Ingénierie Sociale Phishing Formation

Techniques d'ingénierie sociale : du phishing au deepfake

Évolution des techniques d'ingénierie sociale : Phishing classique (emails en masse peu personnalisés) → Spear Phishing (emails personnalisés avec des informations publiques LinkedIn, organigramme) → Whaling (ciblage dirigeants avec imitation d'emails de CEO/CFO) → BEC sophistiqué (compromission réelle d'un compte email du dirigeant, communication depuis le vrai compte) → Deepfake audio/vidéo (usurpation de la voix ou de la vidéo d'un dirigeant lors d'un appel ou d'une visioconférence — cas signalés de virements frauduleux autorisés après un appel deepfake). La montée des IA génératives facilite la création de deepfakes audio et vidéo convaincants, rendant les attaques d'ingénierie sociale plus crédibles.

Les signaux d'alerte pour les utilisateurs : sentiment d'urgence anormale (« faites vite, avant la fermeture de la banque »), demande inhabituelle sortant du cadre normal des procédures, sollicitation de confidentialité (« ne parlez à personne de cette demande »), incohérence dans l'adresse email ou l'URL (vérifier le domaine exact, pas seulement le nom affiché), et demandes d'actions à fort impact (virement, transfert de données, installation de logiciel).

Simulation de phishing et métriques

Les campagnes de phishing simulé mesurent la résistance réelle des utilisateurs face aux attaques, et pas seulement leur niveau de connaissance théorique post-formation. Métriques clés : taux d'ouverture de l'email (% d'emails ouverts sur total envoyé), taux de clic sur le lien malveillant (% de clics sur total envoyé), taux de saisie de credentials (% d'utilisateurs ayant entré leurs credentials sur la page de phishing), et taux de signalement (% d'utilisateurs ayant signalé l'email comme suspect à l'équipe sécurité — indicateur de culture sécurité).

Des benchmarks sectoriels (KnowBe4 Phishing Industry Benchmarks, Proofpoint State of the Phish) permettent de comparer le taux de clic de l'organisation avec la moyenne du secteur. Avant tout programme de sensibilisation, un taux de clic de 30-40% est courant. Après 12 mois de programme intensif, les organisations les plus matures atteignent des taux inférieurs à 5%. Le taux de signalement est un indicateur de culture sécurité plus parlant que le seul taux de clic : des utilisateurs qui signalent activement les emails suspects contribuent positivement à la détection des incidents.

Programme de sensibilisation conforme NIS2 et PCI-DSS

Un programme de sensibilisation conforme aux exigences réglementaires doit : être structuré et documenté (plan de formation annuel, contenus, audience cible pour chaque module, preuves de complétion) ; couvrir les thèmes requis (phishing, mots de passe, données personnelles RGPD, incidents à signaler, utilisation acceptable des ressources IT) ; être adapté aux rôles (formations spécifiques pour les développeurs — secure coding, pour les financiers — BEC/fraude aux virements, pour les DBA — sécurité des bases de données) ; être répété régulièrement (formation initiale à l'embauche + rappels annuels minimum) ; et mesurer son efficacité (métriques de simulation, taux de complétion, questionnaires de vérification des connaissances).

PCI-DSS v4.0 Requirement 12.6.3 impose que le programme de sensibilisation reconnaisse et traite spécifiquement les menaces et vulnérabilités susceptibles d'impacter la sécurité du CDE, notamment le phishing et les attaques d'ingénierie sociale. La documentation de la formation et des preuves de complétion (listes de présence, certificats de complétion d'e-learning) est indispensable lors des audits PCI-DSS.