Dans l’imaginaire collectif, un hacker est un génie solitaire, tapant frénétiquement du code pour forcer des systèmes impénétrables. Mais cette perception nourris par les films Hollywoodien reflète-t-elle vraiment la réalité des cyberattaques aujourd’hui ?
Le facteur humain au cœur des cyber-menaces
En observant les statistiques des cyber-menaces ciblant les utilisateurs, on est bien loin du hacker hollywoodien : pas de code tapé à vitesse éclair, de malware inconnu, ni de failles ultra sophistiquées. Pour utiliser une analogie, la menace vient rarement d’un intrus qui force l’entrée, mais souvent de l’utilisateur qui lui ouvre sa porte. Cela se vérifie empiriquement. Selon un rapport de Gen Digital1, la première menace sur les réseaux sociaux est constituée par les publicités malveillantes, ou « malvertising »
Le Malvertising
La société Avira résume2 : « Prenez un cybercriminel, une publicité en ligne et une pincée de malware. Mélangez. » le code malveillant, contient souvent un keylogger qui enregistre les frappes pour voler vos données. Ces campagnes représentent 27 % des attaques détectées fin 2024. Le malware est souvent basique et disponible librement en ligne, par exemple sur GitHub pour le keylogger. Pas besoin de piratage, un simple clic en trop et vos données sont en danger.
Les fausses marketplaces
La deuxième menace (23 %) concerne les fausses boutiques en ligne. Promues via des bots, comptes piratés ou publicités, elles proposent des produits à prix cassés, sur des sites imitant parfaitement des enseignes réelles. L’utilisateur clique entre ses identifiants ou coordonnées bancaires et… ne reçoit jamais rien. Ses données sont revendues ou réutilisées. Selon Nord Security, les informations de carte bancaire se monnayent en moyenne à 7 $ l’unité3. Nul besoin de piratage, il suffit de convaincre.
Le phishing
Représentant 18 % des attaques, le phishing est la 3ème attaque la plus populaire sur les réseaux sociaux. Cybermalveillance.gouv. le définit comme un « mode opératoire consistant à dérober des informations personnelles […] en usurpant l’identité d’un tiers de confiance ». Sur les réseaux, cela prend la forme de messages privés envoyés depuis des comptes volés (parfois ceux d’un ami), de faux supports, ou de liens « urgents » incitant à vérifier son compte. Il ne s’agit pas d’un exploit informatique, mais d’une attaque sociale.
Souvent un même objectif : le credential harvesting
Qu’il s’agisse d’une publicité piégée, d’une fausse boutique ou d’un message de phishing, le schéma est souvent le même : pousser l’utilisateur à entrer ses identifiants sur une page frauduleuse. Ce procédé, appelé credential harvesting, vise à collecter des accès légitimes pour les réutiliser ou les vendre 5. Ces attaques sont encore plus dangereuses, si combinées entre elles. Par exemple, un compte volé via phishing peut ensuite servir à diffuser du malvertising ou promouvoir une fausse boutique de manière crédible.
Toutes ces techniques visent en priorité Facebook, qui concentre à lui seul 56 % des cybermenaces sociales, loin devant YouTube, 26 % et X 7 % 1
Pourquoi l’utilisateur comme cible et pas la machine ?
Si sur les réseaux sociaux, ce sont souvent les utilisateurs eux-mêmes qui sont attaqués, cela s’explique par une double dynamique. D’abord, les attaques techniques deviennent plus difficiles grâce au progrès des outils de sécurité, de l’autre, ces plateformes facilitent naturellement l’ingénierie sociale.
L’ingénierie sociale ou social engineering , soit les techniques visant à manipuler des individus pour les pousser à divulguer des informations confidentielles ou à adopter un comportement compromettant leur sécurité 6, ne cherche pas à casser un système, mais à contourner ses protections en s’appuyant sur le facteur humain.
Et c’est précisément ce que favorisent les réseaux sociaux. Il est logique de voir Facebook concentré 56 % des cybermenaces. Sa structure entre espace privé et espace public, ses groupes ouverts, son moteur de recherche interne et ses profils partiellement accessibles facilitent et multiplient les interactions, y compris avec des inconnus. Plus l’utilisateur est connecté, plus il est vulnérable. Chaque publication, commentaire ou ajout de contact augmente la surface exploitable par les attaquants, comme le rappelle Cybermalveillance.gouv 7
L’erreur humaine au sein même des médias sociaux
Ce ne sont pas seulement les utilisateurs qui ouvrent la porte aux cybercriminels. Les plateformes sociales elles-mêmes restent vulnérables aux failles humaines.
Le cas Twitter : Prendre le contrôle sans une ligne de code
Graham Ivan Clark, alias “Open”, n’est pas un spécialiste en cybersécurité. Pourtant à 15 ans, il s’intéresse au sim swapping et au social engineering, lui permettant sur Twitter de voler et revendre des pseudos rares. En bref, un cyber-délinquant opportuniste, mais sans expertise en code, en malware ou en réseau.
Il est dit que c’est dans le jeu Minecraft qu’il aurait fait ses armes, où il filmait ses exploits de scammer, et ses stratagèmes de manipulation pour piéger, voler, et abuser de la confiance des joueurs. C’est sur le jeu qu’il développe ses premiers réflexes d’usurpation, et de persuasion.
En juillet 2020, il apprend que 1 500 employés de Twitter disposent d’habilitations administrateur. Open y voit 1 500 potentiels occasions de devenir riche, sans pare-feu à franchir, ou de mot de passe à forcer.
Le 15 juillet 2020, il passe à l’action. Il identifie ses cibles sur LinkedIn, souscrit à un abonnement premium pour récupérer leurs coordonnées, puis les appelle un par un. À chaque fois, même scénario : se faire passer pour le support technique, invoquer une urgence, et rediriger l’employé vers une page d’authentification clonée. Le site, copie conforme du portail VPN de Twitter, est équipé d’un keylogger qui enregistre les identifiants en temps réel 8
L’opération reprend exactement les logiques décrites en première partie : une fausse interface, une usurpation d’identité, un discours crédible, et une victime mise sous pression, qui finit rapidement par céder au credential harvesting.
En moins de 48 heures, Open obtient ces accès, il prend le contrôle de 130 comptes certifiés de célébrité, publie une arnaque au Bitcoin, désactive la double authentification, et détourne plus de 120 000 dollars. En bref, comment pirater Twitter, sans coder une ligne. 9
Un cas isolé ?
Par ailleurs, le cas de Twitter n’est pas isolé. En 2019, Facebook a vu les données de plus de 267 millions de comptes exposées publiquement en ligne. Aucune intrusion, aucun piratage sophistiqué, l’origine de la fuite tient à une simple erreur d’accès, sur un serveur tiers, laissant les données accessibles sans aucune authentification particulière. Par un simple outil de scraping, des millions de noms, identifiants et numéros de téléphone ont ainsi été collecté, preuve qu’un manque de rigueur peut suffire à provoquer une fuite massive d’informations.
Mais alors, le hacker hollywoodien, ça n’existe pas ?
Ce type de piratage existe, mais il ne concerne ni Instagram, ni vos messages privés sur X. Ces attaques très techniques visent des cibles stratégiques : installations nucléaires,, infrastructures critiques ou militaire, et sont menées par des groupes spécialisés, souvent liés à des États.
L’exemple le plus célèbre est Stuxnet, un malware d’une complexité inédite, conçu pour saboter les centrifugeuses nucléaires iraniennes. Découvert en 2010, il aurait été développé par les États-Unis et Israël. Il exploitait plusieurs failles zero day pour infiltrer et saboter des systèmes, notamment en faisant surchauffer les infrastructures nucléaires.
Ces failles zero day, soit des vulnérabilités encore inconnues des éditeurs sont au cœur du piratage ultra-technique. Elles permettent des intrusions sans erreur humaine, simplement parce que le logiciel contient une faiblesse inconnues de (presque) tous. Elles sont rares, précieuses, et revendues à prix d’or. Selon le CSIS, elles ne représentent qu’environ 3 % des vecteurs d’intrusion 10
Comment ne pas être le maillon faible?
Pour conclure notre article, on voit que les représentations médiatiques nous ont laissé penser que la cybersécurité ne nous concerne pas. Si l’on se fait pirater, c’est qu’un génie de l’ombre a frappé, et on n’y peut rien… Pourtant, comme nous l’avons vu, presque systématiquement, les attaques commencent par une erreur humaine, utilisateur ou employé.
C’est pourquoi nous tenions à vous rappeler quelques pratiques simples, mais essentielles afin d’assurer votre sécurité.
1. Utilisez votre sens critique
Vous attendiez vraiment cet appel du support ? Est-ce normal que votre ami veuille vous vendre des cryptos ? Cette promo ne paraît-elle pas un peu trop belle pour être vraie ?
2. Vérifiez le certificat du site web
Avant de cliquer, passez votre souris sur le lien : si l’URL ne commence pas par “https”, il n’est pas sécurisé. Sur la page, vérifiez que le cadenas s’affiche bien dans la barre d’adresse.
Les certificats étant délivré par des organismes indépendants, si le site possède ce cadenas/certificat, il est presque impossible que ce soit une tentative de phishing, de malvertising ou une fausse marketplace.
3. Personne ne vous demandera vos identifiants
Ni le support officiel, ni votre banque, ni votre plateforme. Si quelqu’un vous les réclame, c’est une arnaque. Point.
4. Enfin activez la double authentification
Activez la double authentification sur vos réseaux comme sur vos applications bancaires. Si vous êtes victimes de phishing ou de credential harvesting, vous serez à la fois informé et protégé.
Marceau Dietsch.
Sources
- Gen Digital / Usine Digitale — Facebook concentre 56 % des menaces liées aux réseaux sociaux
https://www.usine-digitale.fr/article/cybersecurite-facebook-concentre-56-des-menaces-liees-aux-reseaux-sociaux.N2227693 - Avira — Le malvertising : comment les publicités en ligne peuvent devenir dangereuses
https://www.avira.com/fr/blog/malvertising - Nord Security / NordVPN — 6 million stolen credit cards analyzed
https://nordvpn.com/fr/research-lab/6-million-stolen-credit-cards-analyzed - Cybermalveillance.gouv.fr — Définition du phishing
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/reseaux-sociaux - CNIL — Diffusion de données piratées : quels sont les risques ?
https://www.cnil.fr/fr/diffusion-de-donnees-piratees-la-suite-dune-cyberattaque-quels-sont-les-risques-et-les-precautions - HHS.gov — Credential Harvesting Analyst Note
https://www.hhs.gov/sites/default/files/credential-harvesting-analyst-note-tlpclear.pdf - Université Laval — Définition de l’ingénierie sociale
https://www.ulaval.ca/cybersecurite/ingenierie-sociale - WIRED — How Alleged Twitter Hackers Got Caught
https://www.wired.com/story/how-alleged-twitter-hackers-got-caught-bitcoin - Bloomberg — Twitter Hack Exposes Broad Access to Account Tools
https://www.bloomberg.com/news/articles/2020-07-20/twitter-hack-exposes-broad-access-to-account-tools - CSIS (Center for Strategic and International Studies) — Zero-Days Are Rare
https://www.csis.org/analysis/zero-days-are-rare
