Phishing Simulation

Définition

Une simulation de phishing est une campagne de phishing planifiée et contrôlée effectuée par une équipe de sécurité ou des prestataires spécialisés pour évaluer la résistance des employés d'une organisation aux attaques d'ingénierie sociale. L'objectif est de mesurer le taux de clic, le taux de soumission de credentials, et le taux de signalement, afin de cibler les formations de sensibilisation aux employés les plus vulnérables. Des plateformes SaaS spécialisées (KnowBe4, Proofpoint Security Awareness Training, Cofense PhishMe, Gophish open-source) proposent des bibliothèques de templates de phishing, des outils de lancement de campagnes, et des tableaux de bord analytiques. Gophish est l'outil open-source le plus utilisé pour les simulations en interne, permettant de créer des campagnes complètes avec des pages de capture de credentials et un tracking granulaire. Les méthodologies de simulation incluent : le phishing générique (envois de masse imitant des services courants comme Microsoft, DHL, ou des RH internes), le spear phishing (ciblage d'individus ou de groupes spécifiques avec du contenu personnalisé basé sur leur rôle ou activité LinkedIn), le vishing (phishing vocal — simulation d'appels frauduleux), et le smishing (SMS phishing). Les indicateurs clés mesurés : le taux d'ouverture d'email (benchmarks industrie : 25-35%), le taux de clic sur les liens malveillants (benchmarks : 10-20%), le taux de soumission de credentials (5-10%), le taux de signalement à la sécurité (<5% typiquement, objectif : >25% dans une organisation mature). Les résultats guident les programmes de formation et identifient les départements ou rôles les plus vulnérables. Les simulations de phishing doivent être encadrées éthiquement : communication à la direction, pas de pénalisation des employés cliqueurs (formation au lieu de sanction), et usage des données uniquement pour l'amélioration de la sécurité.