Les réseaux sociaux sont attrayants parce que les êtres humains sont par nature des créatures sociales. Nous aimons nous connecter, partager et discuter. Mais il est clair que, parfois, ces impulsions prennent une mauvaise direction dans les environnements en ligne distants et détachés où les réseaux sociaux se déploient.
Un problème majeur lié à l’utilisation des réseaux sociaux – souvent mal compris, voire même pas identifié – est le risque de cybersécurité qu’elle introduit. Ce risque ne concerne pas seulement les particuliers ; en tant qu’employeur, les comportements de vos employés sur les réseaux sociaux peuvent créer un risque important pour votre organisation.
Il est nécessaire de comprendre comment les acteurs malveillants recueillent sur les plateformes sociales des informations sur vos employés, notamment des artefacts numériques, des relations et des informations permettant d’identifier personnellement les individus, agrégées entre les plateformes.
Voir aussi : Guide de la transformation numérique : définition, types et stratégie
- 1) Toutes les informations ont de la valeur
- 2) Le partage excessif crée des risques d’hameçonnage ciblé
- 3) Les acteurs malveillants peuvent agréger des données issues de différents forums
- 4) Les relations peuvent être exploitées pour obtenir des informations
- 5) La désinformation sur les réseaux sociaux entraîne des risques pour l’entreprise
- Sécurité sociale : une politique solide est nécessaire
1) Toutes les informations ont de la valeur
Dès que vous créez un profil numérique, vos informations sont accessibles à tous. Elles peuvent ainsi être récupérées par des acteurs malveillants. Les gens ont tendance à réutiliser des images, des noms d’utilisateur et des adresses e-mail similaires sur différentes plateformes. Ils utilisent également ces adresses e-mail pour d’autres activités en ligne plus sensibles, comme les opérations bancaires. Chaque fois que vous mettez une information en ligne, vous augmentez votre niveau de risque.
Il est surprenant de voir combien de personnes pensent que leurs informations en ligne ne constituent pas une cible pour les acteurs malveillants. Elles partent du principe que, puisqu’elles ne sont ni riches ni célèbres et qu’elles n’ont pas de compte bancaire étudiant, personne ne s’y intéressera. Mais l’argent présent sur votre compte bancaire intéresse les criminels ; votre ordinateur peut être compromis et utilisé comme ressource pour cibler d’autres personnes qui intéressent les criminels. Cela signifie que chaque personne présente un certain intérêt pour un criminel.
2) Le partage excessif crée des risques d’hameçonnage ciblé
Tout le monde connaît, dans son cercle sur les réseaux sociaux, quelqu’un qui partage trop d’informations – ce papillon social virtuel qui a beaucoup trop d’« amis » et commente en permanence tout ce qu’il fait, partout où il va, ainsi que chacun de ses problèmes personnels.
Ce que la plupart des gens ignorent, c’est que ce type de partage excessif peut les exposer au risque d’hameçonnage ciblé et à des attaques similaires. Pourquoi ? Plus un attaquant peut rassembler d’informations vous concernant, plus il sera susceptible de créer un e-mail ou un SMS suffisamment réaliste pour vous inciter à y répondre.
Pour les employeurs qui évaluent un candidat, une personne habituée à trop partager présente un risque accru de tentatives d’hameçonnage, ce qui met ensuite l’entreprise en danger. Et cela nous amène au point suivant.
Voir aussi : Une campagne d’hameçonnage utilise le code Morse pour échapper à la détection
3) Les acteurs malveillants peuvent agréger des données issues de différents forums
Chaque information que vous publiez sur vos comptes de réseaux sociaux constitue un point de données, mais il ne s’agit pas seulement du contenu que vous partagez. Les acteurs malveillants peuvent recueillir des informations à partir des mèmes et des quiz auxquels vous répondez. Cela semble être une distraction inoffensive de répondre à des mèmes comme « Le nom de votre agent secret est le nom de jeune fille de votre mère suivi de votre couleur préférée. »
À quoi d’autre ces réponses vous font-elles penser ? Aux questions de sécurité que les sites posent pour récupérer les mots de passe, par exemple ? Premier animal de compagnie, première voiture, couleur préférée, etc. Il a été démontré que certains de ces quiz sont créés par des acteurs malveillants pour accéder à vos comptes en ligne.
Une ou deux informations ne sont probablement pas dangereuses, mais si vous devenez la cible d’une attaque, l’acteur malveillant recherchera d’autres informations sur vos comptes sociaux. Tout contenu accessible au public peut potentiellement être utilisé. Par exemple, si des acteurs malveillants peuvent trouver facilement votre adresse e-mail professionnelle, ils peuvent utiliser cette information pour tenter une attaque de compromission de messagerie professionnelle.
4) Les relations peuvent être exploitées pour obtenir des informations
En plus de ce que vous partagez et de ce que d’autres partagent avec vous, vos relations sur les réseaux sociaux présentent également un risque potentiel. Un exemple évident est fourni par le scandale Cambridge Analytica. Lorsque vous publiez quelque chose et que vos amis aiment cette publication, la commentent ou la repartagent, une relation est alors exposée si la publication est accessible au public.
Même si vos comptes sont privés, le risque subsiste. Par exemple, votre photo de profil Facebook est publique, et certaines de vos relations peuvent commenter cette photo si vous l’avez récemment modifiée.
Même si vous ne partagez pas vos centres d’intérêt, votre localisation ou votre parcours scolaire, un attaquant peut effectuer une analyse des schémas au sein de vos relations ou de votre parcours de vie. Il peut déduire des informations sur vous à partir de vos seules relations, que vous les partagiez ou non. En fait, c’est l’une des tactiques les plus précieuses utilisées par les attaquants.
5) La désinformation sur les réseaux sociaux entraîne des risques pour l’entreprise
Les attaquants tirent parti de la désinformation et de la mésinformation. Par exemple, des acteurs malveillants pourraient exploiter une récente fuite de données en envoyant un e-mail du type « Votre compte a été compromis » ou « Vous ne pouvez plus accéder à votre compte. Cliquez ici pour modifier votre mot de passe. »
Ces attaquants exploitent le cycle de décision de la victime pour accéder aux systèmes informatiques de l’entreprise, aux informations sensibles, aux comptes bancaires et à bien d’autres ressources.
Sécurité sociale : une politique solide est nécessaire
De nos jours, les réseaux sociaux ne servent plus seulement à entretenir des relations sociales. Ils sont devenus indispensables aux entreprises, mais constituent également une responsabilité potentielle en matière de sécurité. Les attaquants ont adapté leurs méthodes afin de glaner sur les réseaux sociaux des informations importantes sur vos employés et de concevoir des campagnes d’hameçonnage furtives ainsi que d’autres attaques fondées sur l’ingénierie sociale.
Assurez-vous de disposer d’une politique solide en matière de réseaux sociaux et de la faire respecter. Envisagez également de surveiller l’activité de vos employés sur les réseaux sociaux, ainsi que la présence de votre entreprise sur ces plateformes. De telles mesures vous aideront à garder une longueur d’avance sur les risques cyber liés aux réseaux sociaux.
À propos de l’auteur :
Aaron Barr est le CTO de PiiQ Media