# Ingénierie sociale *Par Louis “Nullptr” Crespin, la partie phishing est adaptée de Jinjer et Fredi* Définition : Manipulation sociale pour faire divulguer des informations secrètes ou compromettantes ![](https://notes.iiens.net/api/files.get?sig=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJrZXkiOiJ1cGxvYWRzL2E5ODM5ZjZmLTE5NDctNDJkYy04NGJkLWVjN2M2YWNjMmU2Yy80M2ZjYzEzZC0zZDVkLTRlZDgtOWQ0OS00ZTEyOThhYTM3NmIvY29udHJvbGUucG5nIiwidHlwZSI6ImF0dGFjaG1lbnQiLCJpYXQiOjE3OTIyMTQxMDAsImV4cCI6MTc5MjMwMDUwMH0.BfOZ3pZ0pF4onC4ioQzmG78CpVBwlxpygu_owetKCIo " =631x577") Personne bien intentionnée ou qui cherche à copier un badge d’accès ? => Parallèle avec l’illusionnisme ## Méthodes d’ingénierie sociale * Phishing * Arnaques au Téléphone * Pretexting * … ### Exemple : faux portail captif Portail captif : page de connexion d’un réseau gratuit Les gens sont en galère pour trouver du Wifi => idéal exemple avec Flipper Zero : **ne mettez pas de vraies informations !!!** Autre possibilité : `wifiphisher` () par exemple ### Comment s’en protéger ? Utiliser la 4G Les grandes entreprises (Google, Amazon, …) ne font pas de Wifi gratuit => Prendre du recul ## Phishing Se faire passer pour quelqu’un d’autre par email/SMS/Whatsapp/… => Vol d’identifiants de connexion, exécution de code malveillant, installation de virus Typiquement : * Le hacker crée un site malveillant * Il envoie un mail en se faisant passer pour un interlocuteur valable (banque par exemple) * La victime clique sur un lien dans le mail et commence à donner ses informations/installer un virus/… ### Différents types de phishing * Phishing en masse : peu efficace, mais le nombre de personnes attaquées le rend rentable * Spear phishing : phishing ciblé. Nécessite des infos sur la personne (par les réseaux sociaux). 95% des attaques de phishing réussies sont du spear phishing * Whaling : spear phishing de quelqu’un de très haut placé * Smishing : par SMS ## Reconnaitre un mail de phishing Imitation du nom de domaine ([www.amaz0n.com](https://www.amaz0n.com) par exemple) Copie du style (comme la page de connexion de Google du Flipper Zero) Altération du lien pour cacher la vraie cible : ` fauxlien ` Action urgente, demande de régularisation avec les impôts/Arcom/…, argent à gagner, plus que 2h restantes Survoler les liens pour voir la vraie cible Prendre du recul → informations trop belles pour être vraies Aller à la main sur le site au lieu de cliquer sur le lien # Pratique ! ## Scénario * Cible : Jean-Pierre CAILLOUX * Travaille au siège de Carrefour * But : récupérer ses identifiants Microsoft * [jpdelacomptacarrefour@gmail.com](mailto:jpdelacomptacarrefour@gmail.com) ## Outils Zphisher : Raccourcisseur d’URL : “Hébergeur” : tunnel SSL, Soyez créatifs !