How Clicking a Single Link Can Cost Millions | Ryan Pullen | TED

Traducteur: Julien Polomé Relecteur: eric vautier

I received a phone call from somebody who needed my help.

Une organisation m’a appelé pour me demander mon aide.

And they explained to me

On m’a expliqué qu’ils avaient subi une cyberattaque,

that this organization had suffered a cyberattack,

more specifically a ransomware attack,

plus précisément, une attaque par rançongiciel,

which is designed

conçu pour voler les données, mais aussi les rendre inutilisables.

to both steal your data and make it unusable.

It replicates itself throughout the business

Le logiciel se reproduit dans toute l’entreprise

and can drive you down to paper-based controls.

et peut obliger à faire des contrôles sur papier.

And this was an opportunity that I saw

Là, c’était l’occasion pour moi d’avoir une influence positive.

where I could influence something positively.

And it was my job to investigate what had happened,

Et mon travail, c’était d’examiner ce qui s’était passé, comment, et pourquoi.

how it happened and why.

And I saw something that I hadn't experienced before firsthand.

Et j’ai vu quelque chose dont je n’avais jamais fait l’expérience avant.

In 2017, the NHS suffered something similar,

En 2017, le service de santé britannique a subi une attaque similaire,

and it cost nearly 100 million pounds to recover.

qui lui a coûté près de 100 millions de livres.

This incident cost around five million pounds to recover

Cet incident a coûté environ 5 millions et a duré 14 mois.

and took 14 months.

Yet what I saw was the human impact.

Mais ce que j’ai vu, c’est l’impact sur les individus.

How this happened?

Ce qui s’est passé ? Une personne a cliqué sur un lien.

A single individual clicked a link,

and a single individual enabled this, unknowingly,

Une seule personne qui, sans le savoir, a compromis toute une organisation.

to happen to an organization.

Multiple people were signed off sick due to stress,

Des personnes ont été renvoyées chez elles, malades à cause du stress,

and multiple people were unable to go to work the next day

et d’autres n’ont pas pu se rendre au bureau le lendemain

and carry out their job.

et effectuer leur travail.

Now, for me,

Alors, pour moi,

cybersecurity is a very technological-focused term.

la cybersécurité, c’est une notion très axée sur la technologie.

And yet IBM did a study in 2021.

Et pourtant, IBM a réalisé une étude en 2021 :

and 95 percent of cyberattacks

95 % des cyberattaques font appel

used a human element.

à un élément humain.

Now that's all well and good,

Bon, mais concrètement,

but what does that actually mean?

qu’est-ce que cela veut dire ?

It means people can be exploited, too.

Que les gens, eux aussi, peuvent être exploités.

There’s no lines of code, and there’s no fancy software.

Pas de lignes de code, pas de logiciel sophistiqué.

Cybersecurity is, as far as the media is concerned,

La cybersécurité, pour les médias, c’est une affaire

maybe teenagers in their bedrooms causing trouble,

d’adolescents qui causent des problèmes depuis leur chambre,

stealing things and learning how to use them.

qui volent des données et apprennent à les utiliser.

Yet what people don't see is the impact and how his day-to-day life.

Mais ce que les gens ne voient pas, c’est l’impact au quotidien.

And this incident for me,

Et pour moi, cet incident

made me think slightly differently around cybersecurity.

a un peu changé comment je pense à la cybersécurité.

And recently I had an opportunity

Récemment, j’ai eu l’occasion de voir

which presented this thought process.

ce processus de réflexion en action.

I was commissioned to evade security controls

On m’a chargé d’échapper aux contrôles de sécurité

for a very well-known building in London.

d’un bâtiment très connu à Londres.

That’s a snazzy way of saying “break in.”

C’est une manière élégante de dire « cambrioler ».

And effectively, it was my job to see if I could get past the security controls

Et en effet, je devais voir si je pouvais passer les contrôles de sécurité

and get into the building.

et entrer dans le bâtiment.

And so for me, thinking kind of outside of the box,

Il fallait faire preuve d’imagination avec cet immeuble :

this building has floor to ceiling doors,

des portes allant du sol au plafond, une sécurité permanente,

24/7 security team,

endless budget for this kind of thing based on where they are.

et un budget sécurité infini, vu sa localisation.

And so, thinking slightly outside,

Donc, il fallait penser autrement,

I needed to come up with a different plan.

et trouver un plan original.

And ...

Et...

What I did was I tried to go down the social engineering route,

Ce que j’ai fait, c’est de l’ingénierie sociale,

which is the art of kind of deception

c’est l’art de la supercherie,

and making people believe something without the full information.

à faire croire quelque chose sans donner toutes les informations.

And what I did was I walked in the front door,

Ce que j’ai fait, c’est que j’ai franchi la porte d’entrée,

dressed quite similarly to this,

habillé un peu comme ceci,

and I was greeted by eight people

et j’ai été accueilli par 8 personnes.

and I thought, oh, that's a bit over the top.

Je me suis dit que c’était un peu exagéré.

And it's because every single person should have the right information

C’est parce que chacun doit avoir les bonnes informations

and should know where they're going,

et savoir où il va,

It’s very rare for them to be visitors.

les visiteurs sont très rares.

And this person asked me,

Et une personne me demande :

"Why are you here? Who are you here to see?"

« Que faites-vous ici ? Qui êtes-vous venu voir ? »

And I explained, I didn't have an appointment,

Je dis que je n’ai pas de rendez-vous, mais que je dois voir quelqu’un.

but I was here to see a specific person.

And they said, "Yeah, there's no chance you're getting in."

Elle me dit que je ne vais pas pouvoir entrer.

And I thought, oh goodness, I traveled all this way.

Je me dis que j’ai fait tout ce chemin pour rien.

And yet what I know is people are empathetic,

Pourtant, je sais que les gens ont de l’empathie,

and people want to help each other, right?

et qu’ils veulent toujours aider.

And so I made up a story and I said I was here for a legal matter,

Donc, j’invente : je dis que je suis ici pour une affaire juridique,

and I was only able to achieve what I needed to achieve

et que je dois être dans les locaux pour accomplir ce que je devais faire.

on these premises.

And they said, "Yeah, sorry, we're still ..."

Et elle dit : « Désolée, mais bon... »

And I explained the urgency, and I made them feel sorry for me.

J’explique l’urgence, je l’oblige à compatir avec moi.

And what I was thinking about giving this talk,

Et en préparant cette conférence,

I was going to pause and I was going to pretend that I was struggling.

je m’étais dit que j’allais faire semblant de chercher mes mots.

And that emotion that you would have felt

Et l’émotion que vous auriez ressentie,

where you wanted to help me

de vouloir m’aider,

or you wanted me to continue, is exactly how this person felt.

de vouloir que je continue, c’est ce que cette personne a ressenti.

They felt they were stopping me from doing my job, which they were,

Elle sentait qu’elle m’empêchait de faire mon travail, et c’était vrai,

but not for how they expected it.

mais pas de la manière dont elle s’y attendait.

And then I pretended to be on the phone in the foyer, pacing up and down,

Et puis je fais semblant d’être au téléphone, à faire les cent pas,

pretending to be aggravated.

je me donne l’air énervé.

And then the manager came across with a QR code for me and said,

Puis la manager finit par me trouver un QR code, et me dit :

"So sorry for the issues, no problem."

« Désolée pour le dérangement, allez-y. »

And they showed me around a side passage away from the two rounds of security.

Et elle me montre un passage pour éviter les deux étapes de sécurité.

So I had my laptop bag with me with “the evidence,”

J’ai mon sac avec mon ordinateur portable, avec « les preuves »,

and it wasn’t checked and I was able to go in,

mais personne ne me contrôle, et je peux entrer,

and I was able to go to the floor that I needed to.

et me rendre à l’étage où je dois aller.

And I was paid as a cybersecurity expert to evade the controls of this building.

Et moi, expert en cybersécurité, on m’a payé pour infiltrer ce bâtiment.

And all I did was ask for access and make someone feel sorry for me.

Tout ce que j’ai fait, c’est faire en sorte qu’on s’apitoie sur moi.

And so that's two very different perspectives.

Voilà donc deux points de vue très différents.

One, the five-million-pound job and took 14 months to recover

Il y a la mission à 5 millions de livres qui a pris 14 mois,

où j’aidais les gens,

where I was helping people,

but the second, I was the aggressor

mais la deuxième, j’étais l’agresseur, c’était moi, l’intrus.

or the person trying to get in.

Now this is all enabled through the way that humans exist

Tout cela est rendu possible par l’existence des êtres humains

and human behavior.

et leur comportement.

And cybersecurity as a whole doesn't really represent that

La notion de cybersécurité ne rend pas assez compte de cela,

in a way that is sufficient, I don't think.

à mon avis.

And so I have one more narrative and different perspective to share.

J’ai donc un dernier récit à partager, d’une perspective différente.

And it's when I was a victim.

C’est quand j’ai été victime.

This happened only a few weeks ago.

C’était il y a quelques semaines à peine.

And what happened was I received a phone call.

J’ai reçu un appel téléphonique.

It was around 8pm.

Il était environ 20 heures.

I received a phone call from a phone number.

J’ai reçu un appel d’un numéro de téléphone.

And they said, "Hello, is this Mr. Pullen?"

Et la personne dit : « Bonjour, M. Pullen ? »

And I said yes.

Et je dis oui.

And they said, "We've seen your bank cards be used

Il dit : « Vos cartes bancaires ont été utilisées

in a different part of the country."

dans une autre région du pays. »

And I thought, oh goodness.

Et là, je me dis : « Oh là là. »

And what they explained was,

Et il m’explique

they explained there's been three different transactions

qu’il y a eu trois transactions différentes,

and would I like them to block them for me?

est-ce que je veux qu’il fasse opposition ?

I said, "Yes please.

Moi : « S’il vous plaît. Ce serait très utile. »

That would be really helpful."

And I Googled the number out of instinct,

Je cherche le numéro sur Google,

and it was the phone number from the fraud line in the bank.

c’est bien le numéro antifraude de la banque.

And something didn't add up.

Et quelque chose ne colle pas.

And I'm a bit of a pessimist.

Et je suis un peu pessimiste.

I don't really trust people.

Je ne fais pas confiance aux gens.

And so I was instantly on the back foot,

Je suis donc sur la défensive,

and they're saying all of these things,

et il me dit toutes ces choses,

il confirme mon identité.

they were confirming my identity.

They told me where I lived, my mother's maiden name,

Il me dit où j’habite, le nom de jeune fille de ma mère,

and they told me a few other bits of information the bank would know.

d’autres informations, que la banque est censée savoir.

And all of this is to build a perception of credibility.

Et tout cela pour créer une impression de crédibilité.

Why shouldn't I trust you?

Pourquoi ne pas lui faire confiance ?

And why shouldn't you be phoning me to help me?

C’est normal qu’il m’appelle pour m’aider, non ?

And we go back and forth for around an hour and a half,

On fait des allers-retours pendant une heure et demie,

and there was a few things that didn't sit right with me.

et cette histoire est un peu louche.

And so when I was on hold, when they were blocking my transactions,

Alors, je suis en attente, ils bloquent mes transactions.

I phoned the actual fraud line and I said,

Je téléphone au numéro anti-fraude et demande comment vérifier son identité.

is there a way that I can verify their identity?

The person on the phone said, "They sound very professional and legitimate"

La personne au téléphone me dit : « Il a l’air professionnel et légitime »

and they were.

et c’est vrai.

I asked for their name, and they had a fake LinkedIn profile.

Je demande son nom, il a un faux profil LinkedIn.

Il me donne un faux numéro d’identification de crime.

They had a fake crime reference number for me.

And ...

Et...

Me experiencing this firsthand,

En faire l’expérience directe,

having investigated things like this on a regular basis for mortgages

après avoir souvent enquêté sur des sujets comme celui-ci,

and transactions ending up in the wrong place,

avec des prêts, des transactions, qui finissaient au mauvais endroit,

I knew something wasn’t sitting quite right,

je sais que quelque chose ne va pas.

and the true person put a note on my account

Le vrai employé de la banque met une note sur mon compte,

and I explained to the person,

alors je demande à la personne :

"Can you tell me what the note says, please?"

« Pouvez-vous me dire ce que dit la note ? »

And that was the first time they got a little bit flustered.

Et là, pour la première fois, il perd un peu ses moyens.

And it took them five minutes and they said,

Après cinq minutes, il me dit : « Nous allons vérifier,

"We'll go and check with accounts team.

mais en attendant, pouvez-vous me donner le code dans l’application ? »

But in the meantime, can you tell me the code that it says in your mobile app?"

Là, j’ai raccroché, j’ai fait remplacer mes cartes, et tout s’est bien terminé.

At which point I hung up, got my cards replaced, and I was OK.

But these three narratives

Mais ces trois récits

of cybercrime or scams or criminal behavior

de cybercriminalité, d’arnaques ou de comportements criminels

are all technology-focused with the end goal

se concentrent sur les technologies pour atteindre leur but

but are human-led.

mais sont menés par des personnes.

And you may ask, "How is this possible?"

Et on peut se demander : « Comment est-ce possible ?

"Why can this be so easy?"

Pourquoi est-ce si facile ? »

I've literally just walked into a building

Je viens littéralement d’entrer dans un bâtiment,

and asked someone to let me in with a fake story.

j’ai demandé qu’on me laisse entrer avec une histoire bidon.

And someone's phoned me up with a small piece of information

Et quelqu’un m’a appelé avec quelques informations

and built this incredible picture around, OK, yes, I should trust you.

tout ça pour que je me dise : je dois lui faire confiance.

And it's because data has a value in different pockets,

En fait, mettre la main sur les données de quelqu’un,

c’est très précieux,

and with small bits of information you can build quite a narrative,

et avec de petites informations, on peut créer tout un récit,

as you can see.

comme on a pu le voir.

And so today,

Et donc de nos jours,

what you would be able to do

ce qu’il est possible de faire

on the kind of criminal underground, if you like,

dans la clandestinité criminelle, si on veut,

would be buy 1,000 email addresses and passwords

c’est acheter 1 000 adresses mail et mots de passe,

for around six US dollars

ça coûte environ six dollars,

a cup of coffee in some places, right?

le prix d’un bon café, pas vrai ?

That's 1,000 people's account details that you may be able to log into

Vous pourriez vous connecter au compte de mille personnes

or have tangible information to create a case,

ou disposer d’informations solides pour créer un dossier,

and that might be pretending to be Amazon for a password reset.

et se faire passer pour Amazon, réinitialiser le mot de passe.

It might be what location you went on holiday,

On peut découvrir où vous êtes allé en vacances,

and we're going to do a bit more of a targeted attack that way.

et réaliser une attaque un peu plus ciblée.

And this information is available

Et ces informations sont disponibles

because of vulnerabilities from a technical standpoint.

en raison de vulnérabilités techniques.

Yet this is to exploit human behaviors.

Mais ça permet d’exploiter le comportement humain.

Take my parents, for example.

Mes parents, par exemple.

I think I’m in cybersecurity because my parents give me a balance.

Je travaille dans la cybersécurité grâce à l’équilibre de mes parents.

My mom is 100 percent, 110 percent optimist.

Ma mère est optimiste à 100 %, 110 %.

Nothing's going to go wrong, everything's OK,

Rien ne va mal se passer, tout va bien,

no one's going to hurt my little boy and all of this sort of stuff.

personne ne fera de mal à mon fiston, tout ça.

And my dad's much more on the pessimistic end where,

Et mon père est bien plus pessimiste, du genre,

“Why do you want to know me?

« Pourquoi voulez-vous ces informations ? »

Why do you want this information?”

And so that balance for me brings kind of both sides of the story.

Pour moi, cet équilibre nous donne les deux côtés de l’histoire.

And my mom is the sort of person that would have shared

Ma mère est du genre à partager

the traditional WhatsApp messages,

les messages WhatsApp classiques,

250 pounds at Christmas and oh, how lovely that would be,

250 £ à Noël, oh là là, comment ce serait chouette,

pay for your Christmas lunch and all those sorts of things.

on pourrait payer le repas de Noël, et tout ça.

And that then becomes a whole different attack vector,

Et donc voilà un vecteur d’attaque complètement différent,

because it's coming from someone you trust,

c’est une personne en qui on a confiance qui partage un lien,

and they're sharing you a link

and they're sharing something you might want to click,

sur lequel on pourrait vouloir cliquer,

and you begin to trust it even more.

et on lui fait encore plus confiance.

And so my talk is around really focusing on the ways

Pour cette conférence, je voulais explorer

in which human behavior is exploited

comment le comportement humain est exploité

and how we can benefit and protect each other.

et comment nous protéger les uns les autres.

And it's OK to call these things out.

Il faut signaler ces comportements.

And so there's some basic things you can do,

Il y a des réflexes de base :

such as resetting passwords

réinitialiser ses mots de passe

and making sure you're not using the same password for all your accounts.

et ne pas utiliser le même mot de passe pour tous les comptes.

Because if one of your passwords did get leaked,

Parce que si l’un de vos mots de passe a fuité,

you would like to know, OK, it's just this one account,

on préfère se dire, bon, c’est seulement ce compte-là,

and I understand that's the one I need to look after.

c’est celui-là dont je dois m’occuper.

Mais beaucoup de gens utilisent le même profil pour Facebook,

When many people will use the same profile for Facebook,

their bank -- their online banking, sorry,

leurs services bancaires en ligne

and sites that you can purchase things.

et les boutiques en ligne.

So you might be able to go on Amazon

Donc on pourrait aller sur Amazon

and buy an iPhone with someone's username and password, right?

et acheter un iPhone avec le mot de passe de quelqu’un, non ?

Bank account details are stored.

Les coordonnées bancaires sont conservées.

And that creates a whole different perspective of risk and cybercrime.

C’est une tout autre perspective du risque et de la cybercriminalité.

And so for me,

En ce qui me concerne,

I don't believe any generation can avoid this anymore.

plus aucune génération n’est à l’abri désormais.

Children are being raised with iPads,

Les enfants sont élevés avec des iPad

and older generations are online shopping

et les seniors font des achats en ligne par confort,

because of convenience and accessibility to services they may not have had before.

grâce à des services qui ne leur étaient pas accessibles avant.

And so I believe that understanding how these things may happen

Je pense qu’en comprenant comment ces choses peuvent se produire

and putting some light on them

et en les mettant en lumière

can really impact the way in which people conduct themselves

on peut avoir un impact sur le comportement des gens,

and challenge when things may not feel quite right.

et les encourager à contester quand une situation semble étrange.

And so for me,

Donc, pour moi,

going through this journey and those three different perspectives,

ces expériences, ces trois points de vue différents,

the one where I was the person helping, five million pounds,

celui où je venais en aide, 5 millions de livres, où j’ai vu de la vraie souffrance.

and seeing people really suffer.

The second one where I was putting people potentially in that position,

Le second, où j’ai potentiellement mis des gens dans la même position,

however fully ethically, and I was meant to be there for my job.

même de manière totalement éthique, c’était mon travail.

And the third where I was the victim,

Et le troisième, où j’ai été victime,

it shows that it can take many different shapes based on information.

montre que cela prend une forme différente selon les informations.

And information can come from social media.

Et on les trouve sur les réseaux sociaux.

And so if you're going on holiday to Mexico,

Donc, si vous partez en vacances au Mexique,

say, for your honeymoon,

disons, en lune de miel,

you've saved up all of this money.

vous avez beaucoup économisé.

Wonderful, have a lovely time.

Super, profitez bien.

Yet someone you know or an acquaintance

Mais quelqu’un que vous connaissez,

ou bien, vos préparatifs sont visibles au public...

or you have public visibility of your arrangements.

If someone knows that information

Si quelqu'un connaît ces informations

and they know the bank you may work with,

et qu’il connaît votre banque,

they could phone you whilst you land and say,

il pourrait vous appeler à l’atterrissage, et vous dire :

"We've seen your card be used in this location."

« Votre carte a été utilisée à tel endroit ».

Now, how are you going to feel

Alors, comment allez-vous réagir

if someone's saying your card is being used and it's you?

si vous savez que c’est vous qui utilisez votre carte ?

You're going to feel OK, cool, yeah, this is me, no problem.

Très bien, cool, oui, c’est moi, pas de problème.

And they say, "OK, can you just confirm your identity?

Alors il vous dit : « Peut-on confirmer votre identité ?

Because we want to make sure this is you.

Nous voulons nous assurer qu’il s’agit bien de vous.

Can you just tell me your card number?"

Quel est le numéro de votre carte ? »

So you do, and then you're asked why you're there.

Puis on vous demande ce que vous faites ici.

"I'm on my honeymoon."

« Lune de miel. - Ah, profitez bien. »

"Have a lovely time."

All of these social engineering, empathetic side of behaviors.

C’est ça, l’ingénierie sociale, le côté empathique.

And then you get down into the more conversational elements.

Ensuite, vous passez aux éléments de conversation.

"OK, can you just confirm your card isn't going to expire?

« Pour confirmer que la carte ne va pas expirer,

quelle est la date d’expiration ? »

When does it expire, please?"

There's many different ways you can pose questions to make people feel acceptance.

Il y a de nombreuses façons de poser ces questions pour mettre les gens à l’aise.

And then lastly, "Can you just check the security pin

Et enfin : « Pouvez-vous vérifier le code PIN

so I know which card I'm going to disable?"

pour que je sache quelle carte désactiver ? »

And by that time what you've done is

Et à ce moment-là,

il sait qu’il y a de l’argent sur votre compte

you've told someone you've got money in your bank

que vous avez mis de côté pour cette merveilleuse occasion,

because you've been saving for this wonderful occasion,

et que vous êtes dans un autre pays, impuissant.

and also you're not going to be in the country to do anything about it.

And so from a cybersecurity perspective,

Du point de vue de la cybersécurité,

exploitation can happen in many different ways,

l’exploitation a de nombreux visages,

and I don't think it's publicized around the human elements enough.

et je trouve que l’élément humain n’est pas assez médiatisé.

And so if you take one thing from today,

Donc, si vous retenez une chose de cette conférence,

I ask that you see this as your opportunity

je vous demande de saisir cette occasion

to make sure that you protect your own information and your loved ones

pour veiller à protéger vos informations, celles de vos proches

and your identity online.

et votre identité en ligne.

There's no problem with using social media.

Les réseaux sociaux, c’est très bien.

All I ask is you consider who you're sharing that information with.

Mais je vous demande de penser à qui vous partagez vos informations.

The reason being that information is valuable, even if it's not to you.

Ces informations sont précieuses, dans d’autres mains que les vôtres.

It could build a picture,

Elles permettent de créer une image,

and it could cause you some trouble.

qui peut vous attirer des problèmes.

Consider who you share your information with.

Réfléchissez avec qui vous partagez vos informations.

Thank you.

Merci.

(Applause)

(Applaudissements)