Manipulation psychologique visant à tromper un individu pour l'amener à divulguer des informations ou à effectuer une action non autorisée, sans exploit technique.
L'ingénierie sociale regroupe l'ensemble des techniques de manipulation psychologique par lesquelles un attaquant trompe un individu en jouant sur la confiance, l'autorité, l'urgence ou la peur, pour l'amener à divulguer des informations sensibles ou à exécuter une action au bénéfice de l'attaquant, sans recourir à aucun exploit technique sur des systèmes informatiques. Le pretexting consiste à fabriquer un scénario crédible, par exemple se faire passer pour un auditeur, un prestataire informatique ou un responsable hiérarchique, afin d'obtenir des accès ou des informations. Le vishing (voice phishing) utilise un appel téléphonique avec une identité usurpée. Les attaques de type Business Email Compromise (BEC) combinent souvent ingénierie sociale et usurpation de courriel pour convaincre un collaborateur d'effectuer un virement frauduleux vers un compte contrôlé par l'attaquant. L'émergence du deepfake vocal et vidéo a considérablement renforcé la crédibilité des attaques d'ingénierie sociale, en permettant d'imiter la voix ou le visage d'un dirigeant de manière convaincante. Pour l'assurance cyber, l'ingénierie sociale soulève un enjeu de frontière entre la garantie cyber et la garantie fraude classique, selon que l'acte frauduleux implique ou non une compromission informatique préalable.
En 2024, une entreprise de services financiers hongkongaise perd 25 millions de dollars après qu'un employé des finances est convaincu, lors d'une vidéoconférence peuplée d'avatars deepfake imitant ses collègues et son directeur financier, d'effectuer une série de virements vers des comptes frauduleux.
social engineering, ingénierie sociale, pretexting, BEC, manipulation psychologique