En bref
Une simulation de phishing envoie à vos salariés de faux messages d’hameçonnage, avec leur accord de principe et un cadre écrit, pour mesurer leur réaction et entraîner le réflexe de signalement. Une campagne utile mesure d’abord le taux de signalement, pas seulement le taux de clic, restitue les résultats de façon agrégée et jamais nominative, et s’accompagne d’une explication immédiate pour celui qui a cliqué. Mal conduite, elle détruit la confiance et fait baisser les signalements.
À quoi sert une simulation de phishing ?
L’hameçonnage : définition reste l’une des portes d’entrée les plus courantes, et le référentiel MITRE ATT&CK : définition le classe parmi les techniques d’accès initial, avec plusieurs variantes : pièce jointe, lien, service tiers. Une simulation ne remplace pas les protections techniques, mais elle mesure et entraîne la seule défense qui reste quand un message traverse les filtres : un salarié qui hésite, vérifie et signale.
Le but n’est pas de prendre des gens en faute. C’est de répondre à trois questions utiles à l’organisation : les salariés savent-ils reconnaître un message suspect, savent-ils comment le signaler, et la réponse arrive-t-elle assez vite pour couper une attaque réelle ?
Quels indicateurs mesurer pour une campagne utile ?
- Le taux de signalement : la part des destinataires qui signalent le message. C’est l’indicateur principal, car un signalement précoce permet de bloquer l’attaque pour tous.
- Le délai de premier signalement : le temps entre l’envoi et la première alerte arrivée à l’équipe technique. Il dit si le circuit fonctionne.
- Le taux de clic et de saisie d’identifiants : utile comme repère, mais mauvais indicateur seul. Un taux de clic bas peut simplement refléter un scénario peu crédible.
- Le taux de récidive après explication : il mesure si l’entraînement produit un effet.
- La réaction du dispositif : le message simulé a-t-il été bloqué, détecté, retiré des boîtes ?
Quelles erreurs détruisent la confiance ?
- Publier des listes nominatives de personnes ayant cliqué, ou les transmettre à la hiérarchie. Le résultat est un silence : on ne signale plus par peur d’être désigné.
- Sanctionner un clic. Une organisation qui punit l’erreur obtient moins de signalements, donc plus de risque.
- Envoyer toujours le même scénario facile et se féliciter d’un faible taux de clic.
- Ne rien expliquer à celui qui a cliqué. L’explication immédiate, courte et sans jugement est ce qui produit l’apprentissage.
- Oublier les autres canaux : appel téléphonique se faisant passer pour le support, demande par messagerie instantanée, faux fournisseur qui change ses coordonnées bancaires.
À quelle fréquence mener des campagnes ?
Plusieurs campagnes courtes dans l’année valent mieux qu’une grosse campagne annuelle : le rappel régulier garde le sujet vivant. Variez les scénarios, ciblez par métier (finance, ressources humaines, direction) et reliez chaque campagne à une courte session de formation. Le guide NIST SP 800-50 sur les programmes de sensibilisation et de formation insiste sur la nécessité d’un programme continu plutôt que d’un événement isolé.
Comment présenter les résultats à la direction ?
La direction attend un chiffre ; offrez-lui une tendance et une décision. Présentez l’évolution du taux de signalement et du délai de premier signalement d’une campagne à l’autre, plutôt qu’un taux de clic isolé. Un taux de clic qui baisse sans que le signalement monte peut simplement signifier que les scénarios étaient plus faciles à repérer.
Accompagnez chaque résultat d’une action : si le signalement est faible, simplifier le bouton de signalement ; si une population est particulièrement touchée, ajouter une session ciblée ; si le message simulé n’a pas été bloqué, revoir le filtrage. Une campagne qui ne débouche sur aucune décision est un exercice de communication, pas un outil de sécurité.
Rappelez enfin ce que la simulation ne mesure pas : elle teste un vecteur, le message, pas l’ensemble des attaques par ingénierie sociale : définition. Un appel téléphonique, une demande sur une messagerie instantanée ou un faux fournisseur demandent d’autres exercices, dont un exercice de crise pour les équipes sensibles.
À retenir
- 1Le taux de signalement est le meilleur indicateur ; le taux de clic seul induit en erreur.
- 2Les résultats sont agrégés, jamais nominatifs, et aucun clic n’est sanctionné.
- 3Faites valider le cadre juridique et social avant le premier envoi.
- 4Des campagnes courtes et variées, reliées à une explication immédiate, valent mieux qu’un événement annuel.
Comment construire des scénarios crédibles et éthiques ?
Un scénario efficace reprend ce qu’un salarié reçoit au quotidien : une relance de facture, une demande de validation de document partagé, un message du service informatique annonçant l’expiration d’un mot de passe, une notification de messagerie. Plus il est proche du quotidien du métier ciblé, plus il mesure quelque chose de vrai.
Certains scénarios sont à écarter : ceux qui jouent sur la détresse (une fausse annonce de décès, de licenciement, de prime ou de résultat médical), car ils blessent et nuisent à la confiance. Une règle simple : si le message ferait honte à son auteur une fois la simulation révélée, il ne doit pas être envoyé.