Parcours
Qu’est-ce que la cybercitoyenneté responsable?
Cyberincidents
Dans un environnement numérique en constante évolution, les cyberincidents sont fréquents et peuvent avoir des répercussions significatives sur les individus et les organisations.l
Cette section présente deux exemples illustrant les manières dont les cybermenaces arrivent à exploiter des vulnérabilités, et des méthodes pour s’en protéger. Les deux incidents sont fictifs, mais reflètent des cybermenaces et des vulnérabilités courantes.
Que nous révèle cet incident?
Types de cybermenace
Il s’agit ici d’hameçonnage 
, c’est-à-dire l’envoi d’un message trompeur afin d’induire la victime en erreur et l’inciter à révéler des informations sensibles à son insu. De plus, on remarque l’utilisation d’une autre cybermenace dans le message : le piratage psychologique .
La ou le cyberpirate cherche à provoquer un sentiment d’urgence afin que Sophie réponde rapidement à ses exigences (cliquer sur l’hyperlien et fournir son nom d’utilisateur et son mot de passe).
Le terme hameçonnage a été proposé par l’Office québécois de la langue française en avril 2004. En France, il est recommandé officiellement par la Commission d’enrichissement de la langue française depuis 2021.
L’emprunt intégral à l’anglais « phishing » est déconseillé parce qu’il n’est pas légitimé dans l’usage en français au Québec. (Vitrine linguistique)
Les termes piratage psychologique et fraude psychologique ont été proposés par l’Office québécois de la langue française en juin 2007.
L’emploi du terme ingénierie sociale, calqué sur l’anglais « social engineering », est déconseillé puisqu’il n’évoque pas les aspects de tromperie et de malveillance inhérents au concept. (Vitrine linguistique)
Vulnérabilité exploitée
L’hameçonnage et le piratage psychologique visent à exploiter la vulnérabilité humaine, en jouant sur la crédulité, la précipitation ou l’émotion des victimes.
Dans le cas présenté plus haut, Sophie divulgue ses informations de connexion par souci de répondre rapidement et adéquatement à une demande du département informatique.
Mesures de sécurité possibles pour Sophie :
Pour diminuer le risque d’un vol d’identifiants de connexion et d’une usurpation d’identité, Sophie devrait :
Apprendre à reconnaitre les messages d’hameçonnage et les méthodes de piratage psychologique
Voici quelques indices :
- Un message alarmiste ou trop beau pour être vrai. Le message que Sophie reçoit est alarmiste : elle craint de perdre ses accès aux systèmes de son entreprise faute d’action immédiate.
- Un hyperlien qui ne correspond pas au site officiel. Par exemple, « https://google.com/… » est un hyperlien qui aurait mené à l’extérieur du site de la compagnie de chaussures.
- Une demande de renseignements personnels ou de paiement. Sophie doit fournir son nom d’utilisateur et son mot de passe, ce qui est anormal.
- Un message truffé de fautes d’orthographe et de grammaire (cet indice est de moins en moins fréquent en raison du recours à l’IA).
Toujours vérifier l’expéditeur d’un courriel ou d’un texto suspect
Voici des détails à observer :
- L’adresse utilisée ressemble à celle de l’entreprise légitime, mais avec de légères différences, par exemple « service-client@viza.com », où la lettre « s » est remplacée par un « z » dans le nom de la compagnie Visa.
- L’adresse d’une organisation prétendument reconnue semble générique, par exemple « clients-VISA@gmail.com ». Une institution comme Visa n’utiliserait jamais un courriel Gmail pour son service à la clientèle.
- Un moyen de communication illogique : dans le cas de Sophie, il est peu probable que le département informatique de son employeur la contacte par texto. De plus, l’indicatif régional 613 correspond à la région d’Ottawa. Le numéro de téléphone officiel d’une compagnie de Montréal ne proviendrait pas d’une autre région.
Rechercher l’expéditeur ou l’URL dans un moteur de recherche comme Google et vérifier si l’adresse de l’expéditeur correspond bien au site officiel de l’organisation
- Sur un ordinateur, passer la souris sur le lien pour voir l’URL réelle. Sur un téléphone cellulaire, appuyer longuement sur le lien (sans le cliquer) pour faire apparaitre l’adresse complète.
Activer l’authentification à deux facteurs sur les comptes confidentiels
- Un mot de passe jumelé à un code généré par une application d’authentification limite le risque d’un accès non autorisé.
Que nous révèle cet incident?
Types de cybermenaces
Cet incident de sécurité constitue un exemple de menace interne. L’inattention d’Ana a facilité l’entrée d’une personne non autorisée. L’accès par un ancien employé à la salle des serveurs est une intrusion physique. Cette intrusion physique facilite l’intrusion informatique : une fois dans la salle des serveurs, l’ancien employé accède sans permission aux systèmes d’information du cabinet. Le logiciel malveillant, une autre cybermenace, permet à l’ancien employé de copier des renseignements personnels du patron.
Vulnérabilité exploitée
L’ancien employé exploite d’abord la vulnérabilité humaine, soit l’inattention d’Ana. Ensuite, il exploite des vulnérabilités liées à l’environnement physique, soit une salle des serveurs inadéquatement protégée. Il exploite également des vulnérabilités liées à l’organisation : des pratiques TI et des politiques organisationnelles inadéquates ont facilité son stratagème.
Mesures de sécurité possibles pour l’employeur d’Ana
Pour atténuer le danger que posent les menaces internes et les intrusions physiques, une organisation peut implanter plusieurs mesures de sécurité. Le cabinet pourrait :
- sensibiliser le personnel à la nécessité de signaler la présence de tout individu non autorisé;
- conscientiser le personnel à l’entrée (gardien de sécurité, réceptionniste, etc.) à l’importance de la surveillance des accès physiques et de la vérification de l’identité de tout individu;
- restreindre l’accès aux infrastructures de haute importance par des systèmes de contrôle d’identité (tourniquet, serrure à clé, carte d’accès, code d’accès, identification biométrique, etc.);
- installer un système de vidéosurveillance pour dissuader les intrusions physiques.
Quant au vol de données à l’aide d’un logiciel malveillant contenu sur une clé USB, le cabinet pourrait :
- restreindre ou bloquer l’accès aux ports USB en les désactivant via le Gestionnaire de périphériques Windows ou même le Registre Windows;
- mieux encore, utiliser un logiciel de sécurité spécialisé qui gère les ports USB en fonction de règles d’affaires spécifiques. Ainsi, l’exfiltration de données est plus complexe parce qu’elle requiert l’utilisation du réseau de l’organisation, normalement déjà protégé;
- installer un anti-logiciel malveillant pour détecter les logiciels malveillants.
Le préfixe anti est normalement soudé à l’élément qui suit (par exemple, anticorruption).
Or, le trait d’union est requis lorsque l’élément qui suit est un sigle, un nom propre ou un nom composé, ou encore, lorsqu’il commence par « i ». (Vitrine linguistique)
Ici, logiciel malveillant est considéré comme une locution. Anti vient s’apposer à cette locution, et non au nom logiciel seulement, ce qui explique le trait d’union.
