Ingénierie sociale et phishing : pourquoi votre plus grand risque de sécurité est humain et comment y remédier

Pourquoi la sensibilisation traditionnelle à la sécurité échoue

La plupart des organisations considèrent la sensibilisation à la sécurité comme une case à cocher de conformité : un module de formation en ligne annuel sur lequel les employés cliquent le plus rapidement possible. Cette approche échoue pour plusieurs raisons.

Ce n'est pas mémorable. Une formation générique et fortement théorique ne crée pas de changement de comportement durable. Les gens oublient le contenu en quelques semaines.

Ce n'est pas pertinent. Une formation universelle ne répond pas aux menaces spécifiques auxquelles sont confrontés les différents rôles. Un membre de l’équipe financière est confronté à des tactiques d’ingénierie sociale différentes de celles d’un développeur ou d’un cadre.

Ce n'est pas mesuré. La plupart des programmes suivent les taux d’achèvement, et non les changements de comportement. Des taux d’achèvement élevés créent un faux sentiment de sécurité.

Ce n'est pas continu. La formation annuelle ne suit pas l'évolution des tactiques. Les attaquants s’adaptent constamment ; les défenses doivent le faire aussi.

Construire un programme de sécurité centré sur l’humain

Simulations de phishing — Des simulations de phishing régulières et réalistes testent la vigilance des employés et mesurent leur vulnérabilité au fil du temps. Les simulations doivent refléter les tactiques du monde réel – du phishing de masse générique au spear phishing ciblé adapté à des rôles et des services spécifiques. Les résultats doivent être utilisés à des fins de coaching et d’amélioration, jamais à des fins de punition.

Formation basée sur les rôles — Différents rôles sont confrontés à différentes menaces. Les équipes financières ont besoin d’une formation sur la fraude aux factures et la compromission des e-mails professionnels. Les dirigeants doivent être conscients de la chasse à la baleine et de l’usurpation d’identité du PDG. Les équipes informatiques ont besoin d’une formation sur le prétexte et la reconnaissance de l’ingénierie sociale. Les développeurs ont besoin d’une connaissance sécurisée du codage. Un contenu personnalisé et adapté au rôle améliore considérablement l’engagement et la rétention.

Micro-apprentissage — Des modules d'apprentissage courts et fréquents (5 à 10 minutes) dispensés régulièrement sont bien plus efficaces que des sessions marathon annuelles. Chaque module peut se concentrer sur une tactique, une technique ou un scénario spécifique, gardant le contenu frais et digeste.

Renforcement positif – Récompensez le comportement de signalement, pas seulement en évitant les clics. Les organisations dotées d’une forte culture de sécurité facilitent et encouragent le signalement des e-mails suspects. Chaque rapport, même les faux positifs, renforce la vigilance.

Mesures importantes — Suivez les taux de clics des simulations de phishing au fil du temps, les taux de reporting (le pourcentage d'e-mails de phishing simulés signalés par les employés), le délai de signalement (la rapidité avec laquelle les employés signalent les e-mails suspects), les taux de récidivistes et les taux réels d'incidents de sécurité en corrélation avec les activités de formation.

Au-delà du courrier électronique : le paysage plus large de l’ingénierie sociale

Même si le phishing domine, l’ingénierie sociale s’étend bien au-delà du courrier électronique. Le phishing vocal (vishing) utilise des appels téléphoniques pour usurper l'identité du support informatique, des banques ou des agences gouvernementales. Le phishing par SMS (smishing) cible les utilisateurs mobiles avec des liens malveillants. L’ingénierie sociale physique comprend le passage dans des installations sécurisées, l’usurpation d’identité de vendeurs et la plongée dans les bennes à ordures. Et la compromission de la messagerie professionnelle (BEC) exploite les comptes de messagerie de dirigeants compromis ou usurpés pour autoriser des virements électroniques frauduleux.

Un programme complet s'attaque à tous ces vecteurs, pas seulement au courrier électronique.

Trufe crée des programmes de sécurité centrés sur l'humain qui réduisent les risques d'ingénierie sociale grâce à des simulations réalistes, une formation basée sur les rôles et un changement de comportement durable. Contactez-nous pour évaluer la posture de sécurité humaine de votre organisation.

--- ---