Simulation phishing entreprise
Simulation de phishing en entreprise : sensibiliser sans piéger
Comment se déroule une campagne
Modèle B — Document partagé
Objet : Un document vous a été partagé : « Planning T2 »
Expéditeur vérifié : exercices@votre-domaine-de-test.fr
Destinataires
9
Quota du mois
1 / 1
Envoi
mar. 10 h
- Collaborateurs informés du programme
- Adresses du domaine de l'entreprise uniquement
- Aucun mot de passe demandé ni collecté
- 1. Modèle. Trois modèles pédagogiques, avec un aperçu et les risques étudiés.
- 2. Collaborateurs. Uniquement des membres de votre organisation ou des adresses d'un domaine d'entreprise vérifié, sans doublon.
- 3. Programmation. Date, heure, fuseau Europe/Paris par défaut. Brouillon, envoi de test vers une boîte contrôlée, annulation avant lancement.
- 4. Prévisualisation. Sujet, expéditeur vérifié, destination de l'exercice, destinataires et date.
- 5. Confirmation. Vous attestez disposer des autorisations nécessaires et avoir informé les personnes concernées. Cette confirmation est enregistrée.
Trois modèles pédagogiques
Espace collaboratif : stockage presque saturé
Un service collaboratif fictif demande de vérifier l'espace de stockage. Repérer la demande inhabituelle, la pression à agir, le lien inattendu et la demande de connexion non sollicitée.
Document partagé
Une notification annonce un document professionnel partagé. Vérifier l'expéditeur, le contexte et la destination avant d'ouvrir un lien.
Notification administrative
Une information administrative interne fictive. Identifier la demande inattendue, vérifier le canal, éviter les actions précipitées, savoir signaler.
Que se passe-t-il en cas de clic ?
Le collaborateur arrive sur une page CrisisQuest, accessible uniquement avec un lien temporaire. Elle ne contient aucun champ de mot de passe et n'imite aucun portail de connexion. Au plus, un bouton fictif « Poursuivre » permet d'enregistrer l'intention, sans aucune donnée saisie.
L'exercice est révélé immédiatement : « Il s'agissait d'une simulation de sensibilisation. » Suivent les indices qui devaient alerter (contexte inhabituel, demande pressante, destination à vérifier) et le bon réflexe de signalement. Le ton est bienveillant : personne n'est humilié.
Votre campagne a concerné 10 personnes. 4 interactions ont été enregistrées sur le lien, dont 1 non attribuable avec certitude (analyse automatique probable). 3 participants ont terminé la sensibilisation.
Aucun classement individuel. Aucune donnée de connexion collectée.
Ce que vous mesurez, et ce que vous ne mesurez pas
- Destinataires prévus et messages acceptés par le fournisseur d'envoi
- Visites de la page pédagogique et sensibilisations terminées
- Interactions avec l'étape fictive, sans aucune saisie
- Clics « non attribuables avec certitude » lorsque des analyseurs automatiques visitent le lien
- Pas de classement des salariés, pas de qualification de « victime »
- Jamais de mot de passe ni de « compte compromis » affiché
Un cadre strict, adapté aux PME
- Équipe : 1 campagne par mois, 10 destinataires maximum
- PME+ : 3 campagnes par mois, 30 destinataires maximum
- Information préalable des collaborateurs, modèle de notice fourni (à adapter et valider)
- Envoi depuis une identité vérifiée, jamais depuis une adresse falsifiée
- Aucun envoi vers des listes achetées ou des domaines tiers
- Arrêt d'urgence possible à tout moment
Ce module fait partie des offres entreprises, dont l'ouverture est prochaine. L'envoi réel ne sera activé qu'avec un fournisseur d'e-mails qui autorise explicitement les exercices de sensibilisation.
Pour aller plus loin
Préparez votre équipe aux e-mails piégés
Commencez par la simulation gratuite, puis découvrez les offres entreprises.