De nombreuses actions ont été réalisées ces dernières années pour améliorer la sécurité de notre système d'information. Des efforts ont été réalisés d'un point de vue matériel et logiciel, mais nous constatons que la plupart des attaques recensés ces dernières années s'appuient sur une négligence utilisateur. En effet, il est bien souvent question d'un e-mail envoyé à un utilisateur pour le pousser à la faute, en lui demandant par exemple de remplir un formulaire où sera précisé son mot de passe, ou encore en l'incitant à partager des informations utiles pour mener une attaque, ou de manière moins subtile en l'incitant à télécharger un fichier infecté ou une pièce jointe présente dans l'e-mail.

Des actions qui peuvent paraitre anodine à première vue pour certains utilisateurs, mais qui peuvent avoir de lourdes conséquences. En effet, la plupart des attaques aujourd'hui se focalisent sur les ransomware, qui sont utilisés par les attaquants pour crypter l'ensemble des données de l'utilisateur mais aussi toutes celles auxquelles il a accès. Certains sont même capable de se déployer au delà des accès utilisateurs en s'appuyant sur des failles de sécurité non corrigées par les administrateurs ou nouvellement découvertes.

Parfois les attaques sont réalisées en plusieurs temps, où l'attaquant va d'abord faire en sorte d'obtenir un accès au système d'information sans se faire remarquer, le temps d'exporter un maximum de données et de préparer une attaque encore plus efficace, en se familiarisant avec le système d'information et en ciblant les éléments critiques, voir pour supprimer les éventuelles sauvegardes qui pourraient permettre aux administrateurs de restaurer les données cryptées à leur état d'origine.

Autant dire que le risque est de taille, et qu'il vaut mieux prévenir que guérir. Raison pour laquelle la sensibilisation des utilisateurs est d'une importance capitale.

Une campagne de phishing ou simulation d'hameçonnage consiste à transmettre des courriels d'hameçonnage réalistes aux agents/employés afin d'évaluer leurs comportements en ligne et de tester leurs niveaux de connaissance en ce qui a trait aux cybermenaces.

C'est cette démarche que nous avons initié pour tester nos utilisateurs et évaluer leur comportement.

Au travers d'une plateforme dédiée, nous avons construit plusieurs e-mails d'hameçonnage plus ou moins difficiles à détecter, mais contenant systématiquement une adresse e-mail inhabituels. Certains des noms de domaine utilisés pour les envois étaient tout de même proche d'un formalisme officiel, mais contenait systématiquement des caractères qui permettaient de distinguer que la source n'était pas officielle.

Nous avons réalisé deux campagnes de phishing, l'une après l'autre, avec des modèles différentes et deux semaines d'intervalle, de manière à pouvoir comparer les statistiques et s'appuyer sur des informations fiables.

En moyenne le taux de clic sur les pièces jointes ou sur un lien contenu dans un e-mail frauduleux était de 30%, ce qui nous a permis de cibler les agents à former en priorité, et ce qui nous a conforté dans la nécessité de mettre en œuvre des sessions de sensibilisation sur le sujet.