Exercices: Arnaques et attaques visant les personnes

Expliquer ce qu'est le phishing (hameçonnage) et ce que demande presque toujours à la fin un message de phishing, quelle que soit l'histoire qu'il raconte.

Vous recevez ce SMS : « Votre colis n'a pas pu être livré. Réglez $0,99\ \text{€}$ de frais de douane ici : colis-douane.info ». Relever au moins deux détails du message qui doivent vous rendre méfiant et expliquer ce qui se produirait probablement en payant.

La figure montre un courriel qui usurpe l'identité d'une banque, avec trois signes d'arnaque déjà indiqués et un élément supplémentaire signalé par un point d'interrogation.

Expliquer pourquoi chacun des trois signes indiqués trahit l'arnaque et ce qu'il faudrait vérifier à propos de l'élément signalé par ? avant de cliquer sur quoi que ce soit.

Pourquoi les messages de phishing imitent-ils presque toujours des marques très connues (banques, entreprises de livraison, plateformes vidéo) ? Expliquer ce que l'attaquant obtient en se faisant passer pour une marque en laquelle les gens ont déjà confiance.

Expliquer la différence entre courrier indésirable (spam publicitaire) et phishing, donner un exemple inventé de chacun et décrire ce qu'il convient de faire avec chaque type de message.

Écrire un exemple inventé de message de phishing destiné à des adolescents (le thème de votre choix : concerts, jeux, bourses) et repérer dans son propre texte les trois pièges mis en place pour tromper le lecteur.

Dans un chat de support technique, un « agent » vous demande votre mot de passe « pour vérifier votre identité ». Expliquer pourquoi aucun service légitime ne demande jamais le mot de passe par chat, courriel ou téléphone, et rédiger la réponse que vous donneriez.

Expliquer en quoi consiste un compte cloné sur un réseau social, comment on en fabrique un (même photo, nom avec un point ou un tiret en plus) et quels deux signes révèlent que ce n'est pas le compte original de votre ami.

Un compte portant le nom et la photo de votre cousine vous écrit pour demander de l'argent de toute urgence à cause d'un problème. Expliquer quelles vérifications vous feriez avant de répondre et pourquoi le nom et la photo d'un compte ne garantissent pas qui se cache derrière.

Définir ce qu'est l'ingénierie sociale et l'appliquer à ce cas : une personne appelle à la maison en se faisant passer pour un technicien du fournisseur d'accès à internet et demande d'installer un programme « pour réparer la connexion ». Indiquer quelles techniques de persuasion elle utilise et comment votre famille devrait agir.

Un courriel annonce que vous avez gagné un téléphone lors d'un tirage au sort auquel vous ne vous souvenez pas avoir participé ; pour vous l'« envoyer », on vous demande votre nom complet, votre adresse et une photo de votre carte d'identité. Analyser quelles données on cherche à obtenir, à quoi elles pourraient servir ensuite et ce que vous devriez faire de ce courriel.

Dans la zone de stationnement payant de votre ville, le panneau officiel comporte un QR code pour payer, mais quelqu'un a collé par-dessus un autocollant avec un autre code, comme le montre la figure.

Expliquer quel risque présente le paiement en scannant le code signalé par ?, comment vous vérifieriez quel est le système de paiement officiel et quelle alternative sûre existe pour payer sans utiliser ce code.

Vous recevez un courriel qui semble envoyé depuis votre propre adresse : il affirme vous avoir filmé avec la caméra et demande de l'argent pour ne pas diffuser les images. Expliquer comment il est possible de falsifier l'expéditeur d'un courriel, pourquoi cette arnaque repose sur la peur et la honte, et ce qu'il faut faire — et ne pas faire — en le recevant.

Un influenceur annonce un « concours » pour gagner des écouteurs : pour participer, il faut suivre plusieurs comptes, remplir un formulaire avec ses données et payer des « frais d'envoi ». Analyser quels trois objectifs distincts l'organisateur atteint avec chaque exigence et pourquoi le lot n'existe probablement pas.

Votre mère reçoit un message : « Maman, j'ai perdu mon téléphone, voici mon nouveau numéro. J'ai besoin que tu me fasses un virement urgent ». Expliquer la tactique du « fils en détresse », quelle vérification déjouerait l'arnaque immédiatement et quelle règle familiale (par exemple, un mot-clé convenu à l'avance) vous proposeriez.

Comparer l'objectif final de trois arnaques : un phishing bancaire, un faux concours qui demande une photo de la carte d'identité et un compte cloné qui demande de l'argent à vos proches. Que cherche à obtenir chacune d'elles et qu'ont-elles en commun lors de leur première phase de contact ?

Dans une entreprise, le service financier reçoit ce courriel : « Bonjour Charles, je suis en réunion avec des clients et un paiement imprévu à un fournisseur clé est survenu, pour 4 850,00 €. Vire-le avant 14 h 00 sur cet IBAN ; je joindrai la facture plus tard. Ne m'appelle pas, car je ne peux pas décrocher. Cordialement, Manon (Directrice) ». Le courriel provient de 'manon.directrice@entreprise-paiements.fr' au lieu de 'manon@entreprise.fr'. Bien qu'il dispose d'un antivirus à jour sur son poste, Charles effectue le paiement.

1. a) Justifier techniquement pourquoi aucun antivirus client n'a pu bloquer cette attaque.
2. b) Concevoir un protocole administratif et technique d'autorisation des paiements (en utilisant une vérification hors bande ou un double facteur) qui rende cette arnaque irréalisable, en garantissant que Charles ne dépende pas uniquement de son intuition.

Analyser le tableau suivant, qui présente trois attaques subies par le personnel d'un établissement scolaire :

1. SMS de l'expéditeur 'LA POSTE' signalant un colis retenu, avec le lien 'bit.ly/paq-34'.

2. Appel d'un prétendu technicien du rectorat demandant à voix haute le code SMS qui vient d'arriver sur le téléphone du chef d'établissement pour « mettre à jour le pare-feu de l'établissement ».

3. Courriel de 'soporte@educa-madrid.org' (le domaine officiel est 'educa.madrid.org') avec une pièce jointe 'actualizacion.pdf.exe'.

1. a) Expliquer quelle limite technique de la téléphonie traditionnelle permet de falsifier aussi facilement l'identifiant d'appel (CLI) ou l'expéditeur alphanumérique dans le smishing et le vishing, par rapport au courrier électronique.
2. b) Prévoir ce qui se passerait si le chef d'établissement donne le code dans le cas 2 et justifier pourquoi le second facteur d'authentification (2FA) par SMS est annulé dans cette attaque d'ingénierie sociale.

Observer ces quatre liens reçus dans un message d'une messagerie instantanée :

1. https://banco-santander.seguridad-acceso.com/login

2. https://www.bancosantander.es/es/particulares

3. https://www.banc0santander.es/acceso

4. https://bit.ly/3xK9LqP (lien raccourci dont la destination réelle cachée est http://santander.login.ru)

1. a) Décomposer la structure du lien 1 (protocole, sous-domaine, domaine principal et chemin) et démontrer à quel serveur réel la victime se connecterait en cliquant.
2. b) Expliquer la procédure technique exacte pour vérifier la destination réelle du lien 4 sans l'ouvrir, aussi bien dans un navigateur d'ordinateur que sur un téléphone mobile.
3. c) Justifier pourquoi le lien 3 est un exemple de « typosquatting » et quel risque supplémentaire il présente sur les écrans de téléphone avec des polices compressées.

Dans un groupe de messagerie scolaire, le message suivant, envoyé par un camarade, devient viral : « Ils offrent des baskets de marque pour leur anniversaire ! Va sur www.marca-promocion.com/regalo, réponds à 3 questions et transfère ce message à 5 groupes pour recevoir ton bon ». Le site demande d'autoriser les notifications du navigateur et d'installer un profil de configuration sur le téléphone pour « valider le bon ».

1. a) Expliquer le mécanisme d'ingénierie sociale que l'attaquant exploite pour que ce soient les victimes elles-mêmes qui diffusent l'arnaque de manière organique, sans avoir piraté leurs comptes.
2. b) Prévoir techniquement quels risques prend un utilisateur en acceptant l'installation d'un profil de configuration inconnu sur son téléphone mobile.
3. c) Concevoir une liste de 3 règles techniques de filtrage que tout utilisateur devrait appliquer avant de transférer un lien reçu dans un groupe, en évaluant l'URL, les incitations et les autorisations demandées.

Analyser la chronologie suivante d'un incident de sécurité :

• 10 h 15 : la victime reçoit un SMS de sa banque (« ALERTE : prélèvement non autorisé de 250,00 €. Si vous ne le reconnaissez pas, annulez-le d'urgence sur https://banco.atencion-fraude.com »).

• 10 h 17 : elle clique sur le lien (avec cadenas HTTPS et design identique au site réel) et saisit son identifiant et son code d'accès.

• 10 h 19 : le site lui demande de saisir un code à usage unique qu'elle vient de recevoir par SMS pour « annuler l'opération frauduleuse ».

1. a) Interpréter techniquement ce que fait l'attaquant entre 10 h 17 et 10 h 19 sur les systèmes de la vraie banque avec les données que la victime saisit sur le faux site.
2. b) Justifier pourquoi la présence du cadenas HTTPS ne garantit en aucun cas que le site web appartient à la banque légitime.
3. c) Concevoir le plan d'urgence immédiat (3 actions classées par priorité) que la victime doit exécuter si elle s'aperçoit de l'arnaque à 10 h 20.

Après une fuite de données dans un magasin d'informatique, un client reçoit un courriel de 'pedidos@tienda-informatica.com' qui dit : « Cher Jean, concernant votre achat de l'ordinateur portable Gamer-X du 12 mars, une erreur s'est produite dans le calcul de la TVA (42,00 €). Téléchargez la facture rectificative jointe 'Factura_IVA.zip' ou la commande sera annulée ».

1. a) Justifier pourquoi les filtres antispam fondés sur l'analyse heuristique du texte ne détectent pas ce message, bien que l'expéditeur soit falsifié.
2. b) Expliquer le rôle des enregistrements cryptographiques de messagerie (comme SPF, DKIM ou DMARC) pour que le serveur de destination identifie si le courriel provient réellement du serveur autorisé du magasin.
3. c) Si Jean ouvre le fichier 'Factura_IVA.zip' et trouve un fichier nommé 'Factura_IVA.pdf.exe', expliquer la technique de dissimulation employée et prévoir ce qui se passerait si le système d'exploitation a activé par défaut l'option « Masquer les extensions des fichiers dont le type est connu ».

Lors d'un exercice de simulation de cybersécurité dans une entreprise de logiciels de 200 employés, le service technique envoie deux campagnes d'hameçonnage simulé :

• Courriel A (générique) : « Vous avez gagné un chèque-cadeau de 100,00 €. Cliquez ici pour l'utiliser ». Envoyé un mardi à 10 h 00.

• Courriel B (contextualisé) : « Urgent : erreur de synchronisation dans le dépôt de code avant le déploiement. Confirmez vos identifiants avant 18 h 00 pour ne pas perdre vos modifications ». Envoyé un vendredi à 17 h 45.

Résultats : pour le courriel A, 2,5 % des salariés se sont fait piéger ; pour le courriel B, 38,0 %, y compris des ingénieurs seniors.

1. a) Interpréter les données obtenues : quels facteurs cognitifs, temporels et contextuels expliquent l'énorme différence de réussite entre les deux courriels ?
2. b) Réfuter d'un point de vue technique l'affirmation d'un dirigeant : « Il suffit de mieux former les employés ; la faute revient à l'utilisateur qui ne regarde pas bien le lien ».
3. c) Proposer deux mesures techniques au niveau du système (comme des clés FIDO2 ou des gestionnaires de mots de passe d'entreprise) qui empêchent le vol du compte même si l'utilisateur tombe dans le piège du courriel B.

Un utilisateur saisit dans un moteur de recherche « accès clients banque nationale ». Le premier résultat sponsorisé (annonce) affiche le titre « Banque Nationale - Accès clients », mais après le clic, la barre du navigateur affiche : 'https://banc0naci0nal.es-web.net/login'.

1. a) Expliquer en quoi ce vecteur d'attaque (publicité malveillante et empoisonnement des moteurs de recherche) se distingue de l'hameçonnage traditionnel par courriel et pourquoi il génère un taux de tromperie bien supérieur.
2. b) Le site frauduleux dispose d'un certificat SSL/TLS valide (il affiche le cadenas fermé en vert/gris). Justifier la différence entre le chiffrement de la connexion et l'authentification de l'identité du propriétaire du site.
3. c) Concevoir deux habitudes techniques de navigation pour les services critiques (banque, messagerie institutionnelle) qui annulent complètement ce vecteur d'attaque sans dépendre des résultats du moteur de recherche.