Attitude face au risque vs comportement face au risque : Formez-vous de la mauvaise manière ?

Fondamentalement, les programmes de sensibilisation conventionnels (présentations annuelles, quiz et e-mails de phishing génériques envoyés à l’ensemble du personnel) ne reproduisent souvent pas la pression et la personnalisation des attaques réelles. Ils peuvent améliorer les connaissances, mais ils ne modifient pas de manière fiable les comportements.

Les êtres humains sont des créatures d’habitudes et de contexte : si la formation est peu fréquente, non ciblée ou trop éloignée de la réalité quotidienne des utilisateurs, ses enseignements s’estompent rapidement. Des facteurs tels que le stress au travail, la fatigue ou l’urgence perçue des tâches peuvent facilement effacer le souvenir d’un module de formation suivi il y a plusieurs mois. Cela est particulièrement vrai dans les environnements très stressants (par exemple, les soins de santé) où le personnel peut connaître les règles, mais, sous la pression constante, revenir à des pratiques peu sûres qui semblent opportunes.

En termes simples, on ne peut pas donner de cours ou faire passer des quiz pour éliminer le risque de phishing : de nouvelles méthodes sont nécessaires pour influencer réellement les actions quotidiennes des utilisateurs.

Une nouvelle approche : des simulations de phishing personnalisées et contextuelles, associées à des formations en ligne sur mesure !

La plupart des formations au phishing sont encore très éloignées des attaques réelles. Elles sont génériques, prévisibles et faciles à détecter. Mais les menaces réelles ? Elles sont personnalisées. Elles utilisent des noms, des rôles, le contexte de l’entreprise, tout ce qui rend le message réaliste.

Les attaquants utilisent souvent des informations accessibles au public pour rédiger ces e-mails. Il est donc logique que les formations fassent de même. Lorsqu’une simulation semble crédible, les utilisateurs réagissent comme ils le feraient dans la vie réelle, et non comme ils pensent devoir réagir dans un quiz. Vous vous souvenez du comportement à adopter face aux cyberrisques, n’est-ce pas ?

À la lumière de ces constats, de nouvelles solutions voient le jour pour aider les organisations à mettre en œuvre des formations personnalisées à grande échelle sur le phishing. Par exemple, notre module OSINT Reconnaissance *** – une fonctionnalité récemment annoncée. Il est conçu pour automatiser la génération de simulations de phishing très réalistes à partir de données accessibles au public. Ce type d’outil peut continuellement parcourir les sources ouvertes afin d’adapter les faux e-mails de phishing à chaque employé à l’aide de notre automatiseur d’e-mails de phishing (par exemple, en faisant référence à une publication récente sur les réseaux sociaux ou à une annonce publique d’une entreprise), mettant ainsi en pratique le principe étayé par la recherche selon lequel plus la simulation est réaliste et ciblée, plus les résultats d’apprentissage sont efficaces. En tirant parti de l’automatisation et de l’intelligence, un tel module permet aux équipes de sécurité d’effectuer des exercices de phishing continus et adaptatifs sans effort manuel considérable, ce qui est un facteur important pour la mise à l’échelle et l’adoption de la solution de sensibilisation à la cybersécurité. L’objectif final est de créer un « pare-feu humain » qui s’améliore de lui-même : des employés qui non seulement connaissent le phishing, mais qui ont également pratiqué leurs réponses jusqu’à en faire une habitude.

*** Le module OSINT Reconnaissance est disponible en tant que fonctionnalité expérimentale depuis la version 2.7.0. Si vous souhaitez l’explorer plus en détail ou l’activer pour votre équipe, n’hésitez pas à nous contacter ou à consulter les notes de mise à jour dans votre tableau de bord.