Phishing et deepfakes : règle et formation pour protéger l'équipe

• Écrit Des messages dans une langue impeccable, avec le ton et la signature de la personne usurpée.
• Voix clonée Un court extrait audio public (une interview, une vidéo LinkedIn) suffit pour qu'un dirigeant « appelle » pour demander un paiement.
• Vidéo Des visages synthétisés en direct ont déjà servi lors de visioconférences pour faire valider des virements dans des entreprises européennes.

La technique varie ; le schéma, non. Il y a toujours de l'urgence et toujours de la hiérarchie : une personne en position d'autorité exige quelque chose d'immédiat, en dehors du processus habituel.

Confirmer par un autre canal. Entraîner uniquement à reconnaître les fraudes échoue, car certaines sont impossibles à reconnaître. La protection doit fonctionner même quand personne ne se méfie : tout paiement, tout changement de coordonnées bancaires ou tout envoi d'information sensible est validé par un second canal, auprès d'un contact déjà enregistré.

Le fournisseur a envoyé un nouvel IBAN ? On appelle le numéro figurant au contrat. Le PDG a demandé un virement en visioconférence ? On l'appelle sur son portable. Quand la règle n'a pas d'exception, pas même pour la direction, la perfection de l'imitation devient sans importance. Plus de détails dans l'article sur la fraude à la facture avec IBAN modifié.

Peu de temps, souvent

Deux heures par an s'oublient en un mois. Ce qui fonctionne : des sessions de 15 à 20 minutes, tous les deux ou trois mois, chacune sur un thème : e-mail, téléphone, visioconférence, réseaux sociaux, clés USB et fichiers. Avec de vrais exemples, idéalement des tentatives reçues par l'entreprise elle-même, sans nommer personne. Personne ne se souvient d'une diapositive ; tout le monde se souvient du faux e-mail du fournisseur d'énergie reçu par la collègue d'à côté.

Simuler pour apprendre, pas pour humilier

Celui qui tombe dans la simulation reçoit aussitôt une brève explication, jamais une critique publique, car la peur pousse à cacher les erreurs. L'indicateur principal est le taux de signalement, et pas seulement celui de clic. Une équipe où 5 % cliquent et 60 % signalent est plus sûre qu'une autre où seuls 2 % cliquent mais où personne ne dit rien. Commencez par une simulation trimestrielle et augmentez progressivement la difficulté.

Signaler doit être instantané

Un bouton dans Outlook, ou une adresse interne connue de tous. Et une réponse le jour même indiquant s'il s'agissait ou non d'une fraude. Sans retour, l'habitude meurt en quelques semaines ; avec un retour, les collaborateurs deviennent l'alarme la plus rapide de l'organisation.

Protocole pour les fausses voix et vidéos

• Partir du bon principe Reconnaître la voix ou le visage ne prouve plus l'identité.
• Repérer les signaux Demande hors processus, urgence, secret, refus du canal habituel. Ils aident, mais ne suffisent pas.
• Phrase de sortie « Je te confirme par le contact habituel », et l'on raccroche. Si la direction la prononce pendant la formation, personne n'aura peur de l'utiliser.
• Code verbal Un mot convenu entre direction et service financier pour toute demande d'argent. Cela ne coûte rien et fonctionne.

• Finance et comptabilité À cause des virements.
• RH Données personnelles et demandes de changement de compte de salaire.
• Accueil et secrétariat de direction Agendas et demandes faites au nom d'autrui. Dans les ambassades, hôtels et cliniques que nous gérons, l'accueil est souvent la première porte que l'on tente d'ouvrir.
• Direction Elle reçoit les attaques les plus élaborées et c'est elle qui assiste le moins aux sessions.

Les personnes sont la dernière barrière, pas la première. Avant elles : un filtre de messagerie qui identifie les expéditeurs externes et bloque les fichiers exécutables ; SPF, DKIM et DMARC, pour qu'il soit difficile d'envoyer des e-mails au nom de votre domaine ; et la MFA sur tous les comptes, pour qu'un mot de passe volé ne suffise pas. S'y ajoutent des pare-feu gérés et la protection de Microsoft 365 pour l'entreprise.

Avec la cybersécurité gérée DataRoad, nous préparons la première session, lançons la première simulation, activons le signalement en un clic et affinons filtres et MFA, réduisant le volume de fraudes qui atteint les collaborateurs. DataRoad n'a jamais subi d'incident de sécurité en 11 ans. Demandez une proposition sans engagement.

Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt.

*Appel vers un fixe portugais.