Pour ceux qui veulent savoir et lire : J’ai réalisé une simulation d’hameçonnage pour un client le mois dernier. Un simple e-mail. Rien de compliqué. « Votre compte sera suspendu dans les 24 heures. Cliquez ici pour vérifier. » 40 % du personnel a cliqué dessus. Quand je me suis assis avec l’équipe après, une personne a dit quelque chose qui m’a marqué : Il a dit : « Ça ressemblait exactement aux vrais que nous recevons chaque semaine. » Voilà le problème réel. Ce n’est pas que les gens soient négligents. C’est que les attaquants sont devenus excellents pour paraître légitimes, et la plupart des formations en sensibilisation à la sécurité enseignent encore aux gens à repérer les contrefaçons évidentes. Nous avons redessiné la formation autour de ce constat. Moins d’exercices du type « repérez les fautes d’orthographe ». Maintenant, plus de : « Voici à quoi ressemble une tentative véritablement convaincante, et voici le seul élément qui la trahit encore. » Deuxième simulation, réalisée quatre semaines plus tard : 12 %. C’est ce chiffre qui compte. Pas le fait que les gens aient été trompés une fois. Mais bien que la formation ait réellement modifié les comportements. Les simulations d’hameçonnage ne devraient pas être ennuyeuses, car les attaquants ne le sont pas, croyez-moi.