Une campagne d’hameçonnage simulée : résultats et enseignements

Le message arrive un mardi à 9 h 12. Il annonce, avec le logo du prestataire de paie, un « changement de procédure pour l’accès à vos bulletins » et invite à se reconnecter avant vendredi. Il est faux : c’est le premier exercice de phishing organisé par la direction de cette organisation de quatre cents personnes. Ce scénario type suit la campagne de sa préparation à ses suites, et montre pourquoi le chiffre qui fait réagir la direction n’est pas le plus important.

Pourquoi un exercice, et pourquoi maintenant

L’organisation (une entreprise de services avec plusieurs sites) a connu l’année précédente une tentative d’escroquerie au faux fournisseur, déjouée de justesse par une comptable attentive. La direction s’interroge : le personnel saurait-il reconnaître un courriel malveillant plus élaboré ? Le responsable informatique propose une campagne simulée, outil courant de sensibilisation.

Avant de lancer quoi que ce soit, trois décisions sont prises en comité de direction.

L’objectif est d’apprendre, pas de contrôler. Aucun résultat individuel ne sera transmis aux managers ; aucune sanction ne sera prise. Les résultats seront présentés de manière agrégée, par site et par grande famille de métiers.

Le personnel est prévenu du principe. Une note annonce que des exercices de sensibilisation, dont des courriels simulés, auront lieu dans l’année, sans en préciser la date. Les représentants du personnel sont informés en amont, et le délégué à la protection des données valide la finalité et la durée de conservation des résultats.

On mesure aussi les signalements. Un bouton « Signaler un courriel suspect » est ajouté à la messagerie deux mois avant l’exercice, avec une courte communication sur son usage.

Le choix du message

La difficulté du message conditionne entièrement le résultat. Un courriel grossier, plein de fautes, fera peu cliquer et ne dira rien ; un courriel indiscernable d’un vrai, utilisant des informations internes, fera cliquer presque tout le monde et ne dira rien non plus. L’équipe vise un niveau réaliste : un prétexte plausible, un expéditeur qui imite un prestataire connu, une adresse d’envoi légèrement différente de la vraie, un lien vers une page d’apparence crédible, et une urgence modérée.

Certains thèmes sont écartés d’emblée : une fausse prime, une fausse annonce de licenciements ou un faux message de santé. Ils seraient efficaces, mais ils joueraient sur l’angoisse ou l’espoir des salariés, et laisseraient des traces durables dans la relation de confiance. Le thème de la paie est retenu parce qu’il correspond à des attaques réellement observées, sans exploiter une situation sensible.

Ce qui se passe le jour J

• 9 h 12envoi échelonné sur une heure, par lots
• 9 h 19premier clic
• 9 h 31premier signalement, par une assistante de direction
• 10 h 00plusieurs collègues se préviennent entre eux par messagerie
• J + 3clôture et page explicative pour tous

Les premiers clics arrivent en quelques minutes, ce qui ne surprend pas l’équipe : c’est le cas dans la plupart des campagnes, réelles ou simulées. Une partie des personnes qui cliquent vont jusqu’à saisir leurs identifiants sur la fausse page, qui ne les enregistre pas mais compte la tentative. Le premier signalement intervient un quart d’heure après l’envoi. D’autres suivent. Des salariés s’avertissent aussi par la messagerie instantanée, sans passer par le bouton de signalement : un comportement utile, mais invisible pour l’équipe de sécurité.

Ceux qui cliquent sont redirigés vers une page courte qui explique que le message était un exercice, montre les indices qui auraient permis de le repérer et rappelle comment signaler un courriel suspect. Le ton est neutre, sans reproche.

Ce que disent les résultats, et ce qu’ils ne disent pas

Lors de la restitution, le taux de clic attire toute l’attention : plus élevé que ce que la direction imaginait. La discussion s’oriente aussitôt vers les services « les plus mauvais ». Le responsable informatique la recadre avec trois observations.

Le taux de clic mesure surtout la difficulté du message. Le même personnel, face à un courriel plus grossier, aurait affiché un taux bien plus faible. Comparer des services entre eux a peu de sens quand ils ne reçoivent pas les mêmes types de messages au quotidien : un service achats habitué aux courriels de fournisseurs est naturellement plus exposé.

Le chiffre décisif est le délai du premier signalement. Lors d’une attaque réelle, ce qui compte est que l’équipe de sécurité soit prévenue assez tôt pour bloquer l’expéditeur, supprimer le message des autres boîtes et réinitialiser les comptes compromis. Un signalement en un quart d’heure permet de limiter les dégâts ; encore faut-il qu’il soit traité aussitôt, ce qui n’est pas le cas ce jour-là, le signalement arrivant dans une boîte consultée une fois par jour.

La protection ne peut pas reposer sur les personnes. Avec plusieurs centaines de destinataires, quelqu’un cliquera toujours. La question utile est : que se passe-t-il ensuite ? Ici, les identifiants saisis auraient permis à un attaquant d’accéder à la messagerie depuis l’extérieur, faute d’authentification à plusieurs facteurs sur ce service.

Un exercice d’hameçonnage réussi n’est pas celui où personne ne clique. C’est celui après lequel un clic ne suffit plus à compromettre l’organisation.

Les suites données

La direction renonce à l’idée initiale d’un classement des services. Elle retient deux indicateurs pour les exercices suivants : la part des destinataires qui signalent le message, et le délai entre l’envoi et la neutralisation du message dans toutes les boîtes. Le taux de clic reste suivi, mais comme indicateur secondaire, en gardant à l’esprit qu’il dépend du message choisi.

Cette approche rejoint les mises en garde publiées par plusieurs autorités de cybersécurité, dont le centre national de cybersécurité britannique, contre les campagnes punitives qui découragent le signalement.

Ce que l’on retient

Un exercice d’hameçonnage est un outil utile, à condition de savoir ce qu’il mesure. Bien préparé (objectif d’apprentissage, transparence sur le principe, prétexte réaliste mais respectueux, mesure des signalements), il révèle moins la vulnérabilité des personnes que celle de l’organisation : délais de traitement, absence d’authentification forte, procédures de paiement trop confiantes. Ce sont ces faiblesses qu’il faut corriger en priorité.

Pour les organisations soumises à NIS 2, la sensibilisation et l’authentification à plusieurs facteurs font partie des mesures minimales, comme le rappelle notre dossier NIS 2. Notre expertise cybersécurité et conformité peut accompagner la conception d’exercices et la mise en place des mesures qui en découlent.

Scénario type construit à partir de situations courantes ; il ne décrit pas une organisation réelle.

Questions fréquentes

Un exercice de phishing est-il légal ?

Oui, s'il est proportionné et transparent dans son principe : information préalable du personnel qu'une campagne aura lieu dans l'année, consultation des représentants du personnel lorsque c'est requis, traitement des données limité à la finalité de sensibilisation, et absence de sanction individuelle. Les règles précises dépendent du droit du travail et de la protection des données de chaque pays.

Quel indicateur suivre après un exercice d'hameçonnage ?

Le taux de signalement et le délai du premier signalement sont plus utiles que le seul taux de clic. Ils mesurent la capacité de l'organisation à détecter une attaque réelle, alors que le taux de clic dépend fortement de la difficulté du message choisi.

Faut-il sanctionner les personnes qui ont cliqué ?

Non. Les sanctions découragent le signalement, y compris lors d'une vraie attaque, et dégradent la confiance envers l'équipe de sécurité. L'objectif est d'apprendre et de renforcer les protections techniques, qui doivent partir du principe que quelqu'un cliquera toujours.