Méthode
Simulation de phishing
Aussi appeléCampagne de phishingTest d’hameçonnage
En résumé
Un exercice où une organisation envoie à ses salariés de faux messages d’hameçonnage, dans un cadre convenu, pour mesurer leur réaction et entraîner le réflexe de signalement. Les résultats servent à améliorer le dispositif et la formation, pas à désigner des personnes.
Simulation de phishing, en détail
Une simulation répond à trois questions : les salariés reconnaissent-ils un message suspect, savent-ils le signaler, et la réponse arrive-t-elle assez vite pour couper une attaque réelle ? L’indicateur principal est le taux de signalement et le délai du premier signalement, plus que le taux de clic, qui dépend surtout de la crédibilité du scénario.
Le cadre compte autant que la technique. Les résultats sont restitués de façon agrégée, jamais nominative ; la page d’atterrissage n’enregistre jamais les mots de passe saisis ; chaque personne qui clique reçoit une explication immédiate et sans jugement ; les scénarios jouant sur la détresse sont écartés. Le cadre juridique, notamment la protection des données et l’information des représentants du personnel, se valide avant le premier envoi.
Qu’est-ce que cela change pour vous ?
Bien conduite, une simulation fait monter le taux de signalement, donc la détection. Mal conduite, elle fait taire les salariés et dégrade son indicateur principal.
Exemple illustratif (fictif)
Prenons une campagne qui envoie un faux avis de partage de document à l’ensemble du personnel. Le taux de clic est l’indicateur le plus commenté, mais le plus utile est ailleurs : le temps écoulé avant le premier signalement au support, et le nombre de signalements. C’est lui qui dit si une vraie attaque serait repérée à temps.
La confusion fréquente
Publier des listes nominatives de ceux qui ont cliqué ou sanctionner le clic : les signalements baissent, et l’organisation devient moins sûre.
Quelles prestations s’appuient sur ce terme ?
- Sensibilisation : la prestationDes équipes qui savent quoi faire devant un message douteux.
- Ingénierie sociale : la prestationMesurer ce qu’un inconnu obtient avec un bon prétexte et un peu d’aplomb.
Aller plus loin
- ArticleSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
Termes liés
- AttaqueHameçonnage : définitionUne technique de fraude qui se fait passer pour un tiers de confiance, par courriel, SMS, appel ou site factice, afin d’amener la victime à révéler des identifiants, ouvrir une pièce jointe piégée ou effectuer une action.
- AttaqueIngénierie sociale : définitionL’ensemble des méthodes qui exploitent le comportement humain plutôt qu’une faille technique pour obtenir un accès, une information ou une action.
- DéfenseAuthentification multifacteur : définitionUne méthode de connexion qui exige au moins deux preuves d’identité de natures différentes : quelque chose que l’on sait (mot de passe), que l’on possède (téléphone, clé de sécurité) ou que l’on est (empreinte).
- DéfenseSIEM et SOC : définitionLe SIEM est une plateforme qui collecte et corrèle les journaux de sécurité de l’ensemble du système d’information pour produire des alertes.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début