Aller au contenu principal

Semaine 6 — Ingénierie sociale

Objectifs pédagogiques​

  • Comprendre les leviers psychologiques exploités par un attaquant.
  • Construire une campagne d'hameçonnage réaliste, dans un cadre autorisé.
  • Utiliser SET (Social Engineer Toolkit) et BeEF (Browser Exploitation Framework) sans franchir la ligne rouge.

Les six leviers d'influence​

L'ingénierie sociale s'appuie sur des mécanismes cognitifs identifiés depuis Cialdini :

  • Autorité (« C'est la direction qui demande »).
  • Urgence (« Sous 30 minutes »).
  • Réciprocité (« On vous a offert X, pouvez-vous... »).
  • Preuve sociale (« Vos collègues ont déjà validé »).
  • Rareté (« Dernière chance »).
  • Sympathie / cohérence.

Un scénario efficace en combine deux ou trois, jamais un seul.

Le cadre éthique — Non négociable​

  • Aucune campagne sans mandat écrit signé par la direction.
  • Aucun message ciblant la santé, le deuil ou la situation familiale d'une personne.
  • Débreffage obligatoire des personnes hameçonnées, sans stigmatisation individuelle.
  • Données collectées supprimées à la fin du mandat, à la demande.

SET et BeEF​

  • SET automatise des scénarios classiques : clonage de portail, PDF piégé, vecteur credential harvester. Utile pour un lab, à manier avec précaution sur du vrai personnel.
  • BeEF injecte un hook JavaScript côté navigateur pour explorer ce qu'un attaquant peut faire après un clic. Sert à démontrer l'impact, pas à espionner.
# Démarrer BeEF en local (labo uniquement).
sudo beef-xss

TP1 — À remettre cette semaine​

Livrable attendu, sur la base de la reconnaissance amorcée en semaine 4 :

  • Cartographie du réseau de laboratoire (hôtes, services, versions).
  • Trois vulnérabilités priorisées avec justification (CVSS + EPSS + KEV).
  • Un plan d'attaque pour chacune, sans exploitation encore.

Format : Markdown ou PDF, environ 6 à 10 pages. À déposer via la salle de classe virtuelle.