Simulations de phishing
Testez la sensibilisation et le comportement de vos employes
Il ne s'agit pas d'un outil de simulation de hameçonnage
Il existe de nombreuses plateformes de simulation de hameçonnage. Elles envoient des e-mails types à votre personnel, comptabilisent le nombre de clics et inscrivent les personnes qui ont cliqué à un module de formation en ligne. Elles sont peu coûteuses, fournissent un pourcentage de réussite, et pour certaines organisations, cela suffit.
Ce n'est pas de cela qu'il s'agit.
CREDS mène des attaques de hameçonnage autorisées contre votre organisation, mises au point par les mêmes personnes qui gèrent nos missions red team. Les e-mails sont rédigés spécialement pour votre organisation et ne proviennent pas d’une bibliothèque de modèles. Les scénarios s’appuient sur une veille approfondie de votre activité réelle. Et lorsqu’une personne se fait piéger, nous agissons comme le ferait un véritable pirate informatique : nous exploitons la faille.
Le résultat n'est pas un taux de clics. Il s'agit d'une démonstration des conséquences d'un e-mail de hameçonnage dans votre environnement.
Une plateforme de simulation de hameçonnage
Une opération de hameçonnage « CREDS »
E-mails types issus d'une bibliothèque de contenus
Des scénarios rédigés pour votre organisation, fondés sur une analyse préalable
S'arrête dès le clic ou à la saisie des identifiants
Cela se poursuit dans votre environnement, en direction de vos parties intimes
Indique le pourcentage de clics
Indique ce à quoi un pirate aurait pu avoir accès, et si quelqu'un s'en est aperçu
Inscrivez l'utilisateur à la formation en ligne
Permet à l'entreprise de connaître le coût réel d'un clic
Par e-mail uniquement
Abus par e-mail, téléphone, SMS, QR, MFA et violence physique
Que se passe-t-il lorsqu'une personne se fait avoir ?
Dans la plupart des exercices de hameçonnage, un clic marque la fin du test. Pour nous, c'est le début de la partie la plus intéressante.
Lorsqu’un de nos e-mails nous permet d’obtenir des identifiants, ou lorsqu’une personne exécute notre logiciel malveillant « amical », nous passons à la phase suivante : nous exploitons les informations dont nous disposons. Nous nous authentifions à l’aide de ces identifiants. Nous tirons parti du point d’ancrage que le logiciel malveillant nous a fourni. À partir de là, nous agissons exactement comme le ferait un attaquant : nous élevons nos privilèges, nous nous déplaçons latéralement et nous nous dirigeons vers les systèmes et les données dont dépend réellement votre organisation.
Ces « joyaux de la couronne » sont définis d'un commun accord avec vous avant de commencer. L'objectif n'est pas de voir jusqu'où nous pouvons aller dans l'abstrait, mais de répondre à une question précise : si une personne de votre organisation passe une mauvaise matinée, quels sont les risques que cela entraîne ?
C'est une réponse fondamentalement différente de celle fournie par un pourcentage. Un taux de clics vous indique combien de personnes se sont laissées piéger. Ce chiffre, lui, vous indique ce que cela coûte d'être piégé.
C'est également pour cette raison qu'une campagne de phishing impliquant CREDS ne se résume pas à un simple test de vos collaborateurs. Elle met à l'épreuve tous les éléments censés limiter les dégâts par la suite : votre segmentation, votre modèle de privilèges, votre accès conditionnel et votre système de détection.
Scénarios élaborés à partir des informations qu'un pirate pourrait découvrir à votre sujet
Une véritable tentative d'hameçonnage qui fonctionne n'est pas générique. Elle fait référence à un projet réellement en cours, provient d'un fournisseur auquel vous faites réellement appel, ou vous parvient au cours de la semaine où l'événement auquel elle fait référence a réellement lieu.
Chaque opération de hameçonnage CREDS commence par une collecte de renseignements open source sur votre organisation : les informations accessibles au public concernant votre personnel, votre structure, vos fournisseurs, vos technologies et les événements figurant dans votre agenda. Cette reconnaissance sert de base à la fois aux scénarios que nous élaborons et aux e-mails individuels que nous rédigeons.
Il s'agit du même procédé OSINT qui permet de lancer une opération red team, appliqué à plus petite échelle, et c'est ce qui fait la différence entre un e-mail que votre personnel a été formé à repérer et un autre dont il n'a aucune raison particulière de se méfier.
Le périmètre de l'audit OSINT est défini d'un commun accord avec vous avant le début de la mission de reconnaissance. Il peut inclure les comptes personnels sur les réseaux sociaux accessibles au public, car un véritable pirate s'en servirait. Tout ce qui relève de ce périmètre est consigné par écrit avant le début de l'audit, ce qui correspond généralement à ce que souhaite voir le comité d'entreprise.
Le hameçonnage ne se limite plus aux e-mails
Les pirates s'attaquent aux points les plus vulnérables des systèmes de défense, et pour la plupart des organisations, ce n'est plus la boîte de réception. Nous analysons les canaux qui sont réellement utilisés pour attaquer des organisations comme la vôtre.
Hameçonnage par e-mail
Des campagnes ciblées conçues sur mesure pour votre organisation, allant d'une approche générale à une approche personnalisée.
Hameçonnage ciblé
Des e-mails rédigés sur mesure et destinés à des destinataires spécifiques, généralement des cadres, des responsables financiers ou des administrateurs informatiques.
Hameçonnage par téléphone (vishing)
Les appels téléphoniques dans lesquels l'appelant se fait passer pour un technicien informatique, un fournisseur ou un collègue. Il s'agit systématiquement du canal le plus efficace, et celui que les entreprises testent le moins.
Smishing (SMS)
Les approches par SMS, qui contournent totalement les mesures de sécurité des e-mails et parviennent directement sur les appareils personnels.
Hameçonnage par code QR
Des codes figurant dans des e-mails, des documents ou des supports imprimés qui redirigent la victime vers un téléphone non géré, échappant à votre contrôle.
MFA : hameçonnage par lassitude et consentement
Le bombardement de notifications push et les demandes de consentement OAuth malveillantes : voilà les techniques auxquelles recourent désormais les pirates pour contourner spécifiquement l'authentification multifactorielle.
Les interventions sur site, telles que la visite en personne de vos locaux, sont proposées dans le cadre d'une mission red team, mais pas dans le cadre d'une mission de lutte contre le hameçonnage.
Comment nous traitons vos collaborateurs
Les opérations de hameçonnage mettent les organisations mal à l'aise, et à juste titre. Vous nous autorisez en effet à tromper vos collègues et, lorsque cela fonctionne, à utiliser leurs identifiants. Cela mérite des règles claires, convenues avant même que quoi que ce soit ne commence.
Aucune personne n'est citée. Les résultats sont présentés sous forme agrégée. Nous indiquons le nombre de personnes d'un groupe qui ont participé, et non pas qui sont ces personnes.
Les résultats ne sont jamais utilisés à des fins disciplinaires. Ceci fait l'objet d'un accord écrit avant le début de la mission. L'évaluation porte sur l'organisation, et non sur l'individu.
La gestion des identifiants s'effectue conformément à une politique définie. Les identifiants capturés sont stockés en toute sécurité pendant toute la durée de la mission, utilisés uniquement dans le cadre convenu, puis détruits à la fin de celle-ci. Nous vous indiquons quels comptes ont été concernés afin que vous puissiez procéder à une réinitialisation forcée.
Cette initiative a été conçue en collaboration avec votre comité d'entreprise. Nous pouvons vous fournir la documentation de cadrage dont les organisations néerlandaises ont généralement besoin pour la consultation du conseil d'entreprise, et nous vous conseillerons sur ce qu'il convient ou non de tester.
Le traitement des données est documenté. Quelles données nous collectons, où elles sont conservées, qui y a accès et pendant combien de temps elles sont conservées, conformément à la norme GDPR.
L'objectif d'un exercice de phishing est de déterminer si votre organisation est capable de faire face à une erreur. Considérer la personne qui a commis cette erreur comme le problème va à l'encontre de l'objectif de l'exercice.
Au-delà du taux de clics
Le taux de clics est l'indicateur que tout le monde cite, mais c'est aussi le moins utile. Il vous indique combien de personnes ont été induites en erreur, mais ne vous dit pas si votre organisation a été capable de faire face.
Taux de déclaration
Combien de personnes ont identifié l'attaque et l'ont signalée ? C'est le chiffre le plus utile de cette page, car il permet d'évaluer si votre culture de signalement fonctionne, plutôt que de pointer du doigt les personnes qui ont failli à leur devoir.
Délai avant le premier rapport
Combien de temps s'est écoulé entre la première livraison et le moment où quelqu'un a donné l'alerte ? C'est ce qui détermine si une véritable attaque aurait pu être maîtrisée.
Taux de transmission des justificatifs
Combien d'entre eux sont allés au-delà du simple clic pour fournir effectivement leurs identifiants ?
Portée après compromis
Jusqu'où nous sommes allés avec ce que nous avons obtenu, à quels systèmes nous avons pu accéder, et à quel point nous nous sommes approchés de vos joyaux de la couronne.
Détection et réaction
Que ce soit votre SOC ou vos outils de sécurité qui aient détecté l'utilisation des identifiants, l'exécution du logiciel malveillant ou le déplacement latéral qui a suivi.
Ce sont les deux derniers éléments qu’une plateforme de hameçonnage ne peut pas vous fournir, et ce sont généralement eux qui déterminent la suite de vos actions.
Tout ce que nous avons fait, et tout ce qui s'est passé
Vous recevrez un rapport complet sur cette mission : les scénarios que nous avons élaborés et les raisons qui les ont motivés, ce qui a été envoyé à qui, ce qui s'est passé à chaque étape, l'état d'avancement de la phase post-intrusion, ainsi que nos recommandations de modifications.
Par ailleurs, le portail client CREDS vous offre une visibilité en temps réel pendant toute la durée de l'opération, grâce à l'ensemble des données télémétriques associées : livraison, engagement, soumission des identifiants, activité de reporting et mesures post-compromission, le tout au fur et à mesure qu'elles se produisent, et non plusieurs semaines plus tard.
Cela a de l'importance aussi bien pendant la campagne qu'après celle-ci. Si l'activité de reporting connaît un pic, vous savez que vos collaborateurs sont à l'œuvre. Si une opportunité importante se présente, vous en êtes informé immédiatement, et non pas lors de la réunion de clôture.
- Rapport complet de la mission, comprenant la justification du scénario et les conclusions tirées après la compromission
- Résultats en temps réel et données télémétriques complètes disponibles sur le portail client tout au long de la mission
- Signalement immédiat de tout point d'appui ou de toute exposition présentant un risque grave
- Des résultats agrégés pouvant être diffusés en interne, sans identification des personnes concernées
- Une série de recommandations classées par ordre de priorité, portant à la fois sur les contrôles humains et techniques qui ont failli à leur mission
- Suivi des tendances sur l'ensemble des campagnes, lorsque l'engagement s'inscrit dans le cadre d'un programme continu
Un test vous donne un chiffre. Un programme vous indique une direction.
Une seule campagne de hameçonnage vous indique où vous en étiez au cours d'une semaine donnée, face à un ensemble particulier de scénarios. C'est un chiffre utile, mais ce n'est qu'un chiffre.
Ce que les organisations ont réellement besoin de savoir, c'est si la situation s'améliore : si le nombre de signalements augmente, si le délai de signalement diminue, si les contrôles qui ont échoué la dernière fois sont efficaces cette fois-ci, et si les personnes qui ont été victimes d'une usurpation d'identité de la part d'un fournisseur en mars le sont encore en septembre.
Nous vous recommandons donc de considérer ce premier contact comme une référence et de mener ensuite des campagnes à intervalles réguliers, en variant le canal, le scénario et le niveau de difficulté, afin de mesurer la résilience plutôt que la familiarité avec un e-mail en particulier.
Le portail conserve la tendance d'une campagne à l'autre, de sorte que le tableau s'enrichit progressivement au lieu d'être réinitialisé à chaque fois.
Concrètement, cela signifie des campagnes trimestrielles après l'analyse initiale, proposées sous forme d'abonnement continu plutôt que comme une prestation dont vous devez redéfinir le périmètre à chaque fois.
La formation ne fait pas partie de nos activités, et c'est un choix délibéré
Nous réalisons des tests. Nous ne menons pas de programmes de sensibilisation, ne gérons pas de plateformes d'apprentissage en ligne et ne proposons pas de services de conseil en matière de changement de comportement, et nous préférons le dire clairement plutôt que de prétendre le contraire.
Nous disposons toutefois de partenaires qui maîtrisent parfaitement ce domaine, et nous collaborons avec eux lorsqu’une campagne de phishing révèle que votre organisation a besoin d’une formation. Les tests vous permettent d’identifier les lacunes réelles, la formation y remédie, et la campagne suivante vous indique si cela a porté ses fruits.
Si vous disposez déjà d'un programme ou d'une plateforme de sensibilisation, nos conclusions viendront les enrichir. Si ce n'est pas le cas, nous pouvons vous mettre en relation avec un partenaire qui en propose.
Questions concernant les opérations de hameçonnage
S'agit-il d'une plateforme de simulation de hameçonnage ?
Que se passe-t-il quand quelqu'un se fait avoir ?
Les noms des salariés seront-ils cités dans le rapport ?
Que deviennent les mots de passe que vous récupérez ?
Faut-il faire intervenir notre comité d'entreprise ?
Quelles chaînes regardez-vous ?
Proposez-vous une formation de sensibilisation par la suite ?
À quelle fréquence devrions-nous exécuter cette opération ?
Que recevons-nous concrètement ?
En quoi cela diffère-t-il de l'hameçonnage prévu dans le cadre de notre mission red team ?
Découvrez la valeur réelle d'un clic
Parlez-nous de votre organisation et de vos préoccupations, et nous définirons ensemble le cadre de notre collaboration, qu'il s'agisse d'une simple campagne initiale ou d'un programme à long terme.