Baiting (appât)

Définition

Le baiting propose une contrepartie désirable — un contenu, un logiciel, un objet ou un avantage — dont l'obtention exige une action de la victime : ouvrir un fichier, installer un programme, brancher un support, ou fournir une information en échange.

Comment ça fonctionne

L'appât inverse la relation habituelle : la victime n'est pas sollicitée, elle est à l'initiative. Un support de stockage abandonné dans un lieu de passage sera branché par curiosité, et cette curiosité est prévisible. Un logiciel payant proposé gratuitement sera téléchargé et installé volontairement, avec les autorisations que cela suppose. Un contenu convoité — un document, un enregistrement, une série — justifie de désactiver un avertissement de sécurité. Comme l'action vient de la personne, les protections ne sont pas contournées techniquement : elles sont autorisées. La variante dite du quid pro quo échange l'appât contre un service : une assistance informatique offerte, un cadeau contre un questionnaire, un accès contre un renseignement.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Contenu payant ou rare proposé gratuitement, sans explication de la gratuité
• Support de stockage trouvé, reçu par courrier ou remis sans provenance claire
• Installation qui demande de désactiver une protection ou d'ignorer un avertissement
• Contrepartie offerte en échange d'une information ou d'un accès
• Fichier dont l'extension ne correspond pas à ce qu'il prétend être
• Sentiment d'avoir trouvé une bonne affaire, avant toute vérification

Comment vérifier

Posez la question qui manque : pourquoi est-ce gratuit, et qui paie ? Un logiciel a un éditeur et un site officiel, un contenu a un diffuseur, et un support de stockage a un propriétaire identifiable. En l'absence de réponse, l'appât est le produit et vous êtes ce qui est acheté.

Que faire

Ne branchez jamais un support de stockage dont vous ne connaissez pas l'origine — remettez-le au service concerné plutôt que de l'examiner vous-même. N'installez de logiciel que depuis le site de son éditeur, et ne désactivez jamais une protection pour faire aboutir une installation.

Si c'est déjà arrivé

Déconnectez l'appareil du réseau et faites-le analyser par un outil de sécurité à jour. Depuis un autre appareil sain, changez les mots de passe des comptes sensibles en commençant par la messagerie. Si l'appareil appartient à une organisation, prévenez le service informatique avant toute manipulation : les traces sont utiles.

Questions fréquentes

Brancher une clé USB pour voir ce qu'elle contient est-il risqué ?

Oui, et davantage qu'il n'y paraît : un support peut se présenter au système comme un clavier et saisir des commandes sans que vous ouvriez le moindre fichier. Regarder le contenu n'est donc pas une précaution suffisante.

J'ai installé un logiciel gratuit trouvé en ligne, que vérifier ?

Désinstallez-le, lancez une analyse complète, puis vérifiez ce qui est le plus souvent modifié : extensions du navigateur, programmes lancés au démarrage, et règles de transfert de votre messagerie. Changez ensuite vos mots de passe depuis un autre appareil.

Attaques liées

• Phishing (hameçonnage)
• Prétexting (scénario fabriqué)
• Faux gain, fausse loterie
• Infostealer (logiciel voleur d'identifiants)
• Faux téléchargement
• Juice jacking (borne de recharge piégée)
• Cheval de Troie

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement