Formation au phishing

Ce cours est une formation au phishing. Il s’adresse au management soucieux de conscientiser son personnel au phishing pour le rendre moins naïf. La deuxième partie du cours consiste dans l’organisation d’une fausse campagne de phishing. Et ce manière à attirer l’attention des employés sur ce type de piège. On organise une sorte de grand jeu en temps réel.

Le phishing ou « hameçonnage » c’est le fait, pour un pirate, d’attirer l’un de vos employés à cliquer sur un lien vers un faux site web. Et ce faux site l’invite à encoder son login et son mot passe. Dès lors le pirate enregistre, donc vole le login et son mot de passe. A partir de là, le pirate peut se loguer à la place de votre employé dans votre système de mails. Mais aussi sur sa page Facebook,  ou bien dans son cloud etc. Et ainsi il lui vole des données ou se fait passer pour lui.

Une campagne de phishing qui a réussi

Le 18 avril 2023, la société Hyundai Motor France a été la cible d’une campagne de phishing couronnée de succès. Et, au bout de quelques jours, les pirates avaient réussi à s’emparer des données d’un serveur. D’ailleurs, la société Hyundai a confirmé les faits. Mais, comme souvent dans ce genre d’affaire, il est de l’intérêt de la victime de minimiser les conséquences. Donc, on ne sait pas très bien si les pirates ont « seulement » volé des données d’identité de milliers de clients ou bien davantage comme des données financières, voire des données de sinistres ou de type de conduite.

Néanmoins, il est tentant de penser que l’incident est minime. Savoir que Jean Dupont roule trop vite ou qu’il fait beaucoup d’accidents, ou encore qu’il a dépensé 65.000 euro pour acquérir sa dernière voiture et qu’il en change tous les 5 ans n’est pas en soi une donnée critique. Et cela peut n’avoir aucune conséquence sur sa vie. Et pas davantage sur la vie de son employeur.

Mais il est souvent intéressant de voir la captation de données (qu’elle soit le résultat d’un vol par un pirate ou d’un consentement par un fournisseur de solution informatique) dans un cadre plus large et d’imaginer la suite en raisonnant de façon conséquentialiste. Ajoutons-y, par exemple, le vol du numéro de chassis et des données de carte grise. On n’est alors plus très loin d’anticiper un vol de voiture ou même un vol de l’identité de la voiture pour l’attribuer à une autre qui est déjà volée et ainsi contourner une barrière douanière à la revente.

Pas de frontière claire entre vie privée et vie professionnelle

Par ailleurs, une des problématiques du phishing est que dans bien des cas les données qui sont volées à votre employé sont ou contiennent les données de l’entreprise. Car nous sommes, ici encore, dans une situation où il n’y a pas de frontière nette entre la vie privée et la vie professionnelle. N’oublions pas que sur le téléphone et l’ordinateur de votre employé figurent probablement des données comme votre fichier client, vos procédures de travail, vos secrets de fabrication, votre roadmap ou votre réponse à un appel d’offres avec le prix que vous proposez.

Si le pirate est malin, il saura tirer le meilleur parti de ces informations pour les revendre, vous extorquer une rançon ou encore saboter votre réputation en diffusant dans l’espace public des informations que vous auriez bien voulu garder secrètes comme les causes d’un licenciement, la baisse de votre chiffre d’affaires ou le montant de votre dernier emprunt à la banque.

Nos clients associent généralement cette formation au phishing à deux autres formation. D’une part Le vol de données et d’autre part Politique de mots de passe sécurisés

Curriculum : formation au phishing

Introduction

Section 1: Comment Luc s’est fait fait piéger

• Luc n’est pourtant pas né de la dernière pluie
• Astuce visuelle et exploitation de nos habitudes
• Pourquoi ça contourne les antivirus

Section 2: Détecter les tentatives de phishing

• En-tête d’email
• Comportements non standard
• Vérification sur les bases de données publiques

Section 3: Formation au phishing

• Fausses campagnes de phishing
• Tirer les leçons de nos faiblesses
• Définir une charte de la lutte contre le phishing

Glossaire

Quiz