurs sont des émotions familières comme la peur ou la promesse d'une récompense, tandis que d'autres sont des habitudes sociales comme obéir à un patron ou faire confiance à une marque bien connue. Comprendre quel déclencheur émotionnel fonctionne le mieux avec quel type de message est crucial, car cela aide les organisations à enseigner à leurs employés comment repérer le piège avant qu'il ne se referme.

Une équipe de chercheurs en Allemagne s'est donné pour mission de cartographier ces pièges. Ils voulaient savoir si certains déclencheurs émotionnels fonctionnaient mieux avec certains types de messages. Par exemple, est-ce que la promesse d'argent gratuit fonctionne mieux dans un SMS ou dans un e-mail ? Est-ce que la peur d'un compte bancaire gelé fonctionne mieux par téléphone ou via une fenêtre contextuelle (pop-up) ? Pour trouver les réponses, les chercheurs ont mené une expérience contrôlée en laboratoire. Ils ont réuni douze volontaires et leur ont présenté une série d'attaques simulées. Chaque participant a vu vingt-cinq scénarios différents. Ces scénarios ont été créés en mélangeant cinq types de messages différents avec cinq déclencheurs psychologiques différents. Les types de messages comprenaient des e-mails standards, des e-mails ciblés qui semblaient provenir d'une personne spécifique, des messages texte, des appels vocaux et des fenêtres contextuelles apparaissant sur un écran. Les déclencheurs psychologiques étaient la curiosité, l'avidité, la confiance, la peur et le sentiment d'obéir à une figure d'autorité.

Les chercheurs n'ont pas demandé aux volontaires de cliquer réellement sur des liens ou de donner de vraies informations. Au lieu de cela, ils leur ont montré des images des messages ou diffusé des enregistrements des appels et leur ont posé une question simple : réagiriez-vous à ceci ? Les volontaires ont également expliqué leur pensée à voix haute en examinant les scénarios. Cela a permis aux chercheurs de voir non seulement ce que les gens faisaient, mais aussi pourquoi ils faisaient ces choix. L'étude était de petite taille et s'est déroulée dans une pièce calme, les résultats sont donc un premier aperçu de la manière dont ces facteurs interagissent plutôt qu'une règle finale pour le monde entier.

Les résultats ont révélé un schéma clair dans la façon dont les gens réagissent. La combinaison la plus réussie pour tromper les volontaires était un e-mail ciblé promettant une récompense financière. Lorsqu'un e-mail semblait provenir d'une personne spécifique et offrait une offre, trois participants sur quatre ont déclaré qu'ils y répondraient. Cela suggère que la combinaison d'une attention personnelle et de la promesse d'argent est un appât puissant. La deuxième méthode la plus efficace était un e-mail standard qui soit promettait une récompense, soit demandait au destinataire de faire confiance à l'expéditeur, comme un message prétendant provenir d'un service de streaming. Dans ces cas, plus de la moitié des volontaires ont dit qu'ils interagiraient avec le message.

Cependant, toutes les combinaisons n'ont pas fonctionné. Les chercheurs ont découvert que certaines méthodes échouaient presque totalement. Lorsque les attaquants tentaient d'utiliser l'autorité d'un patron pour exiger une action urgente, cela ne fonctionnait que rarement, surtout si le message arrivait par un appel téléphonique, un SMS ou une fenêtre contextuelle. En fait, lorsqu'un appel vocal tentait d'utiliser la curiosité pour inciter une personne à écouter, il échouait complètement ; aucun des volontaires n'a dit qu'il répondrait à ce scénario spécifique. Les volontaires ont expliqué qu'ils trouvaient ces canaux inappropriés pour le type de requête. Par exemple, ils estimaient qu'un patron ne téléphonerait pas pour demander le téléchargement d'un fichier, ou qu'une entreprise n'enverrait pas de SMS concernant un dossier partagé.

L'étude a également montré que le type d'émotion importait. La peur est un puissant moteur, mais elle a un double tranchant. Lorsqu'un message affirmait qu'un compte bancaire était gelé, beaucoup de gens ressentaient l'envie de régler le problème, mais un groupe encore plus important se sentait suspect et refusait de cliquer par crainte pour leur sécurité. L'avidité, en revanche, est un moteur plus direct. Lorsqu'un message offrait une réduction ou une offre, les gens étaient plus enclins à agir, à condition que le message paraisse légitime. La confiance jouait également un rôle majeur ; lorsqu'un message semblait provenir d'une entreprise familière comme un service de streaming, les gens étaient prêts à cliquer, mais seulement si le message arrivait dans un format qu'ils attendaient, comme un e-mail.

Il est intéressant de noter que les chercheurs ont découvert que la confiance d'une personne en sa propre sécurité numérique ne correspondait pas toujours à son comportement. Certains volontaires qui disaient être très sûrs de gérer les risques numériques sont tout de même tombés dans les pièges, tandis que d'autres, qui se disaient peu sûrs, se montraient en réalité plus prudents. Cela suggère que se sentir en sécurité ne signifie pas être en sécurité. L'étude a également souligné que les appels vocaux et les SMS étaient généralement moins efficaces que les e-mails. Les volontaires étaient naturellement plus méfiants envers les appels téléphoniques et les SMS, citant souvent que ces canaux semblaient inappropriés pour le type de requête formulée.

En fin de compte, la recherche brosse le portrait d'une vulnérabilité humaine qui est spécifique et situationnelle. Il ne s'agit pas seulement d'être crédule ; il s'agit de contexte. Un message qui fonctionne dans un format peut échouer dans un autre, et une promesse d'argent fonctionne mieux qu'un ordre venant d'un patron. Les attaques les plus efficaces étaient celles qui combinaient un format familier et de confiance avec un fort levier émotionnel. Bien que l'étude soit de petite taille, elle fournit une carte claire de quels déclencheurs psychologiques sont les plus dangereux dans quels environnements numériques, offrant ainsi un guide pour construire de meilleures défenses et une meilleure sensibilisation pour l'avenir.