Le terme hacker est chargé, surtout maintenant qu’il existe tout un catalogue de références à la culture pop sur lesquelles s’appuyer. Comme c’est presque toujours le cas, la vérité est à la fois plus banale et plus perspicace.
Dans cet article, je m’aventure dans l’esprit des hackers pour découvrir les motivations et les objectifs derrière leurs actions douteuses. Je me concentrerai ensuite sur l’arnaque, l’un des actes les plus répugnants des pirates informatiques, et examinerai le processus plus en détail. Au moment où vous aurez terminé, vous devriez avoir une meilleure compréhension de ce qui motive les pirates informatiques et, plus important encore, comment appliquer cette compréhension pour renforcer vos défenses de cybersécurité.
Le hacking est avant tout un état d’esprit. C’est une voie probable à suivre lorsque vous êtes doté d’un esprit organisé, d’une passion pour l’informatique et d’une curiosité sans limite pour démonter les choses et comprendre leur fonctionnement interne.
Étant donné que les affaires très médiatisées impliquent généralement le vol de sommes exorbitantesil est logique que le public suppose que le gain monétaire est le principal facteur de motivation. Même s’il figure en tête de liste, des études qui explorent la motivation des hackers classent systématiquement le plaisir de contourner les cyberdéfenses et la démonstration de sa maîtrise qui l’accompagne comme principales forces motrices.
Le hacking est à la fois technique et créatif. Les piratages réussis sont dus à une combinaison de prouesses techniques élevées, de capacité à comprendre et à mettre en œuvre de nouvelles solutions et à un mépris général des conséquences de ces actions.
Vue d’ensemble
Il est important de se rappeler à quel point la motivation au sein de la communauté est nuancée, allant d’objectifs communs comme le prestige et le gain monétaire en passant par la vengeance et la compétitivité, jusqu’à l’altruisme, le patriotisme et un sens intériorisé de la justice.
Le chapeau blanc utilise bon nombre des astuces et tactiques de ses homologues infâmes pour éliminer les vulnérabilités des cyberdéfenses. Le chapeau rouge punit les pirates malveillants en ciblant leurs ressources. Divers groupes ont surgi au fil des années et utilisent l’hacktivisme pour attirer l’attention sur les problèmes de société et les injustices perçues, suggérant qu’ils ont un fort sentiment d'(auto)justice.
Le loup solitaire est un autre stéréotype qui est de plus en plus en décalage avec la réalité. Rejoindre des communautés de hackers est la norme et cela a du sens puisque les membres accèdent plus facilement aux connaissances, partagent les risques et développent un sentiment d’appartenance.
Il n’en demeure pas moins que les principaux dommages causés à la société par les pirates informatiques sont une combinaison de pertes financières et d’érosion de la confiance. C’est déjà assez grave lorsqu’ils découvrent et exploitent les lacunes du système informatique, mais jeter leur dévolu sur des personnes innocentes et sans méfiance et bouleverser leur vie via diverses escroqueries est une chose pour laquelle peu de gens auront de la sympathie.
Les escroqueries sont un sous-ensemble d’opérations de piratage motivées par un gain illégal et visant à accéder à des données confidentielles, à des réseaux ou à des actifs de valeur en manipulant et en exploitant la nature humaine. Ils nécessitent une planification minutieuse et peuvent prendre des mois pour réussir. Cependant, les gains potentiels en valent la peine. Voici le modèle suivi par la plupart de ces attaques.
Identifier la cible
Les cibles d’escroquerie se répartissent en deux grandes catégories. D’une part, certains individus et organisations opposent peu de résistance en raison d’un manque de connaissances et de cyberdéfenses. Par exemple, les pirates s’appuient sur le fait qu’un concernant le nombre d’utilisateurs ne prenez jamais la peine de changer leurs mots de passe ou de les rendre difficiles à utiliser par force brute. Les employés ne sont pas non plus exemptés de cette liste, mais il n’est pas préoccupant qu’un peu de vigilance en matière de cybersécurité et gestionnaire de mots de passe d’entreprise ne peut pas résoudre.
De telles informations d’identification sont facilement disponibles via les vidages de données du Dark Web, et trouver une correspondance consiste simplement à les comparer aux e-mails ou aux connexions aux comptes communs en raison de la grande quantité de données disponibles. Les pirates peuvent alors prendre ces comptes en otage ou les utiliser pour orchestrer des attaques plus sophistiquées.
D’un autre côté, certains pirates se concentrent sur des cibles très médiatisées. Ils identifieront les organisations disposant d’un capital important et d’une cybersécurité médiocre, puis cibleront les personnes ayant autorité dans l’espoir d’un gain financier direct ou d’un accès aux informations les plus délicates et les plus lucratives.
Choisir la « bonne » arnaque
Le type d’arnaque qu’un pirate informatique emploiera après avoir choisi une cible dépend de sa portée et de son objectif final. S’ils ont une liste de détails de compte pour des millions d’utilisateurs X/Twitterles pirates créeront probablement divers e-mails de phishing. Ils se feront passer pour la plateforme elle-même ou pour un service bien connu que tout le monde utilise probablement pour tenter de tromper les victimes afin qu’elles se séparent d’encore plus d’informations, telles que leurs coordonnées bancaires.
Le spear phishing et le whaling sont plus sophistiqués. Ils obligent les fraudeurs à rechercher minutieusement des cibles spécifiques et à rédiger des e-mails convaincants demandant au destinataire de divulguer des informations ou de télécharger des logiciels malveillants. Business Email Compromise (BEC) est similaire dans la mesure où il demande aux employés d’une entreprise d’effectuer des transferts financiers sous l’autorité du compte de messagerie compromis ou usurpé d’un cadre supérieur.
Les réseaux sociaux sont un autre refuge pour l’ingénierie sociale. Étant donné que les gens abandonnent facilement et rendent publiques leurs informations personnelles, il est facile d’identifier les individus vulnérables ou crédules, puis d’utiliser un arnaque éprouvée sur les réseaux sociaux pour les tromper.
S’en tirer avec les marchandises
La dernière étape consiste à capitaliser sur les gains mal acquis d’un pirate informatique. Ceux qui ont réussi à convaincre quelqu’un de transférer des fonds utilisent des comptes mulets et des systèmes de blanchiment d’argent pour finalement mettre la main sur eux. Les pirates informatiques qui mettent la main sur les secrets industriels d’une entreprise peuvent tenter de les revendre à la concurrence. Données obtenues grâce à violations se fraye un chemin vers le dark web, où d’autres pirates peuvent l’acheter en gros.
Alors que des affaires très médiatisées font la une des médias, de nombreuses escroqueries restent non identifiées et encore moins poursuivies. Le fait que les hackers les plus performants opérer loin de la juridiction des zones ciblées rend également les poursuites et l’extradition difficiles.
Il n’existe pas de mesures de sécurité ou de programmes efficaces à 100 % dont les vulnérabilités ne seront pas découvertes un jour. D’un autre côté, vous n’avez pas à vous inquiéter autant du hacker qui applique son « savoir-faire » pour gagner du prestige que de celui qui est là pour l’argent. Leur mode opératoire consiste à identifier et à exploiter les cibles les plus faciles, ce qui signifie qu’il est possible et protégé de faire en sorte que vous et votre organisation n’en valiez pas la peine.
En utilisant des mesures de cybersécurité telles que des pare-feu de nouvelle génération, des gestionnaires de mots de passe de pointe comme NordPass, authentification multifacteurdes tests d’intrusion réguliers et des évaluations de vulnérabilité constituent une base solide. Cependant, promouvoir une culture axée sur la cybersécurité et investir dans une formation qui aide tous employés développer les compétences nécessaires pour identifier, contourner et contrecarrer les activités des pirates informatiques sera plus efficace à long terme.
