Sensibiliser vos équipes, en une heure et sans jargon
Vos pare-feu ne serviront à rien contre une pièce jointe ouverte par quelqu'un de pressé. Je viens montrer à votre équipe à quoi ressemble vraiment une attaque, avec vos exemples.
Hameçonnage : reconnaître un message qui imite votre banque ou votre fournisseur
Fraude au virement : le faux changement de RIB, et la règle qui l'arrête
Faux support technique : l'appel qui demande une prise en main à distance
Réf. ANSSI : guide d'hygiène informatique
La faille la plus exploitée n'a pas de correctif
On peut mettre à jour tous les postes, cloisonner le réseau et chiffrer les sauvegardes. Il suffira d'un message bien tourné, reçu un vendredi à 17 h, pour que tout cela soit contourné : c'est un collaborateur légitime qui ouvrira la porte, avec ses propres identifiants, et rien dans le système ne signalera d'anomalie.
Ce n'est pas une question de négligence, et le dire ainsi serait injuste. Les messages frauduleux d'aujourd'hui reprennent le logo, le ton, la signature et parfois l'historique réel d'une conversation. Ils arrivent au moment où l'on traite quinze choses à la fois. Personne n'y échappe par bon sens : on y échappe en ayant déjà vu à quoi ça ressemble, et en ayant une règle simple à appliquer quand le doute apparaît.
C'est tout l'objet de cette session. Pas un cours de sécurité informatique : une heure pour rendre familières trois ou quatre situations qui, sinon, se présenteront pour la première fois le jour où elles coûteront cher.
Ce qu'on regarde ensemble
Le contenu s'adapte à votre métier. Dans une étude notariale on insistera sur la fraude au virement, dans un cabinet médical sur les données de santé et le partage de dossiers. Le socle reste le même.
-
Reconnaître un hameçonnage
On ouvre de vrais messages frauduleux, récents, et on regarde ensemble ce qui aurait dû alerter : l'adresse d'expédition réelle derrière le nom affiché, l'urgence artificielle, le lien qui ne mène pas où il prétend. Puis on fait l'inverse : un message parfaitement légitime qui ressemble à une arnaque, pour montrer que la méfiance seule ne suffit pas.
-
La fraude au virement
C'est celle qui coûte le plus cher aux petites structures. Un fraudeur prend pied dans une boîte mail, observe une conversation en cours, puis demande au bon moment de modifier un RIB. On voit le scénario complet et la seule règle qui l'arrête vraiment : la vérification sur un canal différent, par un numéro déjà connu, avant tout paiement modifié.
-
Le faux support technique
L'appel ou la fenêtre d'alerte qui annonce un problème sur votre ordinateur et propose de le régler à distance. On voit comment ça se présente, ce qui se passe si on accepte, et pourquoi aucun éditeur ne vous appellera jamais spontanément.
-
Les mots de passe et la double authentification
Pourquoi le mot de passe complexe changé tous les trois mois est une mauvaise idée, ce qui marche à la place, et comment la double authentification arrête une attaque même quand le mot de passe a fuité. Mise en place immédiate sur les comptes critiques si vous le souhaitez.
-
Que faire quand ça arrive
Le plus important, et le plus souvent oublié. Qui prévenir en interne, dans quel ordre, quoi surtout ne pas faire, et pourquoi signaler vite change tout. Une personne qui sait qu'elle ne sera pas blâmée signale en dix minutes plutôt qu'en trois jours, et c'est ce délai qui décide de l'ampleur des dégâts.
La campagne d'hameçonnage mesurée
En complément, et seulement si vous le décidez, je mène une vraie campagne de faux hameçonnage avant la session. Pas un message isolé : une campagne d'une semaine, silencieuse, avec des messages réalistes adaptés à votre activité, envoyés depuis un outil spécialisé (GoPhish) sur une infrastructure dédiée. Personne n'est prévenu de la date, c'est ce qui rend la mesure honnête.
Trois choses sont mesurées : combien de messages ont été ouverts et cliqués, combien ont conduit à une saisie d'identifiants sur la fausse page, et combien ont été signalés. Le signalement est la mesure la plus importante : une équipe qui signale vite est une équipe protégée, même quand quelqu'un a cliqué.
-
Une semaine de campagne silencieuse
Les messages partent à des moments différents, vers les adresses convenues avec vous. Aucune donnée saisie sur la fausse page n'est conservée : l'outil enregistre qu'une saisie a eu lieu, jamais son contenu.
-
Restitution anonymisée
Vous recevez les résultats de façon globale, jamais nominative. Si votre effectif le permet sans identifier personne, la restitution peut distinguer les services (accueil, comptabilité, direction), sinon elle reste globale. Vous saurez combien ont cliqué, jamais qui.
-
La session, appuyée sur vos résultats réels
La formation d'une heure à une heure trente s'ouvre sur les chiffres de votre propre campagne. Une équipe qui découvre que le message piégé est passé chez elle retient infiniment mieux qu'une équipe à qui on l'a raconté.
-
En option : une seconde campagne à deux ou trois mois
Même exercice, autre scénario. C'est la seule façon de savoir si la sensibilisation a réellement changé les réflexes, chiffres à l'appui : moins de clics, plus de signalements, et plus vite.
Le cadre n'est pas négociable. La campagne est formalisée par une lettre d'autorisation signée de la direction avec une clause dédiée à la simulation, le CSE est informé s'il existe, et l'anonymisation est stricte, conformément aux recommandations de la CNIL. Une simulation utilisée pour surveiller ou sanctionner détruit la confiance, et une équipe qui n'a plus confiance ne signale plus rien : c'est le contraire du résultat recherché.
La campagne se vend seule ou à la suite d'un audit de sécurité : dans ce second cas, les scénarios s'appuient sur ce que l'audit a réellement observé chez vous.
Comment ça se passe
- Durée : une heure, une heure trente avec la simulation et les questions
- Lieu : dans vos locaux, dans la salle où vous vous réunissez d'habitude
- Effectif : de 2 à 10 personnes. Au-delà, je dédouble la session
- Horaire : début de journée, pause déjeuner ou fin d'après-midi, selon votre organisation
- Matériel : rien à prévoir de votre côté
- Après : une fiche récapitulative d'une page, à afficher ou à diffuser en interne
La sensibilisation est indépendante de l'audit : vous pouvez la demander seule. Si vous avez déjà fait réaliser un audit de sécurité, la session s'appuie sur les constats réels de votre rapport plutôt que sur des exemples génériques.
Le tarif est annoncé au moment du cadrage, avant toute intervention. J'interviens en Savoie et en Haute-Savoie, principalement autour d'Aix-les-Bains, Chambéry et Annecy.
Les questions que vous vous posez
Faut-il fermer le cabinet pendant la session ?
Non. La session dure une heure et se cale sur votre organisation, souvent en début de journée, sur la pause déjeuner ou en fin d'après-midi. Elle se tient dans vos locaux, dans la salle où vous vous réunissez d'habitude. Il n'y a pas de matériel à prévoir de votre côté.
Nous ne sommes que trois. Est-ce que ça vaut le coup ?
Oui, et c'est même plus efficace. À trois ou quatre personnes, tout le monde pose ses questions et personne ne se cache au fond de la salle. Les exemples peuvent être pris directement dans vos échanges réels plutôt que dans des cas génériques. À l'inverse, au-delà d'une dizaine de participants, je préfère dédoubler la session.
Mes collaborateurs vont-ils se sentir mis en cause ?
C'est précisément ce que la session évite. Le message n'est pas « faites attention », il est « voici pourquoi ces messages sont crédibles, et voici les deux réflexes qui les arrêtent ». Personne n'est pris en défaut, aucun nom n'est cité, et les résultats de la simulation d'hameçonnage ne vous sont remis que sous forme globale, jamais nominative.
La simulation d'hameçonnage est-elle obligatoire ?
Non, elle est optionnelle et se décide avec vous. Quand elle a lieu, elle est anonyme et sans piège inutile : l'objectif est de montrer qu'un message bien fait passe, pas de désigner qui a cliqué. Beaucoup de dirigeants la demandent après la première session, une fois le sujet dédramatisé.
A-t-on le droit de tester ses propres salariés ?
Oui, à condition de respecter un cadre précis, et je ne travaille pas en dehors. La campagne est autorisée par écrit par la direction, avec une clause dédiée dans la lettre d'autorisation. Si l'entreprise a un CSE, il est informé avant la campagne. Les résultats sont strictement anonymisés et aucune donnée saisie sur la fausse page n'est conservée, conformément aux recommandations de la CNIL.
Peut-on faire la sensibilisation sans passer par l'audit ?
Oui. Les deux prestations sont indépendantes et se vendent séparément. Beaucoup de structures commencent par la sensibilisation, parce qu'elle est courte, peu coûteuse et immédiatement utile, puis envisagent l'audit ensuite. L'inverse fonctionne aussi : dans ce cas, la session s'appuie sur les constats réels de votre rapport.
Une heure maintenant, ou des semaines après l'incident
Dites-moi votre métier et votre effectif. Je vous rappelle pour caler le contenu et la date.