Utilités et risques des simulations de hameçonnage

Une entreprise de services de formation basée à Laval propose aux organisations de tester, de noter et de comparer la vigilance de leur main-d’œuvre en matière de détection de hameçonnage.

Image : Getty

Selon IT World Canada, les entreprises et les organisations peuvent s’inscrire à un « tournoi » se déroulant sur cinq jours organisé par Terranova Sécurité et commandité par Microsoft.

« Le tournoi teste comment les taux de clics des employés, qui ne savent pas qu’ils ont été inscrits, se comparent aux taux de clics des employés d’organisations qui ont des caractéristiques similaires, incluant le stade, la taille et la localisation ».

Après s’être inscrite, une organisation reçoit des instructions sur comment téléverser sa liste d’utilisateurs dans le tournoi,
puis ces derniers commencent à recevoir plusieurs messages.

Le personnel est ensuite « noté, mine de rien » sur son aptitude à repérer des signes typiques et à signaler des messages suspects, ainsi que sur son empressement à cliquer sur ce qui pourrait être un lien malveillant et à entrer des informations personnelles ou de l’organisation dans de faux sites Web.

Les données ainsi recueillies, rassemblées et comparées à leur insu sont par la suite partagées aux organisations participantes dans des comptes rendus sur mesure et dans un rapport global.

Selon le responsable de la sécurité de l’information chez Terranova Sécurité, Theo Zafirakos, dont les propos sont rapportés par IT World, des organisations utilisent les résultats pour évaluer l’efficacité de leur programme de formation et de sensibilisation, ou pour convaincre la haute direction de mettre en œuvre un tel programme.

Risques de contrecoups et de jouer avec les émotions

Une récente simulation de hameçonnage par courriel menée pour le CHU Saint-Justine par un fournisseur externe que le CHU préfère ne pas nommer a cependant échaudé du personnel.

Un courriel reçu en septembre par des membres du personnel du CHU leur proposait de participer à un tirage de billets pour un événement du groupe Imagine Dragons, « en reconnaissance » de leurs « efforts soutenus des derniers mois ».

Les membres du personnel qui ont essayé de participer au tirage ont reçu un message révélant que le tout était une simulation de hameçonnage et qui les invitait « à redoubler de vigilance ».

Dans un contexte où du personnel surchargé de la santé perçoit un manque de reconnaissance de la part de leurs établissements, l’idée a été dénoncée en ligne comme un manque de sensibilité.

Selon des précisions fournies à Direction informatique par une porte-parole du CHU, « le CHU Sainte-Justine doit sensibiliser ses équipes et employés aux enjeux entourant la sécurité de ses systèmes » et « les établissements sont soumis à une obligation du MSSS de sensibiliser en continu les employés au sujet de la cybersécurité et des divers crimes et risques sur le Web ». De plus, « les simulations de hameçonnage sont couramment utilisées par les institutions pour hausser la vigilance des employés ».

Cela dit, « le CHU est toujours à l’écoute de ses employés et prend en compte d’éventuels irritants afin de toujours améliorer ses façons de faire », a-t-elle aussi précisé.

Articles connexes

Un duo montréalais lance une plateforme gratuite de formation en cybersécurité.

Deux amis d'enfance, tous deux entrepreneurs basés à Montréal,...

Des pirates abusent d’OAuth pour automatiser des cyberattaques, selon Microsoft

Selon Microsoft, des acteurs malveillants utilisent à mauvais escient les applications basées sur OAuth comme outil d'automatisation d'authentification.

Les entreprises canadiennes de taille moyenne paient en moyenne 1,13 million de dollars aux gangs de rançongiciels

Le paiement moyen de rançongiciel effectué par les entreprises canadiennes de taille moyenne s'élevait cette année à un peu plus d'un million de dollars, selon une nouvelle enquête.

Adoption du projet de loi no 38 sur la cybersécurité et la transformation numérique de l’administration publique

Le projet de loi no 38, connu sous le nom de Loi modifiant la Loi sur la gouvernance et la gestion des ressources informationnelles des organismes publics et des entreprises du gouvernement et d'autres dispositions législatives, a été adopté plus tôt cette semaine par l'Assemblée nationale.

Un groupe canadien reçoit 2,2 millions de dollars pour la recherche sur la détection des menaces par l’IA pour les réseaux sans fil

Un groupe composé de chercheurs universitaires canadiens et d'Ericsson Canada vient d’obtenir un financement public dans le cadre de la National Cybersecurity Coalition pour des recherches avancées sur la lutte contre les cybermenaces.

Emplois en vedette

Les offres d'emplois proviennent directement des employeurs actifs. Les détails de certaines offres peuvent être soit en français, en anglais ou bilinguqes.