Méthodes de cyberattaque

Quelle est la description la plus appropriée de l'attaque de point d'eau (watering hole) ?

1. Échanger plusieurs fois des courriels anodins se faisant passer pour une demande de renseignements professionnelle afin de désarmer la vigilance, avant d'envoyer une pièce jointe contenant un logiciel malveillant.
2. Modifier à l'avance un site Web fréquemment consulté par l'organisation ciblée, de sorte que la simple visite de ce site par la cible provoque l'infection par un logiciel malveillant.
3. Duper un responsable comptable par un courriel usurpant l'identité d'un dirigeant ou d'un partenaire commercial, pour lui faire virer de l'argent sur un compte préparé par l'attaquant.
4. Se faire passer par SMS pour un avis d'absence d'un livreur, et rediriger via une URL raccourcie vers un faux site pour faire saisir un identifiant et un mot de passe.

Parmi les attaques ciblées, quelle méthode est appelée « attaque par échange progressif » ?

1. Envoyer d'un coup un volume massif de communications depuis de nombreux relais infectés par un logiciel malveillant, pour rendre le service ciblé incapable de répondre.
2. Échanger d'abord plusieurs courriels anodins, comme une simple demande de renseignements, pour désarmer la vigilance de l'interlocuteur, puis envoyer une pièce jointe contenant un logiciel malveillant.
3. Rechercher, à partir des publications sur les réseaux sociaux, l'appartenance de la cible, ses partenaires commerciaux et les projets en cours.
4. Faire consulter un site Web modifié, pour faire télécharger un logiciel malveillant à l'insu de l'utilisateur et infecter le terminal.

Un courriel signé du nom d'un interlocuteur chez un partenaire commercial est arrivé, indiquant que « le compte bancaire de virement a été modifié ». Quelle est la réponse la plus appropriée pour se prémunir contre la fraude au président (BEC) ?

1. Appeler immédiatement le numéro de téléphone indiqué dans le courriel pour confirmer le changement directement auprès de l'interlocuteur concerné.
2. Si l'adresse de l'expéditeur correspond visuellement à celle déjà enregistrée, procéder directement au virement vers le nouveau compte.
3. Appeler le numéro de téléphone du partenaire déjà enregistré par l'entreprise pour confirmer le changement, et faire valider le traitement par plusieurs personnes.
4. Faire analyser la pièce jointe et le corps du courriel par le logiciel antivirus, et poursuivre le traitement normalement si aucun logiciel malveillant n'est détecté.

Quelle est la description appropriée du smishing ?

1. Se faire passer, par un appel vocal, pour un employé d'un établissement financier ou d'un organisme public, afin de soutirer oralement un code confidentiel ou un numéro de carte.
2. Rediriger vers un faux site au moyen d'un SMS (message court), pour faire saisir un identifiant, un mot de passe ou un numéro de carte.
3. Fouiller dans des documents ou des supports de stockage jetés à la poubelle pour collecter des informations internes à l'entreprise.
4. Afficher un faux avertissement d'infection virale pendant la navigation, pour faire appeler le numéro de téléphone indiqué et exiger de l'argent ou une prise de contrôle à distance.

Pendant la consultation d'un site Web, un signal sonore d'avertissement retentit et un écran affiche : « Vous êtes infecté par un virus. Veuillez appeler immédiatement le numéro indiqué. » Quelle est la réponse la plus appropriée de l'utilisateur ?

1. Payer les frais de « support » demandés à l'écran pour faire lever l'« infection ».
2. Télécharger un logiciel antivirus depuis le lien affiché à l'écran et l'exécuter directement.
3. Ne pas téléphoner ni payer, fermer le navigateur et signaler l'incident au service informatique.
4. Appeler immédiatement le numéro affiché et installer, en suivant les instructions, un logiciel de « réparation ».

Lequel des actes suivants relève de l'ingénierie sociale ?

1. Envoyer d'un coup un volume massif de communications depuis de nombreux appareils infectés par un logiciel malveillant, pour rendre un serveur incapable de répondre.
2. Envoyer dans un champ de saisie une chaîne de caractères modifiant une instruction adressée à la base de données, pour en extraire les informations des membres.
3. Téléphoner à un utilisateur en se faisant passer pour un employé du service informatique, afin de lui soutirer son mot de passe.
4. Exploiter une vulnérabilité du système d'exploitation pour exécuter une commande arbitraire sur un serveur.

Quel mécanisme est efficace pour détecter et bloquer, côté réception, un courriel usurpant l'adresse de l'expéditeur ?

1. L'authentification du domaine d'envoi, telle que SPF, DKIM ou DMARC
2. Les paramètres liés (mécanisme de liaison) lors de la construction d'instructions SQL
3. L'échappement des caractères spéciaux contenus dans une chaîne affichée sur une page Web
4. Le verrouillage du compte après un certain nombre d'échecs de connexion consécutifs

Un entraînement aux courriels d'attaque ciblée a été réalisé. En tant que responsable de la sécurité de l'information, quel critère d'évaluation faut-il privilégier ?

1. Mesurer combien de personnes ayant remarqué un courriel suspect l'ont signalé, et le temps écoulé entre la remarque et le signalement.
2. Utiliser à chaque fois exactement le même texte et le même horaire d'envoi pour le courriel d'entraînement, et comparer uniquement l'évolution du taux d'ouverture sur le long terme.
3. Ne comptabiliser que le nombre de personnes ayant ouvert le courriel d'entraînement par service, et publier en interne un classement des services par taux d'ouverture croissant.
4. Identifier les employés ayant ouvert le courriel d'entraînement et l'inscrire dans leur évaluation professionnelle, en répétant l'entraînement jusqu'à ce que le taux d'ouverture baisse.

Concernant l'usage des réseaux sociaux par les employés, quelle est l'explication la plus appropriée du risque en matière de sécurité de l'information ?

1. Les utilisateurs de réseaux sociaux échappent au champ de l'ingénierie sociale.
2. Les informations publiées sur les réseaux sociaux, comme l'appartenance, le poste ou les lieux visités, sont collectées et utilisées comme matière pour un courriel d'attaque ciblée se faisant passer pour un projet réel.
3. L'utilisation des réseaux sociaux réécrit nécessairement le cache des serveurs DNS sur le trajet, et redirige l'utilisateur vers un faux site.
4. Les textes publiés sur les réseaux sociaux étant transmis par une communication chiffrée, publier des informations professionnelles n'équivaut pas à une fuite d'information.

Un employé s'aperçoit qu'il a ouvert la pièce jointe d'un courriel d'attaque ciblée. Quelle est la procédure de premières mesures que l'organisation doit avoir définie ?

1. Supprimer soi-même tous les fichiers et courriels suspects, et, si aucun problème de fonctionnement ne se manifeste ensuite, s'abstenir délibérément de tout signalement.
2. Éteindre immédiatement le PC, le redémarrer, effectuer une analyse complète avec le logiciel antivirus, puis signaler au service informatique s'il y a un problème.
3. Pour ne pas effacer les preuves, continuer le travail en observant la situation avant de faire un signalement.
4. Déconnecter immédiatement le réseau (débrancher le câble filaire, couper le Wi-Fi), sans éteindre l'appareil, et contacter le service informatique.

Quelle est la description appropriée de l'attaque par liste de mots de passe (password list attack) ?

1. Essayer méthodiquement, pour un seul identifiant, toutes les combinaisons de caractères envisageables, en commençant par les plus courtes.
2. Essayer tel quel, sur un autre service, un couple identifiant-mot de passe ayant fui d'un autre service.
3. Fixer le mot de passe à une chaîne fréquemment utilisée, et faire varier successivement l'identifiant.
4. Utiliser une table de correspondance entre valeurs de hachage et chaînes d'origine, pour retrouver le mot de passe original à partir d'une valeur de hachage dérobée.

Sur le site des membres de l'entreprise, de nombreuses connexions non autorisées se sont produites avec des couples identifiant-mot de passe corrects. Les mots de passe des utilisateurs étaient tous suffisamment longs et complexes. Quelle est la mesure la plus appropriée à prendre ?

1. Faire modifier par le prestataire de développement les requêtes vers la base de données pour qu'elles soient construites avec des paramètres liés (mécanisme de liaison).
2. Informer les utilisateurs de ne pas réutiliser le même mot de passe sur d'autres services, et introduire en complément une authentification multifacteur.
3. Intégrer dans les pages de mise à jour un jeton imprévisible, et vérifier que la valeur envoyée correspond bien à ce jeton.
4. Appliquer un traitement d'échappement aux chaînes affichées à l'écran, afin que les symboles ne soient pas interprétés comme un script.

Bien qu'un verrouillage de compte soit en place, une connexion non autorisée a eu lieu sans que le verrouillage ne se déclenche jamais. Quelle est l'attaque la plus probable ?

1. L'attaque DoS, qui envoie un volume massif de communications à un serveur pour rendre le service incapable de répondre
2. L'attaque par force brute, qui essaie de façon continue, pour un seul identifiant, toutes les combinaisons de caractères envisageables
3. L'attaque par pulvérisation de mots de passe, qui essaie un mot de passe courant sur de nombreux identifiants, en espaçant peu à peu les tentatives
4. L'attaque par dictionnaire, qui essaie de façon continue, sur un seul identifiant, des mots figurant dans un dictionnaire ou des chaînes fréquemment utilisées

Quelle est la description appropriée de l'attaque par force brute inversée ?

1. Utiliser une table de correspondance préparée à l'avance pour retrouver le mot de passe original à partir d'une valeur de hachage.
2. S'interposer entre deux parties qui communiquent, pour espionner ou modifier le contenu échangé.
3. Fixer un mot de passe unique et essayer successivement différents identifiants.
4. Renvoyer tel quel des données d'authentification interceptées, pour passer l'authentification.

Quelle est la description appropriée de la différence entre l'attaque par dictionnaire et l'attaque par force brute ?

1. L'attaque par dictionnaire essaie comme candidats des mots ou des chaînes fréquemment utilisées, tandis que l'attaque par force brute essaie méthodiquement toutes les combinaisons de caractères envisageables.
2. L'attaque par dictionnaire utilise une table préparée à l'avance pour retrouver la chaîne originale à partir d'une valeur de hachage, tandis que l'attaque par force brute fait varier l'identifiant en essayant.
3. L'attaque par dictionnaire détourne une session déjà authentifiée, tandis que l'attaque par force brute devine et essaie le mot de passe.
4. L'attaque par dictionnaire essaie tel quel un couple identifiant-mot de passe ayant fui, tandis que l'attaque par force brute essaie des mots de dictionnaire.

Quelle est la mesure la plus appropriée contre l'attaque par table arc-en-ciel (rainbow table) ?

1. Concevoir le système de sorte qu'il ne reçoive pas directement de nom de fichier de la part de l'utilisateur, mais le fasse désigner par un identifiant préparé à l'avance.
2. Ajouter à chaque mot de passe une chaîne aléatoire différente (le sel) avant le hachage, et répéter en outre le calcul de hachage (l'étirement, ou stretching).
3. Intégrer dans les pages de mise à jour un jeton imprévisible, et vérifier côté serveur, à chaque fois, que le jeton envoyé est correct.
4. Rendre un compte temporairement inutilisable après un certain nombre d'échecs de connexion consécutifs, et exiger un déverrouillage par l'administrateur.

Quelle est la description appropriée du détournement de session (session hijacking) ?

1. Falsifier l'adresse IP source d'un paquet pour se connecter en contournant une restriction d'accès.
2. Envoyer d'un coup un volume massif de communications depuis de nombreux relais infectés par un logiciel malveillant, pour rendre le serveur ciblé incapable de répondre.
3. Faire mémoriser au cache d'un serveur DNS de fausses informations d'adresse, pour rediriger vers un faux site l'utilisateur ayant saisi la bonne URL.
4. Deviner ou dérober l'identifiant de session d'un utilisateur connecté, pour agir en usurpant son identité.

Dans une application Web, quelle est la mesure la plus appropriée pour empêcher le détournement de session par vol de cookie ?

1. Définir les attributs HttpOnly et Secure sur le cookie, chiffrer les communications en TLS, et régénérer l'identifiant de session lors d'une connexion réussie.
2. Demander aux utilisateurs de changer régulièrement de mot de passe, interdire la réutilisation d'un mot de passe déjà utilisé, et envoyer un rappel à ceux qui ne l'ont pas changé.
3. Rendre un compte temporairement inutilisable après un certain nombre d'échecs de connexion consécutifs, avec déverrouillage automatique après un délai.
4. Obliger les utilisateurs à définir un mot de passe d'une longueur minimale, mêlant majuscules, minuscules, chiffres et symboles.

Lors de l'utilisation d'un système interne depuis un réseau Wi-Fi public à l'extérieur de l'entreprise, quelle est la mesure la plus appropriée contre l'écoute ou l'altération par une attaque de l'homme du milieu (MITM) ?

1. Faire changer les utilisateurs pour des mots de passe longs et complexes, et les faire changer régulièrement à intervalles fixes.
2. Rendre un compte temporairement inutilisable après un certain nombre d'échecs de connexion consécutifs et notifier l'administrateur.
3. Chiffrer les communications en TLS ou par VPN, et interrompre la connexion en cas d'avertissement sur le certificat du serveur.
4. Modifier le système pour que les requêtes vers la base de données soient construites à l'aide de paramètres liés (mécanisme de liaison).

Quelle est la combinaison appropriée du contenu de l'attaque par rejeu (replay attack) et de sa contre-mesure ?

1. Une attaque qui essaie successivement des mots figurant dans un dictionnaire pour franchir l'authentification, contre laquelle le sel et l'étirement constituent des mesures.
2. Une attaque qui fait cliquer un utilisateur connecté sur un lien piégé pour lui faire exécuter, à son insu, une opération non voulue, contre laquelle le verrouillage de compte et le changement régulier de mot de passe constituent des mesures.
3. Une attaque qui envoie un volume massif de requêtes de connexion à un serveur pour arrêter le service, contre laquelle l'authentification multifacteur constitue une mesure.
4. Une attaque qui renvoie tel quel des données d'authentification interceptées pour passer l'authentification, contre laquelle un mot de passe à usage unique, un nombre aléatoire à usage unique ou un horodatage constituent des mesures.

Une grande quantité d'informations de membres a fui du site des membres de l'entreprise ; l'enquête a révélé qu'une chaîne de caractères modifiée avait été envoyée dans un champ de saisie et avait altéré une instruction adressée à la base de données. Quelle est la correction de fond la plus appropriée à demander au prestataire de développement ?

1. Rendre l'authentification multifacteur obligatoire pour les utilisateurs, et exiger la saisie d'un code de confirmation à la connexion.
2. Intégrer dans les pages de mise à jour un jeton imprévisible, et ajouter un mécanisme de vérification de sa valeur lors de l'envoi.
3. Ajouter un mécanisme rendant un compte temporairement inutilisable après un certain nombre d'échecs de connexion consécutifs, et notifier l'administrateur.
4. Construire les instructions SQL avec des paramètres liés (mécanisme de liaison), afin que les valeurs saisies ne soient jamais interprétées comme des instructions.

Sur un forum qui affiche tel quel le contenu saisi par les utilisateurs, on a découvert une vulnérabilité permettant l'exécution d'un script malveillant dans le navigateur des autres utilisateurs qui consultent la page. Quelle est la mesure la plus appropriée ?

1. Hacher le mot de passe des utilisateurs avec un sel, puis effectuer un étirement (stretching) avant de l'enregistrer dans la base de données.
2. Appliquer un traitement d'échappement lors de l'affichage, afin que les symboles ne soient pas interprétés comme un script.
3. Construire les instructions SQL avec des paramètres liés (mécanisme de liaison), afin que les valeurs saisies ne soient jamais interprétées comme des instructions.
4. Intégrer dans les pages de mise à jour un jeton imprévisible, et vérifier côté serveur la valeur envoyée.

Un utilisateur connecté a simplement ouvert un lien contenu dans un courriel, ce qui a déclenché une résiliation de compte qu'il n'avait pas voulue. Quelle est la mesure la plus appropriée contre cette attaque ?

1. Cesser de recevoir directement un nom de fichier de la part de l'utilisateur, et revoir la conception pour désigner la cible par un identifiant préparé à l'avance.
2. Rendre un compte temporairement inutilisable après un certain nombre d'échecs de connexion consécutifs, avec déverrouillage après un délai.
3. Appliquer un traitement d'échappement aux chaînes affichées à l'écran, afin que les symboles saisis ne soient pas interprétés comme un script.
4. Intégrer dans la page qui traite la demande un jeton imprévisible, et vérifier que le jeton envoyé est correct.

Quelle est la description appropriée de la traversée de répertoire (directory traversal) ?

1. Mêler un chemin relatif au paramètre désignant un nom de fichier, pour lire un fichier d'un répertoire supérieur dont la publication n'est pas prévue.
2. Envoyer des données d'une longueur dépassant la zone mémoire réservée par un programme, pour en détourner le fonctionnement.
3. Introduire une chaîne de caractères modifiée dans un champ de saisie, altérer une instruction adressée à la base de données, et en extraire des informations non publiées.
4. Superposer une autre page rendue transparente sur l'écran authentique, pour faire cliquer l'utilisateur à un endroit non voulu.

Quel est le dommage le plus probable pouvant résulter d'une injection de commande OS ?

1. Un script malveillant est exécuté dans le navigateur du visiteur, et son cookie ou son identifiant de session est dérobé.
2. Avec les droits de l'utilisateur connecté, un changement de paramètre ou une résiliation non voulue par l'intéressé est exécuté.
3. Une commande désignée par l'attaquant est exécutée sur le serveur Web, qui se retrouve entièrement sous son contrôle.
4. Le cache d'un serveur DNS est modifié, et l'utilisateur ayant saisi la bonne URL est redirigé vers un faux site.

Quelle est la combinaison appropriée de l'attaque exploitant un dépassement de tampon (buffer overflow) et de sa contre-mesure ?

1. Une attaque qui affiche tel quel une chaîne saisie par l'utilisateur, pour exécuter un script malveillant dans le navigateur d'autres utilisateurs, contre laquelle l'introduction d'un verrouillage de compte constitue une mesure.
2. Une attaque qui essaie tel quel, sur un service, un couple identifiant-mot de passe ayant fui d'un autre service, contre laquelle l'utilisation de paramètres liés constitue une mesure.
3. Une attaque qui envoie un volume massif de communications depuis de nombreux relais infectés par un logiciel malveillant, contre laquelle l'échappement à l'affichage constitue une mesure.
4. Une attaque qui envoie des données d'une longueur dépassant la zone mémoire réservée par un programme, pour en détourner le fonctionnement, contre laquelle le contrôle de la longueur des données saisies et l'application de correctifs constituent des mesures.

Quelle est la description appropriée du détournement de clic (clickjacking) ?

1. Faire consulter un site Web modifié pour exploiter une vulnérabilité du navigateur et faire télécharger un logiciel malveillant à l'insu de l'utilisateur.
2. Sur une page qui affiche tel quel une chaîne saisie par l'utilisateur, faire exécuter un script dans le navigateur d'autres utilisateurs qui la consultent.
3. Envoyer à de nombreux serveurs DNS des requêtes dont l'adresse IP source est falsifiée, pour concentrer sur la cible des réponses volumineuses.
4. Superposer une autre page rendue transparente sur l'écran authentique, pour faire cliquer l'utilisateur à un endroit qu'il ne pensait pas avoir choisi et exécuter une opération.

Quelle mesure, prise du côté de l'utilisateur, est la plus efficace pour prévenir une infection par téléchargement furtif (drive-by download) ?

1. Supprimer chaque jour l'historique de navigation et le cache du navigateur.
2. Revoir les droits d'accès du dossier partagé de l'entreprise pour les limiter aux seules personnes concernées.
3. Changer régulièrement de mot de passe, et ne pas réutiliser le même sur d'autres services.
4. Maintenir toujours à jour le système d'exploitation, le navigateur et les logiciels qu'il utilise.

Quelle est la description appropriée de la différence entre le cross-site scripting (XSS) et la falsification de requête intersite (CSRF) ?

1. Le XSS redirige l'utilisateur vers un faux site pour lui faire saisir son identifiant et son mot de passe, et se prévient en sensibilisant les utilisateurs ; le CSRF envoie un volume massif de communications à un serveur pour le rendre incapable de répondre, et se prévient par le contrôle du volume de communication.
2. Le XSS exécute une commande OS arbitraire sur le serveur Web, et se prévient par la validation des entrées ; le CSRF fait déborder une zone mémoire pour détourner le fonctionnement, et se prévient par l'application de correctifs.
3. La mesure contre le XSS est la vérification d'un jeton, et la mesure contre le CSRF est l'échappement à l'affichage.
4. Le XSS exécute un script dans le navigateur d'un autre utilisateur, et se prévient par l'échappement ; le CSRF fait exécuter une opération non voulue avec les droits de l'utilisateur, et se prévient par la vérification d'un jeton.

Dans une application Web, pour quelles attaques la validation des entrées (ne laisser passer que les caractères ou les noms autorisés) constitue-t-elle une mesure efficace ?

1. La traversée de répertoire et l'injection de commande OS
2. L'attaque par rejeu et le détournement de session
3. L'empoisonnement du cache DNS et l'attaque par réflexion DNS
4. L'attaque par table arc-en-ciel et l'attaque par liste de mots de passe

Quelle est la description appropriée de l'attaque DDoS ?

1. Installer secrètement sur l'ordinateur d'un utilisateur un programme de minage de cryptomonnaie, et en exploiter sans autorisation la puissance de calcul et l'électricité de façon continue pour en tirer profit.
2. Compromettre d'abord une organisation à la défense faible, comme un partenaire commercial ou une filiale, puis s'en servir comme relais pour pénétrer dans l'organisation réellement visée et en dérober les informations recherchées.
3. S'interposer secrètement entre deux parties qui communiquent, pour espionner le contenu échangé ou en transmettre une version modifiée à l'autre partie, contrôlant ainsi la communication.
4. Envoyer d'un coup un volume massif de communications ou de requêtes de traitement depuis de nombreux appareils infectés par un logiciel malveillant, pour rendre le service ciblé inutilisable.

Quelle est la description appropriée de l'attaque par réflexion DNS (amplification DNS) ?

1. Cliquer manuellement de façon répétée sur le bouton de rechargement du navigateur, pour faire recharger la même page de nombreuses fois et imposer une charge continue au serveur.
2. Envoyer seulement un grand nombre de requêtes de connexion sans jamais répondre, pour accumuler des connexions en attente et épuiser les ressources du serveur, arrêtant ainsi le service.
3. Envoyer à de nombreux serveurs DNS de petites requêtes dont l'adresse IP source est falsifiée pour désigner la cible, afin de concentrer sur elle des réponses volumineuses.
4. Faire mémoriser au cache d'un serveur DNS de fausses informations d'adresse, pour rediriger vers le faux site de l'attaquant l'utilisateur ayant saisi la bonne URL.

Quelle est la description appropriée de l'attaque SYN Flood ?

1. Attaquer en exploitant une vulnérabilité pour laquelle aucun correctif n'a encore été fourni.
2. Notifier une fausse correspondance entre l'adresse MAC et l'adresse IP source, pour attirer vers son propre appareil les communications d'un même réseau local et les espionner.
3. Envoyer un volume massif de simples requêtes de connexion, et, en ne répondant jamais, accumuler des connexions en attente jusqu'à épuiser les ressources du serveur.
4. Envoyer dans un champ de saisie d'une application Web une chaîne de caractères modifiée, pour altérer une instruction adressée à la base de données et en extraire les informations des membres.

Bien que l'utilisateur ait saisi la bonne URL, il se retrouve connecté à un faux site Web. Quelle attaque est la cause la plus probable de ce phénomène ?

1. L'attaque SYN Flood
2. L'attaque par rejeu
3. Le détournement de clic (clickjacking)
4. L'empoisonnement du cache DNS

Quelle est la combinaison appropriée décrivant l'usurpation ARP (ARP spoofing) et l'usurpation d'adresse IP (IP spoofing) ?

1. L'usurpation ARP falsifie le nom de l'expéditeur d'un courriel pour gagner la confiance, et l'usurpation d'adresse IP modifie une page Web pour en altérer l'affichage.
2. L'usurpation ARP falsifie, au sein d'un même réseau local, la correspondance entre adresse MAC et adresse IP pour attirer les communications, et l'usurpation d'adresse IP falsifie l'adresse IP source d'un paquet.
3. L'usurpation ARP falsifie l'adresse IP source d'un paquet, et l'usurpation d'adresse IP falsifie la correspondance des adresses MAC au sein d'un même réseau local.
4. L'usurpation ARP fait mémoriser au cache d'un serveur DNS de fausses informations pour rediriger vers un faux site, et l'usurpation d'adresse IP vole l'identifiant de session d'un utilisateur pour usurper son identité.

Quelle est la préparation la plus appropriée contre une attaque zero-day ?

1. En plus d'une mise à jour rigoureuse, combiner défense en profondeur et détection comportementale, et mettre en place un dispositif de détection et de réponse prévoyant une intrusion.
2. Régler la réception de tous les courriels externes en refus systématique, et remplacer les communications professionnelles uniquement par le téléphone.
3. Faire strictement respecter un changement régulier de mot de passe, et diffuser la consigne de cesser toute réutilisation.
4. Puisqu'appliquer un correctif suffit toujours à s'en protéger, se contenter d'informer l'interne de veiller à toujours mettre à jour, sans autre préparation particulière.

Quelle est la description appropriée de l'attaque de la chaîne d'approvisionnement (supply chain attack) ?

1. Compromettre un partenaire commercial ou une filiale à la défense faible, ou le fournisseur d'un logiciel largement répandu, pour atteindre par ce biais l'organisation réellement visée.
2. Appeler par téléphone en utilisant une voix de dirigeant synthétisée par IA, pour donner au responsable comptable une instruction de virement présentée comme urgente vers le compte de l'attaquant.
3. Envoyer d'un coup un volume massif de communications depuis de nombreux relais vers le serveur public de l'entreprise, pour arrêter la prise de commandes et entraver l'activité.
4. Installer secrètement sur les PC de l'entreprise un programme de minage de cryptomonnaie, et en exploiter sans autorisation la puissance de calcul et l'électricité.

Le fournisseur d'un logiciel professionnel utilisé depuis des années par l'entreprise a été compromis, et un programme malveillant s'était glissé dans la mise à jour publiée sur le site de distribution officiel. Le poste de l'entreprise qui l'a appliquée a été infecté. Quelle est la leçon la plus appropriée à tirer de ce cas ?

1. Ayant compris que l'application de mises à jour est en soi dangereuse, définir comme politique interne de ne plus jamais appliquer les correctifs distribués par le fournisseur et de continuer à utiliser la version actuelle, en le diffusant à tous les services.
2. Même une voie d'obtention légitime peut être compromise ; il faut donc suivre en continu les informations publiées par le fournisseur, permettre de surveiller les communications ou comportements suspects après une mise à jour, et préparer un dispositif de détection et de réponse en prévoyant une intrusion.
3. Faire changer les utilisateurs pour des mots de passe longs et complexes et introduire l'authentification multifacteur suffit à prévenir le même dommage.
4. C'est le fournisseur qui a été compromis, et comme l'obtention se fait depuis le site de distribution officiel, l'utilisateur n'a aucun moyen de le déceler ; il n'existe donc aucune mesure ni préparation possible du côté de l'entreprise.

Comment se manifeste le plus souvent un dommage causé par le cryptojacking ?

1. Les informations clients sont publiées sur un forum externe, et un afflux de demandes et de plaintes de la part des clients perturbe l'activité normale, mobilisant l'entreprise plusieurs jours durant.
2. Le site Web de l'entreprise cesse de répondre, ce qui rend impossible la prise de commandes, et l'entreprise continue de perdre des occasions de chiffre d'affaires jusqu'au rétablissement.
3. Bien que l'URL saisie soit correcte, l'utilisateur se retrouve connecté à son insu à un faux site, et son identifiant, son mot de passe ou son numéro de carte lui sont dérobés.
4. Sans qu'aucune fuite d'information ne soit constatée, le fonctionnement de l'appareil devient soudainement lent, ou le coût d'utilisation du cloud ou la facture d'électricité augmente de façon inhabituelle.

Face à la propagation de l'usage malveillant de l'IA générative et des deepfakes, quelle est la réponse la plus appropriée à adopter par une organisation ?

1. Informer les employés qu'un courriel rédigé dans un japonais naturel et sans faute peut être considéré comme authentique.
2. Autoriser un virement ou un changement de compte de destination sur la seule base d'une instruction orale, dès lors que la voix au téléphone correspond à celle de l'intéressé.
3. Ne pas juger de l'authenticité sur le seul naturel du texte ou de la voix, et rendre obligatoires, pour tout virement ou changement de compte de destination, un rappel de vérification vers un contact déjà enregistré et l'approbation de plusieurs personnes.
4. Interdire totalement l'usage de l'IA générative en interne suffira à faire disparaître les dommages causés par les courriels d'hameçonnage.