Menu
Les cyberattaques élaborées par certains hackers visent à présent les humains et les failles du fonctionnement de leurs cerveaux biologiques. L’erreur humaine est ainsi impliquée dans 90% des incidents de cybersécurité.
Les conséquences sont sérieuses : perte de données critiques ou de sommes importantes pour les entreprises et le particulier.
Dans cet ouvrage, vous découvrirez l’ingénierie cognitive qui est le résultat d’un changement de paradigme en cybercriminalité : les hackers exploitent à présent les vulnérabilités neuropsychologiques de l’esprit humain comme les biais cognitifs, les émotions et les types de personnalités.
A partir de nombreuses références scientifiques citées et de l’expérience des auteurs, ce livre présente plusieurs aspects :
– Les neurosciences cognitives.
– Les fonctions de votre cerveau.
– Les apports des neurosciences en cybercriminalité.
– Les cyberattaques par ingénierie cognitive.
– Comment s’en protéger et s’en prémunir.
– Les personnalités et profils neuropsychologiques vulnérables.
Ce livre abordera également le nouveau modèle des réflecteurs neurocognitifs.
Introduction
Chapitre 1 – Les neurosciences cognitives
Chapitre 2 – Les grandes fonctions du cerveau humain
Chapitre 3 – L’approche neurocognitive des cyberattaques
Chapitre 4 – Les cyberattaques par ingénierie cognitive
Chapitre 5 – Les personnalités visées par les cyberattaques
Conclusion
Bibliographie
Biographie des auteurs
Remerciements
Les ouvrages qui vulgarisent les neurosciences ne sont pas légion. Et ceux qui en plus les appliquent dans le contexte de la cybersécurité sont encore plus rares. L’ouvrage de Bruno Teboul et Eric Malbos fourmille de références, notions et concepts qui permettent de mieux comprendre comment nos vulnérabilités neuropsychologiques liées à nos limites cognitives peuvent constituer un risque face aux attaques cyber.
Ce sujet m’est particulièrement cher car il aborde la thématique clé de mon mémoire, l’ingénierie cognitive appliquée à la cybersécurité. C’est donc avec enthousiasme et une curiosité certaine que je me suis plongé dans l’ouvrage de Bruno Teboul et Eric Malbos.
Les auteurs maitrisent leur sujet. Et ce n’est pas une surprise à la vue de leur parcours. On y apprend comment nos fonctions cognitives participent au traitement de l’information et comment elles peuvent être détournées par des acteurs malveillants.
Les auteurs passent en revue les (très) nombreux types de cyber-attaques utilisant l’ingénierie cognitive et nos biais cognitifs pour permettre la compromission de systèmes informatiques via nos fragilités humaines. Nos émotions positives et négatives sont également analysées et utilisées par les hackers pour offrir des fenêtres d’opportunité permettant de maximiser les chances de succès d’une attaque.
Enfin, Bruno Teboul et Eric Malbos tentent la difficile tâche d’identifier si des personnalités sont plus ou moins susceptibles d’être victimes de cyber-attaques. Cela pourra intéresser les services RH des entreprises et autres recruteurs dans les SOC et CERT, dont les employés sont soumis à des pressions fortes. Cependant, j’aurais aimé que les auteurs développent plus en détail le concept de modèle des réflecteurs neurocognitifs. En effet, ce modèle ambitionne d’étudier comment les cybercriminels utilisent à leur avantage les connaissances en sciences neurocognitives.
Sur la forme, l’ouvrage auto-édité ne respecte malheureusement pas les standards de l’édition (marges fantaisistes, problème de ponctuation et de titrage, fautes d’orthographe et de syntaxe). Il aurait été également plus intéressant selon moi de remplacer les nombreuses illustrations générées par l’IA qui n’apportent malheureusement rien au propos des auteurs par des schémas, graphismes…ou ne rien mettre. C’est regrettable pour un livre vendu 15€. Cependant, le contenu reste très pertinent pour toute personne qui s’intéresse à ce contenu de niche.
Vos vulnérabilités neuropsychologiques sont le fruit d’une association indissociable de limites cognitives (attention, charge mentale, multitâche etc.) d’états psychologiques (stress, anxiété), d’émotions (positives ou négatives), de traits de personnalité (niveau de conscienciosité, d’ouverture) et mêmes parfois de certains traits « sombres » de la personnalité (narcissisme, machiavélisme, sadisme voire psychopathie).
Les axones sont recouverts d’une membrane particulière : la gaine de myéline. Cette gaine est formée par un autre type de cellule appelée oligodendrocyte et sa richesse en lipide permet une bonne conduction électrique. Avec elle, le message nerveux se déplace à 400 km/h, sans elle, la transmission des messages nerveux est beaucoup plus lente, soit à peu près 2km /h.
Le cerveau est globalement le même d’un humain à un autre et une évolution physiologique du cerveau ne peut pas se produire naturellement d’une génération à l’autre, il faut des millions d’années pour cela […]. Il a fallu 3,5 milliards d’années pour aboutir à l’existence de votre cerveau à partir de l’apparition de la première cellule sur votre planète. (p.35)
Les fonctions cognitives sont les processus mentaux qui vous permettent de traiter l’information y compris celles de vos mails, de résoudre les problèmes comme ceux soulevés par un appel téléphonique, de prendre des décisions et de vous adapter à votre environnement réel ou numérique. Les principales fonctions cognitives comprennent :
Nous utilisons le terme « cognition » au sens le plus large possible, comme terme descriptif pour rendre compte de la faculté humaine de traiter de l’information à des fins de connaissance […]. La cognition peut également inclure le traitement de l’information qui résulte de la perception, des sensations, des émotions, des sentiments, des expériences passées, de l’exposition culturelle, des interactions sociales ainsi que la grande majorité du traitement de l’information neuronale qui ne se reflète pas dans votre conscience […]. On distingue quatre grandes fonctions cognitives de bases : la perception, la mémoire de travail, la prise de décision et l’action. (p.68). Sur la prise de décision, voir les travaux de Daniel Kahneman.
Un ensemble de vulnérabilités à court terme va jouer sur les capacités humaines lors d’une cyberattaque : le stress, la charge mentale et un niveau bas de vigilance.
Le stress est un terme de psychologie et de biologie qui représente l’ensemble des réactions d’un organismes humain ou animal, en réponse à des pressions ou des contraintes de environnement comme des menaces physiques ou émotionnelles et ceci qu’elles soient réelles ou imaginaires. Un facteur de stress est considéré comme un stimulus qui menace l’homéostasie, c’est-à-dire l’équilibre dynamique de fonctionnement de votre organisme qui dépend des systèmes physiologiques (e.g. taux de glucose, tension artérielle). L’anxiété quant à elle est une vigilance douloureuses concernant l’appréhension d’un danger réel ou imaginaire, réaliste ou irréaliste. L’anxiété est considérée comme une réaction normale en réponse au stress.
La charge mentale ou charge cognitive fait référence à la quantité d’information que votre mémoire de travail peut traiter à un moment donné ainsi que la quantité de distracteurs (e.g. le bruit de fond) qui peuvent l’alourdir et l’affecter. Ce type de mémoire est géré principalement par le cortex préfrontal, qui maintient les informations transitoirement, le temps de les traiter. C’est un peu la RAM de votre ordinateur. Si elle est surchargée, cela va ralentir votre système de traitement des informations […].
La mémoire de travail a donc deux fonctions : retenir les informations le temps de leur traitement et manipuler ces informations (Baddeley, 1974, 2000)[…]. Une étude de 2020 du Pr. Jalali de l’Université de Harvard a examiné le comportement d’hameçonnage réel en envoyant aux employés un courriel d’hameçonnage inoffensif. Les résultats de l’étude ont révélé que plus la charge mentale perçue était élevée, plus elle était associée à la probabilité de cliquer sur le lien d’hameçonnage par erreur […]. Les personnes qui gèrent régulièrement de gros volumes de courriels font preuve d’une grande inattention lors de l’évaluation des courriels, ce qui les rend plus vulnérables aux attaques de type phishing (Vishwanath et al, 2011).
Un niveau bas de vigilance : de nombreux travaux ont montré que les performances dans un large éventail de tâches diminuent considérablement au cours de ces périodes relativement courtes, appelées « diminution de la vigilance » […]. La probabilité de télécharger des logiciels malveillants peut augmenter à mesure que vous consultez votre boite de réception, en particulier si vous disposez de peu de temps. (p.83)
L’utilisation généralisée du courrier électronique à des fins professionnelles a créé une vaste surface d’attaque et la facilité avec laquelle ces attaques peuvent être réalisées a abaissé la barrière des compétences techniques pour les attaquants. (p.92). […] Les cyberattaques d’ingénierie cognitive sont un type d’attaque psychologique qui exploite les limites et biais de vos fonctions cognitives humaines pour vous persuader de vous conformer à la demande d’un cyber-attaquant (Anderson, 2008). En effet, ces attaques sont centrées sur un message d’ngénierie cognitive élaboré par un hacker malveillant dans le but de vous persuader d’agir comme il le souhaite […]. Les cyberattaques par ingénierie cognitive sont à opposer aux cyberattaques « techniques » qui vise un système et non une personne. (p.96)
Près de 180 biais cognitifs ont été identifiés par les psychologues chez les êtres humains depuis les années 1970s et 1980s. Ils sont représentés parfois sous forme de Codex. Distinguons ces biais en trois catégories :
Les émotions désignent des sensations intenses et brèves qui sont déclenchées par un événement ou un stimulus spécifique et qui se manifestent rapidement […]. Selon les sciences cognitives, les émotions sont un ensemble de réactions cognitives, physiologiques et comportementales.
Les émotions négatives conduisent à des comportements différents. La peur et l’anxiété conduisent à une aversion au risque alors que la colère et la tristesse tendent à augmenter les risques (Lerner et Keltner, 2000, 2001). […] Les hackers ont intérêt à déclencher de la colère s’ils veulent faire prendre des risques à l’utilisateur.
Les émotions positives semblent aussi agir négativement sur la prise de décision.
Une étude fondamentale (CERT Insider Threat Team, Carnegie Mellon Univ. 2013) a défini les menaces internes produites par ce que l’on nomme désormais les insiders ou les inities. Ces salariés, prestataires ou partenaires ont ou ont eu accès au réseau de l’organisation, à son SI ou aux données et qui par leur action ou leur inaction causent des dommages en augmentant considérablement la probabilité de dommages futurs en matière de confidentialité, intégrité ou de disponibilité des données et des SI. Ces initiés involontaires ne parviennent pas à comprendre et à appliquer les pratiques de sécurité informatique courantes, même après avoir reçu une formation à la cybersécurité (Eftimie, Moinescu et Racuciu, 2020).
Le modèle Big Five permet d’examiner leur personnalité :
Le profil hautement vulnérable qui en résulte de ces modèles de la personnalité aurait une faible ouverture d’esprit, une faible conscienciosité, une forte extraversion, une forte agréabilité et un neuroticisme important.
Certains aspects de la personnalité peuvent représenter une vulnérabilité à long terme face aux cyberattaques orchestrés par des hackers malveillants […]. Il est possible d’établir un référentiel de psychotypes représentant des risques de vulnérabilités majeurs face aux cyberattaques par ingénierie cognitive :
Titre : Dark Cyber, neurospychologie cognitive de la cybercriminalité
Auteur : Bruno Teboul et Eric Malbos
Éditeur : Auto-édité
Pages : 192
Année : 2023
ISBN : 9798871554333
