Exemple de mission

Campagne de Phishing : PME

PME, 50 collaborateurs

2 semaines

Microsoft 365

Campagne de Phishing

Contexte et résultats adaptés à des fins d’illustration et de confidentialité.

Contexte de la mission

Le défi

Contexte

Une PME souhaitait évaluer la vigilance de ses collaborateurs face aux emails frauduleux.

L'entreprise n'avait jamais réalisé de campagne de sensibilisation et la direction voulait des données concrètes avant de décider des actions à mettre en place.

Objectifs

Mesurer la vigilance des collaborateurs face aux emails frauduleux
Identifier les profils les plus exposés
Fournir des recommandations de sensibilisation ciblées

Déroulement

Découvertes clés

Périmètre testé

Ensemble des collaborateurs avec une adresse email professionnelle
3 scénarios personnalisés déployés sur 2 semaines
Mesure du taux d'ouverture, de clic et de saisie d'identifiants

Méthodologie

Trois scénarios adaptés au contexte de l'entreprise :

Réinitialisation de mot de passe par le service informatique
Mise à jour d'un document RH à signer
Facture d'un fournisseur habituel à valider

Priorités d’amélioration

À renforcer

38 % des collaborateurs ont cliqué sur au moins un lien de simulation

Prioritaire

16 % des collaborateurs ont tenté de saisir leurs identifiants sur la page de simulation

À renforcer

Le scénario de réinitialisation de mot de passe a obtenu 45 % de clics dans le groupe de 20 collaborateurs qui l’a reçu

Prioritaire

Aucun collaborateur n'a signalé les emails suspects à la direction ou au service informatique

Prioritaire

Pas d'authentification multifacteur activée sur les comptes email

Résultats

Bilan et recommandations

Bilan

5 constats : 3 priorités d’action et 2 points à renforcer

Sur les 50 collaborateurs, 19 ont cliqué sur un lien de simulation, soit 38 %, et huit ont tenté de saisir leurs identifiants, soit 16 %. Le dispositif a enregistré ces tentatives sans conserver les mots de passe.

Le scénario de réinitialisation de mot de passe a reçu 9 clics dans le groupe de 20 personnes concernées. Aucun des messages de la campagne n’a été signalé au service informatique.

À partir des 5 constats du bilan, la direction a lancé une sensibilisation fondée sur les emails utilisés et demandé l’activation de l’authentification multifacteur (MFA) sur les comptes de messagerie.

Recommandations

Activer l'authentification multifacteur (MFA) sur tous les comptes email
Mettre en place un réflexe de signalement des emails suspects
Sensibiliser les collaborateurs aux techniques de phishing les plus courantes
Programmer une campagne de suivi pour mesurer la progression

Enseignements

Leçons apprises

Le message de réinitialisation reprenait une demande familière aux collaborateurs et a obtenu le plus fort taux de clic parmi les scénarios envoyés.
Les échanges lors de la restitution ont montré que plusieurs collaborateurs ne savaient pas à qui transmettre un email suspect, alors qu’aucun message n’avait été signalé pendant la campagne.
La simulation a conduit la direction à retenir deux actions complémentaires, la sensibilisation au signalement et la protection des comptes par MFA.