Soyez sôciâle

Nous profitons de l’occasion pour faire un retour sur les tentatives d’ingénierie sociale qui ont pris place pour l’obtention d’accès aux Hackfest et lors de la tenue des concours du soir.

Il y a deux catégories d’ingénierie sociale qui a pris place. La première, pour obtenir des billets gratuitement, la seconde pour obtenir des “flags" pour le concours.

Dans la première catégorie, nous avons eu connaissance de trois tentatives majeures. La première a été faite par une personne qui s’est fait passer pour notre DJ et soi-disant qu’il avait perdu son cellulaire, donc ne pouvait entrer en contact avec nous. Il a monté de toutes pièces un site, fortement inspiré d’un réel DJ du Hackfest. Nous avons échangé quelques courriels et il a fini par trouver où je travaille et m’appeler à cet endroit. Il a réussi à trouver cette information à travers ce que j’ai affiché sur Internet et il a brute forcé pour trouver l’extension à laquelle je suis, extension qui n’est pas connue.

Pour ceux qui croient que c'est anodin d’afficher des informations sur Internet, ça peut effectivement être utilisé pour monter une attaque plus sophistiquée. Au-delà de le prêcher (voir Petite démonstration sur la fuite d'information), j’en ai été “victime”.

Le deuxième cas, c’est une professeure d’Edmundston qui a monté une attaque d’hameçonnage. Les victimes furent ses étudiants. Les détails sont dans la présentation suivante:

Tentative de phishing on Prezi

Finalement, une autre personne a essayé d’obtenir nos numéros de téléphone par l’hôtel. Cette tentative n’a pas abouti, mais présente un vecteur intéressant.

Dans la deuxième catégorie, plusieurs ont essayé de convaincre Martin à révéler des informations et des “flags” en lui payant des verres. Certains ont élaboré des histoires complexes, qui valent la peine de souligner. D’autres se sont limités à payer des verres.

La conclusion? À voir comment les personnes ont participé, nous sommes venus à penser que nous sommes peut-être un peu trop “motivé”. Malgré tout, les quelques cas nous ont permis d’avoir du plaisir et d’atteindre nos objectifs. Sachez que l’ingénierie sociale sera reprise pour 2012. Par contre, nous allons y ajouter quelques contraintes, pour à la fois guider les efforts et limiter les dérapages.