Human Factors and Social Engineering in Cybersecurity: A Qualitative Case Study and ISO/Iec 27001-aligned Ethical Response Framework

La bataille invisible pour votre cerveau

Imaginez l'internet comme une ville immense et bouillonnante. Depuis des années, les urbanistes (les experts en cybersécurité) construisent des murs plus hauts, des portes plus solides et des verrous plus intelligents pour tenir les méchants à l'extérieur. Ils ont installé des pare-feu comme des douves et un chiffrement comme des coffres-forts inviolables. Mais il y a un problème : la ville possède une porte dérobée qu'aucune quantité d'acier ne peut verrouiller. Cette porte dérobée, c'est vous.

C'est le monde de l'ingénierie sociale. Au lieu de pirater le code d'un ordinateur, les attaquants piratent l'esprit humain. Ils utilisent des ruses, comme prétendre être votre patron, créer un faux sentiment d'urgence ou se faire passer pour un ami serviable pour vous inciter à remettre vos clés (mots de passe) ou à ouvrir une porte qu'ils ne devraient pas franchir. Cela fonctionne parce que cela exploite le fonctionnement naturel de notre cerveau : nous faisons confiance aux personnes qui semblent importantes, nous paniquons quand nous entendons le mot « urgent » et nous nous épuisons lorsque nous avons trop de choses à faire.

Pendant longtemps, les experts en sécurité ont pensé que la solution consistait simplement à dire aux gens : « Ne cliquez pas sur des liens bizarres ! » Mais ce document suggère que c'est comme dire à un nageur de « ne pas se noyer » sans lui apprendre à nager. La véritable question n'est pas de savoir si les gens sont imprudents ; c'est de savoir comment la pression de l'école, du travail et des échéances rend même les personnes intelligentes vulnérables. Cette étude plonge dans ce côté humain et complexe de la sécurité pour voir comment nous pouvons construire de meilleures défenses qui s'adaptent réellement à notre façon de penser et de ressentir.

---

L'histoire de la ville universitaire

Dans cette étude, une équipe de chercheurs de l'Université William V. S. Tubman au Libéria a décidé d'arrêter de deviner pour commencer à écouter. Ils voulaient comprendre comment différents groupes de personnes dans un cadre universitaire — le personnel informatique spécialisé, les étudiants en ingénierie et les débutants d'un programme de fondation — réagissent lorsqu'une personne tente de les tromper en ligne.

Imaginez l'université comme un immense navire. Le personnel de support informatique est l'équipe d'ingénieurs dans la salle des machines ; ils savent comment le navire fonctionne. Les étudiants en ingénierie sont les matelots apprenant à naviguer ; ils connaissent les outils mais sont encore occupés par leurs propres tâches. Les apprenants de la fondation sont les nouveaux passagers qui viennent de monter à bord ; ils ne connaissent pas encore les règles du navire.

Les chercheurs ont réuni ces trois groupes pour une série de « cercles de discussion » (groupes de discussion). Ils n'ont pas seulement demandé : « Êtes-vous prudents ? » Au lieu de cela, ils ont mis en scène des scénarios : Et si vous receviez un e-mail urgent du Doyen disant que votre compte sera supprimé dans cinq minutes ? Et si un « service d'assistance » vous appelait pour demander votre mot de passe ? Ils ont écouté ce que les participants disaient, ce qu'ils ressentaient et ce qu'ils feraient réellement.

Ce qu'ils ont découvert : Il n'y a pas de solution unique pour tous

La grande découverte est qu'il n'existe pas une seule « erreur humaine ». Différents groupes se font piéger de différentes manières, et la formation habituelle « universelle » en matière de sécurité échoue pour tout le monde.

1. Les ingénieurs dans la salle des machines (Personnel informatique)
Le personnel informatique en savait le plus sur la sécurité. Ils pouvaient repérer un faux e-mail à des kilomètres. Mais voici le tournant : ils étaient les plus épuisés par la formation à la sécurité. Imaginez être un pompier qui doit regarder la même vidéo de sécurité chaque semaine. Finalement, on finit par ne plus écouter. L'étude a révoti que, parce que ces membres du personnel sont bombardés de messages de sécurité, ils souffrent de « fatigue de formation ». Ils connaissent les règles, mais ils sont fatigués de les entendre, ce qui les rend moins alertes.

2. Les matelots occupés (Étudiants en ingénierie)
Les étudiants en ingénierie étaient en fait très doués pour repérer les ruses. Ils savaient vérifier l'adresse de l'expéditeur et chercher des liens bizarres. Cependant, ils étaient les plus susceptibles de commettre une erreur lorsqu'ils étaient stressés ou surchargés. Lorsqu'ils jonglaient entre les devoirs, les échéances et un flot d'e-mails, leur cerveau se fatiguait. Dans ce moment de « surcharge cognitive », même un étudiant intelligent pourrait cliquer sur le mauvais bouton juste pour terminer la tâche rapidement. Ils n'étaient pas imprudents ; ils étaient simplement trop occupés pour être prudents.

3. Les nouveaux passagers (Apprenants de la fondation)
Les débutants n'avaient pas le même niveau de connaissances techniques. Ils ne connaissaient pas les astuces sophistiquées pour repérer un faux e-mail. Mais ils n'étaient pas non plus victimes de « fatigue » car ils n'avaient pas encore été formés. L'étude suggère qu'ils ont besoin d'une aide différente : des blocs de construction simples et basiques. Ils doivent apprendre les toutes premières règles de la route avant de pouvoir gérer un trafic complexe.

Le mythe de la « faiblesse humaine » est mort

Le document s'oppose fermement à l'idée que les humains sont simplement « le maillon faible » de la chaîne. C'est comme blâmer une voiture pour avoir un pneu crevé alors que la route est jonchée de clous. Les chercheurs ont découvert que les gens ne sont pas naturellement imprudents ; ils sont des décideurs situés.

Si vous êtes fatigué, stressé ou si l'on vous dit que votre patron vous regarde, votre cerveau prend des raccourcis. Il fait confiance à la personne qui semble être une figure d'autorité. Il clique sur le bouton pour faire disparaître le problème « urgent ». L'étude montre que ces erreurs se produisent parce que l'environnement est configuré pour nous piéger, et non parce que nous sommes stupides.

Le nouveau plan d'action : Un bouclier personnalisé

Alors, quelle est la solution ? Les auteurs proposent un nouveau cadre qui s'aligne sur les normes internationales de sécurité (ISO/IEC 27001), mais avec un cœur humain. Au lieu d'envoyer le même e-mail ennuyeux à tout le monde, ils suggèrent une approche par paliers :

• Pour les débutants : Donnez-leur des leçons simples qui renforcent la confiance. Apprenez-leur les bases comme « ne partagez pas votre mot de passe » et « qui appeler si je suis confus ? ».
• Pour les étudiants occupés : Ne vous contentez pas de les faire cours. Donnez-leur des pratiques rapides et réalistes qui s'intègrent dans leur vie bien remplie. Apprenez-leur à faire une pause et à vérifier lorsqu'ils sont stressés.
• Pour les experts informatiques : Arrêtez la formation répétitive. Donnez-leur des défis avancés et intéressants qui semblent réels et qui sont liés aux problèmes concrets auxquels ils font face. Maintenez leur engagement pour qu'ils ne décrochent pas.

Le cadre met également l'accent sur la surveillance éthique. Cela signifie que si l'université suit qui clique sur un faux lien de test, elle ne doit pas punir cette personne. Au lieu de cela, elle doit utiliser cela comme un moment d'apprentissage. C'est comme un entraîneur qui aide un joueur à s'améliorer, et non un arbitre qui l'éjecte du terrain.

L'essentiel

Cette étude suggère que pour gagner la bataille contre les hackers qui piègent les gens, nous devons arrêter de traiter les humains comme des robots cassés qu'il faut réparer. Nous devons les traiter comme des êtres humains qui se fatiguent, stressent et sont occupés. En comprenant qu'un étudiant stressé, un travailleur informatique fatigué et un nouvel apprenant ont tous besoin de types de soutien différents, les universités (et les entreprises) peuvent construire un système de sécurité qui fonctionne réellement.

Les chercheurs admettent que ce n'est que le début. Ils ont étudié une seule université avec un petit groupe de personnes, donc leurs conclusions sont une suggestion forte, et non une loi définitive de la physique. Mais le message est clair : si nous voulons être en sécurité en ligne, nous devons concevoir nos défenses pour qu'elles s'adaptent à la réalité désordonnée, merveilleuse et parfois fatiguée d'être humain.