« A ce jour j’ai obtenu 100% de réussite avec l’ingénierie sociale. Lors de ma dernière prestation, j’ai obtenu 70% d’obéissance de la part de mes victimes au premier appel téléphonique, avec une confirmation par email (dont l’adresse d’origine était usurpée, bien entendu, ndlr) », poursuit le hacker.

Autre avantage du Social Engineering : l’être humain ne peut pas être « patché » ! Ainsi la quasi-totalité des exploits techniques utilisés par Mitnick dans les année 80 et 90 ne sont bien entendu plus valables aujourd’hui. Mais ses trucs d’ingénierie sociale, eux, n’ont pas changés et fonctionnent mieux que jamais… grâce notamment aux réseaux sociaux !

« A l’époque, mon seul instrument était le téléphone. Aujourd’hui la boîte à outils est beaucoup plus riche avec l’email, le chat, et surtout les réseaux sociaux. Facebook, par exemple, permet d’approcher une cible en devenant l’ami d’un ami, afin d’établir un premier rapport et une certaine crédibilité qui pourra s’avérer utile par la suite. Quant à LinkedIn, je l’utilise beaucoup pour rechercher des cibles potentielles : par exemple des administrateurs systèmes ou réseaux travaillant pour telle ou telle société et avec telle ou telle technologie« , raconte Mitnick.

Mais l’outil principal demeure le téléphone : avec une bonne recherche préalable un attaquant peut aisément se faire passer pour un employé de n’importe quelle société, en citant les noms des bons managers, des bons bureaux et des bons projets (autant d’informations que les réseaux sociaux rendent désormais beaucoup plus faciles à découvrir)

« Plus l’entreprise est grande, plus il sera facile de se faire passer pour quelqu’un d’autre. C’est évidemment plus compliqué avec une PME où tout le monde se connaît« , poursuit le hacker. Compliqué, mais pas impossible. Pour preuve, il nous livre le souvenir du piratage d’une société uni-personnelle, un récit qui ne figure pas dans son dernier ouvrage.

Ayant pris pied sur un grand système Mitnick cherchait à y installer un sniffer afin de capturer des mots de passe. Mais il maîtrisait mal l’OS en question et il était incapable d’en développer un lui-même. En se renseignant il apprend toutefois qu’il existe un outil d’interception pour ce système, développé par un éditeur indépendant. Mais il s’agit d’une société uni-personnelle basée au domicile de son fondateur, ce qui rend une usurpation téléphonique impossible.