Rachel Tobac a bâti sa carrière en faisant quelque chose que la plupart des gens n’envisageraient jamais : pirater des organisations avec leur entière permission, puis leur apprendre exactement comment elle le faisait. En tant que PDG de SocialProof Security, la société qu’elle a fondée en 2017, elle dirige une équipe de hackers éthiques spécialisés dans l’ingénierie sociale, l’art de manipuler les personnes plutôt que les systèmes pour accéder à des données, des comptes et des bâtiments sensibles.
Son chemin vers le sommet du monde de la cybersécurité était tout sauf conventionnel. Une formation en neurosciences, psychologie comportementale, comédie d’improvisation et enseignement lui a donné un ensemble de compétences qui se sont avérées bien plus puissantes dans le domaine que n’importe quelle qualification technique. Elle a d’abord attiré l’attention de la communauté de la sécurité en se classant deuxième au concours d’ingénierie sociale Capture the Flag de DEF CON trois années de suite, effectuant des hacks en direct sur de vraies entreprises devant un public de 400 personnes. C’est cette visibilité qui a créé la demande pour SocialProof Security, et elle n’a jamais regardé en arrière depuis.
Aujourd’hui, Rachel est l’une des voix les plus reconnues en matière de cybersécurité. Son travail a été présenté par les principaux diffuseurs et publications, et elle est apparue sur CNN, 60 Minutes et NBC Nightly News avec Lester Holt pour démontrer des techniques de piratage en direct à un public bien au-delà de la communauté de la sécurité. Elle a également siégé au Conseil consultatif technique de la CISA sous la direction de Jen Easterly, contribuant ainsi à la politique nationale de cybersécurité au plus haut niveau du gouvernement.
Alors que l’IA met désormais des outils de piratage sophistiqués à la portée de presque tout le monde, la conversation qu’elle a avec les conseils d’administration depuis des années n’a jamais été aussi urgente. Dans cette interview, elle explique à quoi ressemble le nouvel environnement de menace vu de l’intérieur et ce que les dirigeants d’entreprise peuvent faire dès maintenant pour protéger leurs collaborateurs, leurs données et leur organisation.
Vous avez fondé SocialProof Security en 2017 après avoir terminé deuxième au concours Social Engineering Capture the Flag de DEF CON trois années de suite, un concours en direct où les concurrents piratent de vraies entreprises sur scène devant un public de 400 personnes. Qu’est-ce qui, dans cette expérience, vous a donné la conviction de bâtir une entreprise autour des organisations pédagogiques pour se protéger précisément des techniques que vous maîtrisiez ?
« J’ai lancé SocialProof Security en 2017 parce que cela était essentiellement demandé par les gens qui m’avaient vu concourir au DEF CON au cours des trois années précédentes ! Une grande partie du public du concours d’ingénierie sociale est composée de décideurs de grandes entreprises et ils sont venus vers moi après le concours et m’ont demandé de parler, de former ou de tester (pirater avec consentement) pour leur organisation. Je me demande toujours si j’aurais eu la conviction de créer une entreprise comme SocialProof Security sans la demande directe et le signal élevé. Je pense que c’est super courageux. pour les entrepreneurs qui franchissent le pas avant de savoir s’ils sont adaptés au marché des produits.
La plupart des gens associent le piratage à l’exploitation technique et aux lignes de code, mais votre travail se situe à l’intersection fascinante de la psychologie, du behaviorisme et de la confiance. Vous avez étudié les neurosciences avant de devenir hacker, et ces compétences se traduisent directement dans votre approche de l’ingénierie sociale. En quoi comprendre la façon dont les gens pensent vous donne-t-il un avantage, et comment cette même compréhension aide-t-elle les organisations à construire des défenses plus solides ?
« Mon expérience non technique et sinueuse m’a permis de réussir dans le domaine de la cybersécurité. Je ne serais pas un bon hacker en ingénierie sociale sans mon expérience en comédie d’improvisation (que j’avais l’habitude de jouer les vendredis et dimanches dans la Bay Area). J’ai remarqué que si je peux établir des relations avec des plaisanteries légères, j’ai beaucoup plus de chances de réussir une attaque. Les humains sont également imprévisibles. Les nouveaux hackers me demandent souvent un « arbre de décision » pour déterminer quelles questions poser, dans lesquelles ordre, etc. Mais le véritable succès se produit dans l’ingénierie sociale et le piratage lorsque vous pouvez agir de manière improvisée, je recommande à tous ceux qui s’intéressent à la cybersécurité, au piratage et à la défense de l’improvisation des pratiques.
« De plus, mon diplôme est en neurosciences et psychologie comportementale, j’ai littéralement un diplôme en compréhension de la manière dont les gens prennent des décisions et comment influencer ces décisions (jusqu’au niveau moléculaire). Ce niveau de compréhension comportementale me permet de réussir le piratage de compte, d’obtenir un mot de passe ou un code et je n’ai pas besoin d’un diplôme en cybersécurité pour y parvenir.
« Je me suis également lancé dans l’enseignement directement après l’université, ce qui m’a permis d’acquérir toutes mes compétences en matière de keynote, de formation et d’atelier. Je sais que je peux être confiant, créatif et efficace devant un public de cadres, de personnel technique ou devant un événement All Hands de 20 000 personnes, car j’ai déjà captivé le public le plus exigeant au monde : les collégiens et les lycéens.
« Je pense que beaucoup de gens pensent qu’ils doivent suivre un cheminement linéaire, et un cheminement linéaire fonctionne pour beaucoup de gens (comme étudier la cybersécurité puis obtenir une maîtrise dans le domaine). Mais pour moi, une formation en improvisation, en neurosciences, en psychologie comportementale et en enseignement m’a préparé à réussir dans les keynotes, les formations, les ateliers et les tests d’intrusion. «
Vous avez démontré en direct sur CNN qu’il faut désormais moins de 15 secondes de la voix d’une personne pour créer un clone vocal convaincant de l’IA. Pour les hauts dirigeants qui prennent régulièrement la parole lors de conférences, donnent des interviews aux médias et participent à des appels de résultats, quelles mesures peuvent-ils prendre pour garder une longueur d’avance sur cette technologie et se protéger ainsi que leur organisation ?
« C’est effrayant qu’il faille maintenant environ 10 secondes de la voix de quelqu’un pour créer un clone vocal crédible ! La vérité est qu’il n’est pas possible de protéger votre voix contre le clonage vocal. Si votre voix est diffusée sur Internet (YouTube, LinkedIn, l’histoire Instagram de votre enfant, etc.), elle est clonable pour un attaquant. Plutôt que de s’inquiéter d’essayer d’empêcher les attaquants de créer un clone vocal de votre voix (ce qui n’est pas possible), je recommande de se concentrer sur la façon dont nous éduquons ceux qui nous entourent. Par exemple, si vous êtes un cadre, votre modèle de menace est plus élevé pour que quelqu’un crée un clone vocal et tente de tromper votre assistant exécutif lors d’un appel, d’une note vocale, d’un message vocal, etc. lors d’interactions sensibles. Si vous appelez pour demander la lecture de votre mot de passe pour One Drive, comment doivent-ils vérifier qu’il s’agit bien de vous ? Peut-être souhaitez-vous qu’ils discutent, vous rappellent pour contrecarrer l’usurpation d’identité ou vous envoient un e-mail pour confirmer l’authenticité de la demande, ou vous préférez potentiellement développer un mot de passe vocal pour vérifier votre identité. Choisissez la méthode de vérification d’identité qui vous convient le mieux au travail et à la maison et communiquez ces protocoles (et le pourquoi) avec vos collègues et votre famille.
Vous avez parlé de l’ingénierie sociale comme d’un élément intégré à la manière dont les gens communiquent et instaurent la confiance. Cette idée est au cœur de ce qui rend votre travail si précieux. Comment les organisations peuvent-elles utiliser une compréhension plus approfondie du comportement humain comme un véritable atout pour construire des cultures de sécurité plus résilientes ?
« L’ingénierie sociale consiste simplement à utiliser des principes de persuasion pour convaincre les gens de faire des choses qui peuvent ou non être dans leur meilleur intérêt. Cela inclut inciter les gens à donner leur mot de passe, m’ouvrir une porte ou simplement convaincre un enfant de manger ses épinards. Comprendre ces principes vous permet de les remarquer en action et d’être poliment paranoïaque sur le moment. Mon chercheur préféré en matière de persuasion est Robert Cialdini. Je recommande son livre intitulé Influence pour en savoir plus sur ses principes de persuasion tels que l’Autorité et l’Urgence (et bien d’autres) ! Par exemple, si vous remarquez qu’un appelant dit qu’il fait partie de la police et qu’il vous demande de payer une amende dans les 24 heures pour éviter la prison, vous pouvez alors vous enregistrer avec votre connaissance des principes de persuasion et repérer un appel à l’autorité (police) et à l’urgence (exigence de 24 heures) sur le moment pour mettre fin à l’attaque immédiatement.
Vous avez siégé au Conseil consultatif technique de la CISA sous la direction de Jen Easterly, contribuant aux initiatives nationales de cybersécurité au niveau gouvernemental. Cette expérience de travail à la fois dans le secteur privé et dans la politique nationale vous offre une perspective rare. Quelles sont les leçons les plus précieuses de ce rôle que les dirigeants d’entreprise peuvent appliquer directement au sein de leur propre organisation ?
« Travailler au sein du Conseil consultatif technique de CISA a été un tel honneur sous la direction de Jen Easterly. Son approche de l’éducation m’a vraiment touché. Je pouvais dire qu’elle se demandait souvent comment elle pouvait rendre un sujet aride (comme l’authentification multifacteur) percutant et intéressant pour le grand public. Ce principe était essentiel dans mon travail avec CISA, j’ai travaillé avec Jen pour créer une série de principes et de vidéos qui abordaient des sujets typiquement ennuyeux de manière créative (nous avons même réalisé un petit clip ensemble).
« Au travail, réfléchissez à la façon dont vous pourriez prendre ce sujet ou ce flux de travail requis et l’habiller d’une manière percutante. Cela ne signifie pas que vous devez vous sentir digne au travail. Cela peut être aussi simple que d’investir vos talents de concepteur dans la communication d’un sujet afin qu’il sorte de la page ou de la présentation. «
Vos démonstrations en direct montrent comment un profil public bien construit, une couverture médiatique, des apparitions à des conférences et une forte présence sur les réseaux sociaux vous fournissent du matériel utile avec lequel travailler en tant que hacker. Pour les dirigeants qui souhaitent rester visibles et engagés publiquement, quelles habitudes pratiques peuvent les aider à le faire en toute confiance et en toute sécurité ?
« Je serais un grand hypocrite si je conseillais à tous les dirigeants d’éviter l’attention du public. Au lieu de cela, je recommande de s’engager publiquement en étant conscient de votre modèle de menace. En tant que dirigeant, vous, votre équipe et votre famille êtes plus susceptibles de recevoir des e-mails, des SMS et des appels de phishing. Éduquez votre entourage sur les escroqueries probables qu’ils verront cette année parce qu’ils sont dans votre orbite (escroqueries telles que : demandes de cartes-cadeaux, demandes de virement bancaire, usurpation d’identité pour les mots de passe et les codes, etc.).
« Intégrez une méthode pour vérifier votre identité dans vos habitudes quotidiennes et renforcez les gens autour de vous lorsqu’ils le font correctement (sans être frustré par les frictions supplémentaires nécessaires). Rendez vos réseaux sociaux personnels privés et vos réseaux sociaux professionnels publics (idem avec votre famille). Utilisez un gestionnaire de mots de passe pour vous assurer d’exploiter des mots de passe longs, aléatoires et uniques pour chaque compte, et activez MFA (cette deuxième étape lorsque vous vous connectez) pour garantir que les attaquants ne peuvent pas accéder à vos comptes si votre mot de passe apparaît dans une violation. «
Les recherches montrent que les e-mails de phishing générés par l’IA atteignent désormais un taux de clics de 54 %, contre 12 % pour un groupe témoin standard. Vous avez bâti votre entreprise sur la conviction qu’un comportement humain informé constitue la ligne de défense la plus puissante. À quoi ressemble une culture de sécurité véritablement forte au sein d’une grande organisation, et comment les meilleurs dirigeants s’y prennent-ils pour la bâtir ?
« Si vous pouvez utiliser le protocole Be Politely Paranoid au travail et à la maison, vous risquez d’être victime d’hameçonnage. Cela signifie vérifier que les personnes sont bien celles qu’elles prétendent être avant d’entreprendre des actions sensibles comme cliquer, télécharger, envoyer de l’argent, etc. Vous pouvez vérifier que l’expéditeur de cet e-mail est sincère par chat, appel ou toute autre méthode de communication avant d’agir. Idem avec un appel téléphonique ou un SMS. «
Vous avez présidé le conseil d’administration de Women in Security and Privacy pendant huit ans, œuvrant pour amener davantage de femmes à des postes de direction dans tous les domaines. D’après votre expérience, qu’apporte une plus grande diversité de points de vue à la manière dont les organisations abordent la sécurité, et quelles opportunités cela crée-t-il pour l’industrie dans son ensemble ?
« La diversité des points de vue est cruciale pour protéger le plus grand nombre de personnes. Si votre équipe ne reflète pas la population de personnes desservie par votre produit, vous ne pourrez pas voir autour des coins pour protéger ces personnes ! Par exemple, les femmes de l’équipe Confiance et sûreté ou Sécurité et confidentialité élaborent souvent des protocoles pour protéger les utilisateurs contre le harcèlement et les abus dont d’autres ne réalisent peut-être pas qu’ils sont essentiels. Mettez votre équipe en miroir des personnes que vous souhaitez protéger pour mieux répondre à leurs besoins en matière de sécurité et de confidentialité. «
