Socle
Un exercice d'hameçonnage réaliste suppose de tromper les participants. La recherche n'accepte la tromperie qu'à des conditions strictes : elle doit être justifiée, sans alternative raisonnable, ne pas causer de tort sérieux, et être suivie d'un débriefing rapide (American Psychological Association, 2017, normes 8.07 et 8.08). Le code de déontologie des psychologues et la déclaration d'Helsinki posent des exigences proches.
Ces règles valent aussi en entreprise, où se posent des questions propres : accord de l'organisation et information générale des équipes, absence de sanction individuelle, données agrégées, choix des leurres (Resnik et Finn, 2018). Un leurre qui joue sur une prime, la santé ou l'emploi peut blesser et détruire la confiance envers l'équipe de sécurité.
Le cadre de ce site en découle : exercices fictifs, participants informés, indicateurs agrégés, débriefing, aucune personne désignée. Un exercice réussi n'est pas celui qui piège le plus, mais celui qui laisse les équipes plus capables et plus confiantes.
Cas publics
- GoDaddy (décembre 2020) : environ 500 salariés ont reçu un faux courriel promettant une prime de fin d'année de 650 dollars. Ceux qui avaient cliqué ont appris deux jours plus tard qu'ils avaient échoué à un test et devaient refaire une formation ; l'entreprise s'est excusée (Bell, 2020).
- West Midlands Trains (mai 2021) : environ 2 500 salariés ont reçu un message semblant venir de la direction, qui promettait une prime pour leur travail pendant la pandémie. C'était un exercice d'hameçonnage ; le syndicat TSSA l'a jugé « grossier et répréhensible », l'entreprise l'a défendu (Coble, 2021).
Blue team : défense
Signaux : exercice lancé sans cadre écrit ; leurre qui promet une prime, menace l'emploi ou touche à la santé ; résultats individuels diffusés ; aucun débriefing prévu ; participants qui découvrent l'exercice par la sanction.
Contre-mesures : cadre écrit validé par la direction et les représentants du personnel ; information générale des équipes sur l'existence des exercices ; liste de leurres interdits ; débriefing rapide et bienveillant ; données agrégées ; possibilité de se retirer.
Red team : simulation encadrée
Hypothèse testée : informer les équipes de l'existence des exercices, sans date ni contenu, change-t-il la mesure par rapport à des exercices non annoncés, et améliore-t-il la confiance envers l'équipe de sécurité ?
Indicateur : écart de détection entre exercices annoncés et non annoncés, et confiance envers l'équipe de sécurité, mesurée par questionnaire anonyme dans les deux conditions.
Cadre : Exercice fictif, participants informés et consentants, indicateurs agrégés, débriefing, aucun individu désigné, aucun résultat publié pour un groupe de moins de 10 personnes.
Pistes originales
- Rédiger une charte d'exercice type, inspirée des comités d'éthique de la recherche.
- Recenser les leurres à proscrire et les remplacer par des équivalents neutres.
Techniques DIMA associées
Fiche de cadre : aucune technique DIMA. Rapprochement proposé, à valider. Voir le tableau complet.
Qui est plus sensible, ce qui protège
Plus sensibles
- Participants piégés sans débriefing plausible
Ils retiennent l'humiliation plus que la leçon, et signalent moins ensuite.
Ce qui protège
- Équipes informées du principe des exercices plausible
Savoir que des exercices existent, sans en connaître la date, préserve la confiance.
À lire pour se prémunir : repérer les situations où l'on est plus exposé, et y renforcer ses défenses. Tendances de groupe, jamais un jugement sur une personne : un diagnostic ne dit pas qu'une personne est manipulable. Usage légitime : adapter les formations et les procédures, protéger.
Références
- American Psychological Association (2017). Ethical principles of psychologists and code of conduct (2002, amendé en 2010 et 2017 ; normes 8.07 et 8.08). lien vérifiée
- Resnik, D. B., & Finn, P. R. (2018). Ethics and phishing experiments. Science and Engineering Ethics, 24(4), 1241–1252. lien vérifiée
- CERéDéPsy (2021). Code de déontologie des psychologues (version consolidée du 9 septembre 2021). lien vérifiée
- World Medical Association (1964, révisée 2024). Declaration of Helsinki: Ethical principles for medical research involving human participants. lien vérifiée
- Bell, K. (2020, 24 décembre). GoDaddy phishing 'test' teased employees with a fake holiday bonus. Engadget. lien vérifiée
- Coble, S. (2021, 10 mai). Staff bonus was "crass" phishing simulation. Infosecurity Magazine. lien vérifiée
« Vérifiée » : titre, auteurs, année et support confirmés en ligne. « À contrôler » : la référence existe mais un détail (pages, éditeur, lien) n'a pas été relu à la source. Toutes les références.
Niveau de preuve : principes éthiques établis ; leur application aux exercices en entreprise fait l'objet de discussions. Fiche liée à la page Chapeaux.
Contribuer à cette fiche
Une source, un cas public, une correction ? Chaque proposition est relue avant publication. Précisez le titre de la fiche : « Simuler une attaque sans trahir : consentement, tromperie et débriefing ».