Sensibilisation et simulation d'hameçonnage
Programme qui forme les salariés à repérer un courriel ou un appel frauduleux et mesure le résultat par de faux messages piégés, que le questionnaire cyber interroge par la fréquence et le taux de clic.
La sensibilisation et la simulation d'hameçonnage désignent le programme par lequel une entreprise forme ses salariés à reconnaître un courriel ou un appel frauduleux, puis mesure le résultat en leur envoyant de faux messages piégés. Le cas qui a déplacé la question date de septembre 2023. Chez MGM Resorts, selon le récit des attaquants repris par la presse, l'intrusion est partie d'un appel au service d'assistance informatique, où un interlocuteur s'est fait passer pour un salarié afin d'obtenir une réinitialisation d'accès. Personne n'avait cliqué sur rien. Depuis, les questionnaires les plus fouillés demandent si le support vérifie l'identité de l'appelant avant de réinitialiser un mot de passe ou un facteur d'authentification multifacteur (MFA), et la formation du service d'assistance devient une ligne à part. La question classique reste plus simple : formation au moins annuelle, simulations régulières, suivi du taux de clic et du taux de signalement. Le souscripteur ne voit rien de cela de l'extérieur. Il demande la dernière campagne, son taux de clic, et ce qui arrive au salarié qui clique trois fois. Le taux de signalement dit souvent plus que le taux de clic : une équipe qui signale vite raccourcit le délai entre le premier clic et la réaction de l'équipe sécurité. Côté contrat, la sensibilisation pèse surtout sur la fraude par ingénierie sociale, ce virement exécuté sur la foi d'un faux courriel du dirigeant ou du fournisseur. Beaucoup de polices la couvrent en sous-limite, parfois sous condition d'un contre-appel avant tout changement de coordonnées bancaires. Réserve de praticien : un taux de clic de 2 % sur des gabarits faciles ne prouve pas grand-chose, et les prestataires de simulation laissent l'entreprise choisir la difficulté. Un chiffre bas peut refléter la complaisance du test autant que la vigilance des équipes.
Cas d'école, chiffres inventés : une société de logistique de 900 salariés déclare des simulations trimestrielles. Sur les quatre dernières campagnes, le taux de clic passe de 14 % à 6 %, le taux de signalement de 9 % à 31 %. Le souscripteur demande les gabarits : la dernière imitait un avis de livraison, la plus difficile du lot, et il tient la tendance pour crédible. Il relève en revanche que la comptabilité fournisseurs, quinze personnes qui exécutent les virements, n'apparaît pas à part dans les résultats.
simulation de phishing, campagne d'hameçonnage simulé, formation de sensibilisation à la sécurité, taux de clic
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.