Simulation de phishing
L’hameçonnage reste l’une des portes d’entrée les plus fréquentes. Une campagne simulée mesure, dans un cadre maîtrisé, la réaction de vos collaborateurs face à un message crédible, afin d’orienter la sensibilisation là où elle est utile.
- Pour
- Direction · RSSI
- Livrables
- Rapport et restitution
- Interlocuteur
- V. Erudel, OSCP
En quoi consiste la prestation
Les scénarios sont construits avec vous à partir de prétextes réalistes pour votre organisation. Les messages sont envoyés à la population convenue ; les réactions sont mesurées (ouverture, clic, intention de saisie, signalement) sans jamais collecter de mot de passe réel.
L’objectif n’est pas de désigner des personnes. Les résultats servent à améliorer les réflexes collectifs et les procédures de signalement.
Objectifs
- Mesurer l’exposition de l’organisation à l’ingénierie sociale.
- Évaluer l’efficacité du signalement des messages suspects.
- Cibler les actions de sensibilisation.
- Suivre la progression d’une campagne à l’autre.
Ce qui peut être audité
Le périmètre exact est défini avec vous lors du cadrage, en fonction de vos objectifs et de vos contraintes.
- Messagerie
- Campagnes d’e-mails simulés auprès de la population convenue.
- Pages simulées
- Pages factices qui mesurent l’intention de saisie, sans enregistrer de secret.
- Procédures internes
- Signalement, réaction des équipes support et sécurité.
Déroulement de la mission
Chaque étape est convenue à l’avance. La méthodologie complète détaille ce que vous fournissez et ce que vous obtenez à chaque étape.
-
Cadrage
Population ciblée, scénarios, calendrier, information des parties prenantes (direction, RH, représentants du personnel le cas échéant).
-
Préparation
Rédaction des scénarios, mise en place technique, validation avec vous.
-
Campagne
Envoi et mesure des réactions sur la période convenue.
-
Analyse et rapport
Résultats agrégés, enseignements, recommandations.
-
Restitution
Présentation des résultats et pistes de sensibilisation.
Livrables
- Synthèse des résultats, agrégés
- Analyse par scénario
- Recommandations de sensibilisation et de procédure
Ce que vous y gagnez
- Une mesure concrète du risque humain.
- Une sensibilisation ciblée plutôt que générique.
- Des procédures de signalement éprouvées.
Questions sur cette prestation
Toutes les questions Les résultats sont-ils nominatifs ?
Le mode de restitution est défini avec vous au cadrage. Une restitution agrégée est recommandée : l’objectif est d’améliorer les réflexes collectifs, pas de sanctionner.
Des mots de passe sont-ils collectés ?
Non. Les pages simulées mesurent l’intention de saisie sans enregistrer les informations saisies.
Expertises liées
- OSINT Ce qu’un attaquant peut apprendre de votre organisation à partir des seules sources publiques.
- Formation Former vos équipes techniques aux méthodes d’attaque pour mieux concevoir, administrer et défendre.
- Pentest externe Ce qu’un attaquant voit et peut exploiter depuis Internet : services exposés, accès distants, applications publiques.
Un projet de simulation de phishing ?
Décrivez votre contexte en quelques lignes : vous recevez une première réponse sous 24 heures ouvrées, puis une proposition détaillée après un échange de cadrage.