Sensibiliser efficacement au phishing suppose de comprendre, avant tout, les ressorts rhétoriques qui rendent un message piégé crédible. Ce cas pratique porte sur la conception d’une campagne de test d’intrusion par ingénierie sociale au sein d’un établissement d’enseignement, où les usagers étaient invités à s’identifier et à émarger en ligne via leur portail intranet — un exercice mené dans un cadre strictement autorisé, à des fins pédagogiques.
Les vecteurs mobilisés
Une campagne efficace combine des canaux physiques et numériques plutôt que de miser sur un seul point d’entrée : le courriel, le SMS — dont les numéros sont préalablement collectés par OSINT — et l’affichage physique, avec un QR-code en guise d’interface d’accès.
S’appuyer sur les leviers classiques de la manipulation
Chaque message s’efforce de coller aux techniques rhétoriques éprouvées de persuasion :
| Technique | Mise en œuvre |
|---|---|
| Ethos | jargon institutionnel, ton officiel, identité visuelle de l’organisation |
| Pathos | pression, crainte de non-conformité, risque de sanction |
| Logos | justification pseudo-rationnelle — test annuel obligatoire, exigence de conformité |
| Urgence artificielle | réponse exigée sous 48 heures, procédure « obligatoire », lien à expiration |
| Autorité | mention explicite de la direction générale |
Exemple de courriel
Objet : Exercice de sécurité : émargement sous 48h
Bonjour,
Dans le cadre du programme annuel de contrôle interne de la sécurité de l’établissement, un exercice d’intrusion aura lieu cette semaine.
Conformément aux obligations internes, tous les usagers doivent émarger via le portail ci-dessous, pour entériner la lecture et confirmer leur participation en bonne intelligence avec les enjeux de l’exercice.
Portail d’émargement — Exercice de sécurité
Exemple de SMS
Exercice de sécurité : émargement obligatoire d’ici 48h. Merci de valider votre lecture et de confirmer votre présence via le lien ci-joint.
L’affichage physique reprend la même identité visuelle et le même appel à l’action, complété d’un QR-code menant au même portail.
Ce que révèle une campagne réussie
Le succès d’une telle simulation dévoile plusieurs niveaux de risque, qu’il importe de distinguer clairement dans le rapport de restitution.
Pour les utilisateurs piégés, le risque immédiat est la compromission de leurs identifiants — avec un accès abusif possible aux courriels et aux services tiers associés, voire une usurpation d’identité pour diffuser d’autres messages en interne. S’ensuit un risque de pivot : l’attaquant, muni d’un premier identifiant valide, teste ensuite son accès sur d’autres plateformes de l’organisation.
Pour l’organisation, le risque se prolonge en mouvement latéral au sein de son propre système d’information, ouvrant la voie à une infection ultérieure (phishing de second niveau, rançongiciel), à une fuite de données sensibles, et à un impact réputationnel réel — une fausse campagne suffisamment crédible entame durablement la confiance dans les communications légitimes qui lui succèdent.
Pour un attaquant réel qui reproduirait ce scénario hors cadre autorisé, l’exposition pénale est sévère : de deux à dix ans d’emprisonnement et de 60 000 à 375 000 euros d’amende, au titre notamment de la collecte frauduleuse de données, du faux et usage de faux, de l’escroquerie et de l’usurpation d’identité — auxquels s’ajoutent l’engagement de la responsabilité civile et, du côté de l’organisation visée, des poursuites potentielles au titre du RGPD si les données collectées n’étaient pas suffisamment protégées.
IMPORTANT
C’est précisément cette asymétrie — un exercice pédagogique aisé à mettre en œuvre, face à des conséquences pénales lourdes pour qui le reproduirait sans autorisation — qui doit être explicitée aux participants lors du débriefing : la sensibilisation n’a de valeur que si elle referme, plutôt qu’elle n’ouvre, la tentation de reproduire le procédé.