On a fait un test de phishing avec les employés, résultat pire que prévu

L'idée du taux de signalement nous a beaucoup aidé, merci. Chez nous, seules trois personnes ont signalé, dont deux de la même équipe.

Une autre question : vous suggérez quoi pour simplifier le signalement ? Là, les gens doivent envoyer un mail à une adresse dédiée à l'équipe sécu et j'ai l'impression que personne ne se casse la tête.

C'est exactement là que tu perds. Plus le chemin de signalement est long, moins il y a de signalements.

La solution technique est simple : ajoutez un bouton "signaler suspect" en un clic dans le client mail. C'est dispo en plugin sur la plupart des systèmes de messagerie pro. L'utilisateur clique, le message part à l'équipe sécu et disparaît de sa boîte de réception.

Le processus compte aussi : faites toujours un retour à celui qui a signalé. La phrase "C'est analysé, c'était inoffensif, merci quand même d'avoir signalé", c'est ça qui incite au prochain signalement. Un signalement sans réponse, c'est le dernier signalement.

Et ne grondez jamais pour une fausse alerte. Cent fausses alertes coûtent moins cher qu'une vraie attaque ratée.

J'aimerais ajouter un point côté communication interne, car si la communication autour de ces exercices est mal gérée, ça peut nuire à la confiance envers l'entreprise.

Je recommande de respecter trois principes lors de l'annonce des résultats. Les résultats doivent être partagés à l'échelle de l'entreprise, pas par service ou par personne. Le ton doit être explicatif, pas accusateur ; au lieu de dire "X personnes ont cliqué", il faut expliquer "quels éléments de cet e-mail le rendaient crédible". Enfin, il faut montrer concrètement quoi faire si ce même e-mail était envoyé par un vrai attaquant.

Quand on appliquait ces trois points, la participation augmentait et la défensive baissait.

Les gars, je suis plombier, ces sujets me parlent pas trop mais je vous raconte un truc, ça peut servir : le mois dernier j'ai reçu un message comme ça, j'attendais un colis justement ce jour-là, j'ai failli cliquer sur le lien.

Ce qui m'a sauvé, c'est que le nom du transporteur était bon mais l'adresse dans le message était totalement différente, ça m'a sauté aux yeux, j'ai appelé la boîte et en fait ça n'avait rien à voir avec mon envoi.

Donc je veux dire, j'ai pas suivi de formation mais comme j'attendais un truc, j'ai failli me faire avoir, vos employés ont dû faire pareil je pense, c'est pas leur faute.

Le cas raconté par Recep résume bien le sujet : le phishing joue plus sur l'attente que sur la négligence.

Pour ceux qui planifient une campagne de sensibilisation, voici un ordre pratique :

D'abord, mettez en place le canal de signalement. Avant la formation, il faut qu'il y ait un seul moyen simple de dire "si vous doutez, cliquez ici".

Ensuite, faites des formations courtes et fréquentes. Plutôt que 2h une fois par an, 15 min tous les 3 mois donnent de bien meilleurs résultats.

Puis répétez l'exercice et suivez le taux de signalement et le temps de premier signalement plutôt que le taux de clic.

Enfin, n'oubliez pas les mesures techniques : la sensibilisation seule ne suffit pas. Quand la double authentification est activée, un mot de passe volé ne sert à rien. On ne peut pas éliminer l'erreur humaine, mais on peut en neutraliser les conséquences.

Si vous voulez en discuter en détail, ouvrez un sujet d'entraide, on vous aidera.

vous avez raison.

Il faut y aller étape par étape. Quand on décide sans mesurer on revient toujours au même point.

Je vais résumer le sujet, car plusieurs réponses différentes ont été données. Ce qui nous faisait perdre le plus de temps, c'était l'absence de clarté sur qui prenait les décisions.

Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production. À votre place, j'irais par cette voie.

Chez nous aussi.

Merci de partager le résultat.

Sujet très actuel.

Je suis d'accord.

J'y pensais aussi. N'hésitez pas à demander, celui qui ne demande pas paie toujours plus cher.

Quand on essaie de tout changer en même temps, rien ne prend. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Merci de partager le résultat. Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

J'aurais une question, sans vouloir m'éloigner du sujet. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.

C'est confirmé par l'expérience.

C'est exactement ça. Essayer de faire cela seul est la voie la plus coûteuse.

Oui, la situation est exactement ainsi concernant phishing. Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

Ma question va paraître un peu novice désolé d'avance. Une sauvegarde non testée n'est pas une sauvegarde.

Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.