Simulation d'hameçonnage

Définition

La simulation d'hameçonnage est un exercice de sécurité contrôlé qui consiste à envoyer aux collaborateurs d'une organisation de faux courriels de phishing, réalistes mais inoffensifs, afin de mesurer et d'améliorer leur capacité à détecter les tentatives d'hameçonnage réelles, technique d'attaque référencée MITRE ATT&CK T1566. Menées via des plateformes dédiées, ces campagnes reproduisent des scénarios variés : usurpation de la direction, fausse alerte informatique, notification de livraison, ou compromission de messagerie professionnelle (BEC). Les métriques recueillies incluent le taux de clic sur les liens piégés, le taux de saisie d'identifiants sur de fausses pages de connexion, et le taux de signalement aux équipes de sécurité, indicateur positif révélant une culture de vigilance. Les résultats sont ventilés par service, ancienneté ou fonction, afin d'orienter les actions de sensibilisation à la sécurité vers les populations les plus exposées. La démarche s'inscrit dans une logique pédagogique plutôt que punitive : un clic sur un lien simulé déclenche généralement une micro-formation immédiate plutôt qu'une sanction. Les référentiels ISO 27001, contrôle relatif à la sensibilisation du personnel, et NIST SP 800-53, contrôle AT-2, recommandent des exercices réguliers, au minimum annuels, idéalement trimestriels. Une simulation d'hameçonnage bien conçue renforce la résilience humaine de l'organisation, dernier rempart avant qu'une attaque réelle n'entraîne une compromission de compte ou une fuite de données sensibles.