Regarder par-dessus l'épaule (Shoulder surfing) est une technique d'ingénierie sociale utilisée pour dérober de l'information à une personne en particulier, en sécurité informatique.
Normalement, cette technique est utilisée pour obtenir le numéro de sécurité sociale de la victime ainsi que ses mots de passe ou d'autres données confidentielles. Pour mettre en œuvre cette technique, il n'y a pas besoin de compétences particulières, uniquement d'agilité et de préparation.
Il existe deux façons de réaliser l'attaque, la première, assez rapprochée, consiste à regarder par-dessus l'épaule de la personne espionnée en tentant d'observer les données qu'elle introduit dans des champs. La seconde, plus éloignée, implique l'utilisation de jumelles ou d'appareils adaptés, tels que des micros ou des caméras-espion.
Au début des années 1980, cette technique était appliquée à proximité des cabines téléphoniques dans le but d'obtenir des informations sur la carte d'appel et pouvoir ensuite effectuer des appels à longue distance gratuitement. Parfois, ces informations pouvaient être vendues illégalement.
Néanmoins, l'essor de nouvelles technologies telles que les caméra ou les microphones discrets ont facilité cette pratique, notamment en favorisant des attaques à plus longue distance.
Une caméra-espion permet de capturer tout le processus d'identification ainsi que des données confidentielles de la victime, ce qui peut être exploité en vue d'usurpations d'identité ou dans le but d'effectuer des achats à partir des données de l'attaqué.
Les lieux massivement fréquentés sont les plus propices pour les attaquants et souvent ils observent l’environnement des victimes potentielles avant de mener leur méfait.
Les procédures les plus propices à l'usurpation d'identité sont les suivantes :
la saisie de l'adresse mail sur une page d'identification ;
l'identification au sein d'une application ;
le retrait d'argent en distributeur automatique ;
le remplissage de documents bancaires (dépôts, prêts...).