Comment former contre le phishing sans culpabiliser

La formation au phishing échoue quand elle transforme chaque erreur en procès individuel. Le bon objectif n’est pas de repérer tous les messages frauduleux, objectif imaginaire vendu avec un joli tableau de bord, mais de réduire le temps entre réception, doute et signalement tout en limitant les conséquences d’un clic.

→ Lire l’explication complète de la marmotte

Phishing : choisir la remontée plutôt que la honte

Le compromis central est net : une campagne punitive produit parfois une baisse rapide des clics mesurés, mais elle dégrade le signalement réel. Une approche non culpabilisante demande plus d’ingénierie, plus de traitement des remontées et des métriques moins flatteuses. Elle détecte en revanche les campagnes actives plus tôt et conserve la coopération des personnes ciblées. C’est le choix à faire dès lors qu’un canal de réponse aux signalements existe réellement.

Le phishing désigne une tentative d’obtenir une action ou une information par usurpation : ouvrir une pièce jointe, saisir un mot de passe, approuver une demande d’authentification, appeler un faux support ou modifier des coordonnées bancaires. Le courriel reste dominant, mais le même mécanisme passe par messagerie instantanée, appel téléphonique, code QR et invitation de calendrier. Former uniquement sur les fautes d’orthographe revient donc à installer une alarme sur une fenêtre en laissant la porte de garage porter un badge visiteur.

La consigne opérationnelle doit tenir en trois actions observables :

arrêter l’action avant de saisir un secret ou d’ouvrir une pièce jointe ;
vérifier par un canal déjà connu, jamais avec les coordonnées fournies par le message ;
signaler le message, y compris après un clic ou une saisie.

Le troisième point est le plus souvent saboté par la communication interne. Dire « ne cliquez jamais » crée un mensonge statistique. Dire « signalez vite, même après erreur » crée une capacité de détection. Un signalement tardif reste exploitable : il permet de rechercher le même expéditeur, l’Uniform Resource Locator (URL) ou la pièce jointe dans les journaux de messagerie et de proxy.

Les simulations doivent exclure les thèmes qui exploitent la peur personnelle, le salaire, l’immigration ou les difficultés familiales. La pression psychologique n’évalue pas une compétence, elle mesure surtout la disponibilité mentale du jour. Une formation qui gagne parce qu’elle piège quelqu’un entre deux incidents n’apprend rien, à part que le calendrier est plus fort que la vigilance.

Les résultats doivent être agrégés par population technique, exposition métier et type de scénario, jamais affichés nominativement. Un taux de clic brut est insuffisant. Mesurer au minimum le taux de signalement, le délai médian de signalement, le taux de saisie de données dans une page simulée et la récidive par scénario. Une baisse des clics accompagnée d’une baisse des signalements est un recul déguisé en réussite.

Les principes humains doivent compléter les fondations de la gestion des identités et l’analyse des menaces. Former n’est pas transférer le risque sur la personne qui lit ses messages entre deux demandes urgentes.

Défenses de messagerie : la formation ne remplace pas les contrôles

La formation ne garantit ni l’authenticité d’un expéditeur, ni l’absence de lien dangereux, ni la protection d’un poste déjà compromis. Ces garanties doivent venir d’une architecture de messagerie, d’authentification et de poste de travail. Une personne formée reste vulnérable à une conversation compromise, à un domaine ressemblant visuellement au domaine légitime, à une redirection en chaîne ou à un document qui exploite une vulnérabilité inconnue.

Le Sender Policy Framework (SPF) autorise des serveurs à émettre des courriels pour un domaine. DomainKeys Identified Mail (DKIM) ajoute une signature cryptographique à certains en-têtes et au corps. Domain-based Message Authentication, Reporting and Conformance (DMARC) relie ces mécanismes au domaine visible par le destinataire et définit une politique de traitement. Les trois mécanismes réduisent l’usurpation directe, mais ne protègent pas contre un domaine nouvellement enregistré, un compte légitime compromis ou une boîte externe déjà approuvée.

La politique DMARC doit progresser vers p=reject pour les domaines émetteurs maîtrisés, après analyse des rapports agrégés. Garder p=none indéfiniment revient à installer un détecteur de fumée dont la sirène est débranchée parce que le bruit dérange. Les domaines qui n’émettent jamais doivent publier v=DMARC1; p=reject et un SPF restrictif. Les sous-domaines doivent être couverts explicitement avec sp= quand leur usage diffère.

Côté poste, bloquer ou isoler les pièces jointes à risque, désactiver les macros issues d’Internet et inspecter les liens à l’ouverture. Les protections de navigation doivent journaliser l’URL, la décision de filtrage et l’identité de session, avec une rétention compatible avec l’investigation. Sans journaux, le bouton « signaler » devient une boîte aux lettres déposée au fond d’un lac.

L’authentification multifacteur, ou MFA (Multi-Factor Authentication), réduit l’exploitation d’un mot de passe volé mais ne neutralise pas le phishing en temps réel. Un relais adversaire peut capturer le mot de passe et le cookie de session après validation MFA. Préférer les authentificateurs liés à l’origine, tels que les clés de sécurité FIDO2 (Fast IDentity Online 2), aux codes à usage unique et aux notifications poussées. La fatigue MFA se traite aussi par limitation de fréquence, correspondance de numéro et détection d’impossible travel, jamais par une énième affiche demandant d’être prudent.

Exercices de phishing : scénarios, fréquence et droit à l’erreur

Une simulation doit exercer une décision attendue dans le travail réel. Construire des scénarios à partir de flux présents : partage documentaire, renouvellement d’accès, facture, demande de support, invitation à une réunion. Éviter les imitations caricaturales de banques ou de loteries : elles mesurent la mémoire des campagnes précédentes, pas la résistance aux attaques ciblées.

La fréquence dépend de la dérive observée et des changements de surface d’attaque. Une campagne trimestrielle peut suffire pour une population stable, mais une migration de messagerie, une nouvelle fédération d’identité ou un changement de procédure financière justifie un exercice ciblé avant et après le changement. L’exercice doit annoncer un apprentissage, pas une chasse. Ne pas annoncer la date, mais annoncer l’existence du programme et le traitement des données.

Après un clic simulé, afficher immédiatement une explication courte : indice observé, action attendue, canal de signalement. Ne demander aucune justification personnelle. L’apprentissage est meilleur quand le retour suit l’action à quelques secondes ou minutes, pas quand un fichier de classement arrive un mois plus tard avec des couleurs agressives. Le rouge vif est très productif pour les présentations, beaucoup moins pour la défense.

Les campagnes doivent être testées contre les contrôles de messagerie avant envoi. Si le filtre bloque la simulation, ne pas contourner le filtre pour « faire réaliste ». Le filtre a fait son travail. Mesurer alors le contrôle, corriger son éventuelle faiblesse de couverture et réserver la simulation à un vecteur que l’architecture laisse réellement passer.

Exemple reproductible : analyser un courriel signalé

L’analyse initiale doit préserver le message original au format Electronic Mail Format (EML), les en-têtes complets et l’heure de réception. Le script suivant extrait les éléments nécessaires à un premier tri, sans ouvrir de pièce jointe ni suivre de lien. Il fonctionne avec Python 3 et la bibliothèque standard.

# Enregistrer le message signalé dans phishing.eml, sans le modifier.
# Le script affiche les en-têtes d'acheminement et les URL présentes dans le corps.
python3 - <<'PY'
from email import policy
from email.parser import BytesParser
import re

with open("phishing.eml", "rb") as source:
    message = BytesParser(policy=policy.default).parse(source)

for header in ("From", "Reply-To", "Return-Path", "Subject", "Authentication-Results"):
    print(f"\n{header}: {message.get(header, '')}")

body = ""
for part in message.walk():
    if part.get_content_type() == "text/plain" and not part.get_filename():
        body += part.get_content() + "\n"

urls = sorted(set(re.findall(r'https?://[^\s<>"\']+', body)))
print("\nURL détectées :")
print("\n".join(urls) if urls else "Aucune URL en texte brut")
PY

L’extraction ne prouve pas qu’un message est frauduleux. Un champ From peut être affiché correctement alors que Reply-To pointe ailleurs, et des liens peuvent être cachés dans du contenu HyperText Markup Language (HTML) ou dans un document joint. L’étape suivante consiste à rechercher le message dans les journaux du relais, vérifier les résultats SPF, DKIM et DMARC, puis retirer les exemplaires identiques ou bloquer l’indicateur selon la certitude obtenue.

Exploitation : signalement, triage et réponse aux échecs

Un bouton de signalement dans le client de messagerie doit transmettre le message original en pièce jointe ou sous forme d’artefact préservant les en-têtes. Un transfert classique réécrit souvent le contexte d’acheminement et détruit une partie de la preuve. Le canal doit retourner un accusé de réception automatique, puis une décision : malveillant, légitime ou indéterminé.

Le triage doit avoir un propriétaire, une plage de service et des règles d’escalade. Un message comportant une saisie de mot de passe ou l’approbation d’une demande MFA déclenche la révocation des sessions, la réinitialisation du facteur compromis et la recherche d’activité postérieure. Réinitialiser uniquement le mot de passe est insuffisant si le voleur possède déjà un jeton de session. La révocation doit couvrir les jetons d’accès, les jetons de rafraîchissement et les sessions applicatives lorsque la fédération le permet.

Les campagnes de formation manipulent des données de comportement. Limiter l’accès aux résultats nominatifs à l’équipe qui assure le suivi pédagogique ou la réponse à incident, définir une rétention courte et séparer les métriques de sécurité des évaluations managériales. Ce cloisonnement n’est pas une décoration de gouvernance : sans lui, les signalements diminuent dès que les personnes comprennent que l’erreur sert à les classer.

Les exercices doivent aussi respecter les dépendances de la plateforme : intégration au client de messagerie, domaine d’envoi dédié, enregistrements SPF, DKIM et DMARC cohérents, liste d’exclusion pour les boîtes techniques, journalisation centralisée et procédure de retrait d’urgence. Une simulation qui atteint une boîte d’astreinte ou déclenche un automatisme financier sans garde-fou est une panne volontaire avec un badge pédagogique.

La sauvegarde porte sur les modèles de campagne, les listes de groupes et les rapports agrégés, pas sur un stock éternel de traces individuelles. Tester la reprise consiste à restaurer une campagne dans un environnement isolé, vérifier les domaines d’envoi et confirmer que les liens de simulation ne pointent jamais vers une collecte de secrets réels. Un formulaire de simulation ne doit accepter ni mot de passe, ni code MFA, ni donnée bancaire. Capturer ces données pour « mesurer mieux » transforme la formation en incident interne. Très mauvais hobby.

🐝 Ce qui arrive si on s’en passe

Sans programme de signalement non culpabilisant adossé à des contrôles techniques, la porte de la ruche reste ouverte plusieurs jours : une campagne active n’est découverte que par un tiers (partenaire, banque, hébergeur du domaine usurpé) ou par l’effet du vol, jamais par le premier destinataire. Les messages identiques restent dans les autres boîtes, faute d’indicateur à rechercher, et le même appât est rejoué sans coût pour l’attaquant. Les preuves disparaissent aussi : un message effacé par crainte d’une sanction prive l’analyse des en-têtes, de l’URL et de l’horodatage nécessaires à la corrélation avec les journaux. Sans référence chiffrée de délai et de taux de signalement, aucune dérive n’est visible après une migration de messagerie, et une compromission de compte interne continue d’émettre des messages légitimes en apparence.

🦫 Explication de la marmotte 🍫

Le phishing cherche à faire agir une personne trop vite : ouvrir un fichier, cliquer sur un lien, donner un mot de passe ou accepter une demande de connexion. La formation doit apprendre à interrompre cette action, à vérifier la demande par un moyen déjà connu et à signaler le message. Signaler après une erreur reste nécessaire, car l’équipe de sécurité peut alors chercher les autres messages identiques et limiter les dégâts.

Les exercices envoient de faux messages construits à partir de situations plausibles. Ils ne doivent pas humilier ni noter publiquement les personnes. Après un clic, l’écran explique ce qui devait alerter et indique comment signaler un vrai message. Les résultats servent à repérer les sujets mal compris et les groupes les plus exposés, pas à sanctionner.

Cette formation ne suffit pas. Le système de messagerie doit vérifier que les messages viennent bien des domaines annoncés, bloquer certains fichiers et filtrer les liens dangereux. La connexion aux services doit demander plusieurs preuves d’identité et empêcher qu’un mot de passe volé donne immédiatement accès au compte.

Quand une personne signale un message, l’équipe conserve le message original, vérifie son trajet et recherche les mêmes éléments dans les autres boîtes. Si un mot de passe a été saisi, il faut fermer les connexions ouvertes, changer les accès compromis et vérifier les actions réalisées après le vol.