Sécurité de la messagerie

Découvrez comment Vade Secure propose à l’utilisateur une formation de sensibilisation au phishing avant qu’il ne soit trop tard

Adrien Gendre

17 septembre 2020

3 min

Les entreprises ont beau consacrer des sommes considérables à la formation au phishing, leurs utilisateurs continuent de cliquer sur des liens malveillants. Pourquoi ?

Pour adopter une hygiène numérique de qualité, il est nécessaire de faire preuve d’une vigilance de tous les instants. De ce point de vue, trois raisons expliquent pourquoi les simulations de phishing et sessions de formation sont insuffisantes.

  1. La formation au phishing est souvent sans lien avec la réalité. Les conséquences d’un clic sur un email de phishing factice sont sans commune mesure avec celles d’un clic sur un authentique email malveillant.
  2. La formation n’est pas adaptée à l’expérience des utilisateurs. Les comptables et les secrétaires médicales ne reçoivent pas le même genre de menaces.
  3. La vigilance des utilisateurs diminue à mesure que la dernière session de formation s’éloigne. D’après Verizon, le taux de clic sur les liens de phishing augmente une heure après la formation, tandis que le taux de signalement suit la courbe inverse.

La formation au phishing pose par ailleurs des difficultés aux PME. En effet, les plateformes de formation pour les entreprises mobilisent des ressources du service informatique, notamment pour la sélection et la remise du contenu de formation, la gestion de la plateforme à proprement parler, le suivi des analyses et l’identification des utilisateurs problématiques nécessitant un accompagnement renforcé. Pour les PME dont le service informatique est limité ou inexistant, ce type de plateforme est tout simplement inaccessible. D’après Gartner, la plupart des programmes de sensibilisation à la sécurité occupent au moins une personne à plein temps.

Pour les MSP qui comptent des PME parmi leurs clients, la difficulté est similaire, voire encore plus importante. En effet, ils doivent gérer plusieurs clients et donc mobiliser des ressources administratives pour faire face aux besoins de leurs différentes formations et plateformes. Si certains MSP sont parfaitement en mesure de le faire, ceux de taille plus modeste risquent d’y laisser des plumes.

Présentation de Vade Threat Coach™, la formation au phishing automatisée

Pour combler les lacunes des simulations de phishing et des sessions de formation, Vade Secure a imaginé Vade Threat Coach, une fonction de formation au phishing automatisée intégrée dans Vade Secure for Microsoft 365. Cette fonction fournit aux utilisateurs une formation lorsqu’ils en ont le plus besoin, à savoir lorsqu’ils interagissent avec un email de phishing.

Tableau de bord de Threat Coach
Tableau de bord de Vade Threat Coach

Les exemples de Vade Threat Coach reposent sur de véritables emails et sites Web de phishing détectés par Vade Secure, qui protège 1 milliard de boîtes aux lettres dans le monde. De nouveaux exemples sont ajoutés lors de la détection ou le signalement de menaces inédites via la boucle de rétroaction (feed-back loop).

Vade Threat Coach s’appuie sur l’IA et les retours des utilisateurs pour proposer un contenu sur mesure. Par exemple, lorsqu’un utilisateur clique sur un email de phishing qui usurpe l’identité de Microsoft, la formation intègre de véritables exemples d’emails et de sites Web de phishing imitant la marque.

Exercice de phishing Microsoft
Exercice de phishing Microsoft

Cette approche basée sur l’IA garantit un contenu dynamique et pertinent pour l’utilisateur. De nouveaux exemples étant ajoutés chaque jour, l’utilisateur est formé aux techniques de phishing les plus récentes.

De plus, la formation tient compte de la marque usurpée dans l’email de phishing sur lequel l’utilisateur a cliqué et est donc liée à son expérience, notamment à l’erreur qui a déclenché le clic. Le fait de lier la formation à un événement émotionnel multiplie les chances que l’utilisateur se souvienne de ce qu’il a appris, un avantage certain par rapport aux formations génériques habituelles. Vade Threat Coach propose actuellement des exemples pour les 10 marques les plus touchées par le phishing. De nouvelles marques sont ajoutées à chaque version.

Automatisation complète pour les MSP

Vade Threat Coach n’impose aucune configuration manuelle ni administration continue aux MSP. Une fois la fonction activée, via un simple bouton, son action est entièrement automatisée. Les MSP peuvent également sélectionner un groupe d’utilisateurs et une marque cible depuis la console d’administration de Vade pour envoyer une formation ponctuelle.

Threat Coach Campaign

Vade Threat Coach est inclus dans Vade Secure for Microsoft 365 sans frais supplémentaires. Cette fonction permet ainsi aux MSP d’offrir une valeur ajoutée supplémentaire à leurs clients sans justifier ou imposer un changement de tarif. Pour les MSP proposant déjà une formation au phishing, Vade Threat Coach permettra de combler les lacunes de la formation structurée par des contenus dispensés à la volée et ainsi de renforcer le recours aux bonnes pratiques et la cybervigilance.