Exercice de phishing
Une campagne d'hameçonnage réaliste envoyée à vos collaborateurs, suivie d'un débriefing. L'objectif est de leur faire vivre une tentative pour qu'ils reconnaissent la suivante, sans chercher à les piéger.
L'hameçonnage reste le premier vecteur d'entrée. Une explication en réunion s'oublie ; un e-mail reçu dans sa propre boîte, suivi d'une explication immédiate, s'oublie beaucoup moins.
Anonyme
Aucun résultat individuel n'est communiqué
3 scénarios
Difficulté croissante, validés avec la direction
3 semaines
Délai conseillé avant l'envoi, pour préparer la délivrabilité
Une campagne réaliste, un débriefing bienveillant
Les référentiels que nous suivons
Le test ne dépend pas de l'inspiration du jour : il suit des méthodes publiques et reconnues, que vos équipes et vos clients peuvent vérifier.
La grille publique qui mesure la difficulté d'un message d'hameçonnage. Elle sert à situer les trois scénarios et à comparer d'une campagne à l'autre.
Les techniques d'hameçonnage répertoriées servent de base aux scénarios envoyés.
Anonymat des résultats, information préalable des salariés, aucune conservation de mot de passe, suppression des données après la restitution.
Trois messages, difficulté croissante
Trois scénarios sont envoyés, du plus grossier au plus ciblé. Les comparer entre eux dit bien plus qu'un taux de clic global.
Le générique
Un message qui pourrait arriver à n'importe qui : une facture en attente, un colis bloqué, une boîte mail saturée. Il teste le réflexe de base, celui qu'une sensibilisation classique suffit à installer.
Le crédible
Un message aux couleurs d'un outil que vous utilisez vraiment (messagerie, espace RH, partage de fichiers), envoyé depuis un domaine très proche du vôtre. Il teste l'attention aux détails : l'adresse de l'expéditeur, l'adresse réelle du lien.
Le ciblé
Un message écrit à partir de ce qui est public sur votre entreprise : le nom d'un dirigeant, un projet annoncé, un salon auquel vous participez. C'est ce que fait un attaquant motivé, et c'est celui qui fonctionne le mieux, y compris sur des personnes averties.
Les scénarios sont validés avec la direction avant l'envoi. Rien ne touche à la vie privée : ni santé, ni salaire, ni famille.
Une campagne se prépare plusieurs semaines à l'avance
La qualité d'un exercice de phishing se joue surtout avant l'envoi. Un message qui atterrit dans les indésirables ne teste plus personne.
Le domaine
Un nom de domaine proche du vôtre doit être déposé, puis laissé vivre quelques semaines : un domaine créé la veille est massivement filtré.
La délivrabilité
Enregistrements d'authentification des e-mails, réputation de l'adresse d'envoi, contenu du message : tout cela décide si le message arrive en boîte de réception.
La coordination
Mise en liste blanche éventuelle avec votre prestataire informatique, choix des dates, information de la direction et des personnes qui recevront les signalements.
Comptez trois semaines entre la validation des scénarios et l'envoi. Dans l'urgence, l'exercice reste possible, mais les résultats sont moins représentatifs.
Ce que vous recevez à la fin
Un rapport anonyme, remis en PDF, et un atelier pour le parcourir avec les équipes. Un exemple complet est consultable, avec une entreprise et des chiffres inventés.
La synthèse
Une page pour la direction : les quatre chiffres de la campagne, trois constats, et les trois actions à mener en premier.
Les résultats
Ouvertures, clics, saisies et signalements, globalement et par scénario, avec la lecture des écarts entre les trois messages.
Le plan d'action
Les mesures classées par rapport entre gain et effort, avec un porteur et un délai pour chacune.
De la préparation à la sensibilisation
Cadrage
Scénarios validés avec la direction, liste de diffusion, dates et personnes prévenues.
Préparation de l'envoi
Domaine, réputation, authentification des e-mails et pages de collecte. C'est cette étape qui décide si les messages arrivent en boîte de réception.
Envoi et suivi
Envoi de la campagne et suivi des ouvertures, des clics et des saisies. Selon le scénario retenu, une page d'explication s'affiche après le clic ou l'information est gardée pour le débriefing.
Rapport & restitution
Rapport anonyme, puis atelier avec les équipes : ce qui a fonctionné, pourquoi, et quoi regarder la prochaine fois.
Sensibilisation
Quand les résultats le justifient, une session de sensibilisation prolonge l'exercice. Elle s'appuie sur les messages réellement reçus, ce qui la rend bien plus concrète qu'un cours général.
Questions sur cette prestation
+Peut-on voir un exemple de rapport ?
Oui, un exemple complet est publié sur cette page, en PDF. Il reprend la structure et le ton d'un rapport réel, avec une entreprise, des personnes et des chiffres inventés.
+Faut-il prévenir les salariés ?
Nous recommandons d'annoncer qu'une campagne aura lieu dans les prochaines semaines, sans préciser la date. Le résultat reste représentatif et l'exercice est perçu comme un entraînement plutôt que comme un piège.
+Les résultats individuels nous sont-ils communiqués ?
Non, jamais. Le rapport donne des chiffres globaux et ce qu'ils signifient. Personne n'est nommé, ni auprès de la direction, ni auprès des managers.
+Combien de temps faut-il prévoir avant l'envoi ?
Environ trois semaines. Ce délai sert à déposer le domaine, construire sa réputation et préparer les pages, pour que les messages arrivent en boîte de réception et non dans les indésirables.
Les durées, délais et repères indiqués sont des ordres de grandeur pour une TPE ou PME ; ils sont confirmés dans le devis.