À quoi sert une simulation de phishing ?

Le phishing, ou hameçonnage, désigne les messages frauduleux qui imitent un expéditeur connu pour voler des identifiants, faire ouvrir une pièce jointe piégée ou obtenir un paiement. On peut expliquer longuement comment le reconnaître. Ce qui compte, pourtant, c'est le geste au moment où le message arrive dans une boîte de réception chargée. La simulation mesure ce geste et l'entraîne.

À quoi sert concrètement une simulation ?

• Mesurer les réflexes réels, et non ceux que chacun pense avoir.
• Entraîner sans conséquence : se tromper sur un exercice ne coûte rien.
• Repérer les pièges qui fonctionnent chez vous : fausse facture, colis en attente, document partagé, message interne.
• Tester le circuit de signalement : le message signalé arrive-t-il à la bonne personne, et qui le traite ?
• Ancrer la formation : une explication reçue juste après l'erreur marque davantage qu'un cours théorique.
• Suivre les progrès d'une campagne à l'autre.

Comment se déroule une campagne ?

1. Cadrage : objectifs, personnes concernées, période, scénarios, validation par la direction.
2. Information préalable des salariés sur le principe des exercices, sans en révéler les dates.
3. Conception des scénarios, de difficulté variable, inspirés des arnaques réelles.
4. Envoi échelonné, pour éviter que tout le monde se prévienne en quelques minutes.
5. Page pédagogique affichée dès le clic : il s'agissait d'un exercice, voici les indices à repérer.
6. Mesure des clics, des saisies, des pièces jointes ouvertes et des signalements.
7. Restitution collective, puis actions ciblées sur les points faibles.

Un bon scénario ressemble à ce que vos équipes reçoivent vraiment : notification de partage de document, relance de facture, message du service informatique demandant de renouveler un mot de passe, avis de livraison. Faites varier les indices à repérer, comme un nom de domaine proche du vrai, une urgence artificielle ou une pièce jointe inattendue.

Quels indicateurs regarder ?

Le taux d'ouverture est peu fiable : de nombreuses messageries bloquent les images qui servent à le mesurer, ou les chargent automatiquement. Mieux vaut ne pas en tirer de conclusion.

Quel cadre respecter ?

• Informer les salariés : le Code du travail prévoit qu'aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance. Annoncez donc le principe des campagnes et leur finalité.
• Représentants du personnel : si un comité social et économique existe, vérifiez s'il doit être informé ou consulté.
• Données personnelles : des résultats individuels sont des données personnelles. Limitez qui y accède, fixez une durée de conservation et inscrivez le traitement dans votre registre des traitements.
• Aucun mot de passe conservé : la fausse page de connexion enregistre le fait qu'une saisie a eu lieu, jamais son contenu.

Ces points ne remplacent pas un avis juridique : pour une situation particulière, consultez les ressources de la CNIL ou votre conseil.

Les erreurs à éviter

• des scénarios blessants, comme une fausse prime ou un faux message sur un licenciement, qui abîment la confiance ;
• la désignation publique de ceux qui ont cliqué ;
• une campagne isolée, sans explication ni suite ;
• des pièges trop faciles, qui rassurent à tort, ou impossibles, qui découragent ;
• oublier de prévenir le support informatique, qui recevra des appels inquiets.

Pour aller plus loin, relisez les indices détaillés dans notre article pour reconnaître un e-mail de phishing. NexSecure conçoit et pilote des campagnes de simulation de phishing avec restitution et explications aux équipes.