Ingénierie sociale & simulation de phishing
Les personnes sont la surface d'attaque la plus ciblée, et la plupart des compromissions commencent par quelqu'un que l'on convainc de cliquer, de rappeler ou de communiquer un code. Nous menons des campagnes autorisées de phishing, spear-phishing, vishing et smishing pour mesurer ce risque humain, et pour vérifier si votre détection et votre signalement fonctionnent vraiment. C'est un exercice d'apprentissage, conçu pour renforcer la résilience, et non pour prendre les gens en défaut.
La surface d'attaque humaine
L'ingénierie sociale cible les personnes par les canaux que les attaquants utilisent réellement. Comme le ferait un véritable adversaire, nous nous appuyons sur l'OSINT pour concevoir des scénarios réalistes et autorisés par e-mail, téléphone et SMS. Nous mesurons à la fois à quel point vos équipes se laissent piéger et la solidité de votre processus de détection et de réponse.
- Phishing : campagnes e-mail larges et réalistes mesurant les taux de clic et de soumission
- Spear-phishing : leurres ciblés, éclairés par l'OSINT, contre des rôles nommés
- Vishing : appels sous prétexte vocal (par ex. scénarios de help-desk et de réinitialisation MFA)
- Smishing : prétextes par SMS et envoi de liens malveillants
- Réalisme du payload et de la page d'atterrissage (capture d'identifiants, pièce jointe, invite MFA)
- Détection et signalement : les contrôles et les personnes ont-ils réagi ?
Réaliste, autorisé, cartographié sur ATT&CK
Chaque campagne est explicitement autorisée et menée dans le cadre de règles d'engagement convenues. Nous utilisons l'OSINT pour concevoir des prétextes crédibles et rattachons les techniques aux tactiques Initial Access et Reconnaissance de MITRE ATT&CK. L'objectif est l'apprentissage : nous rendons compte des tendances et du processus pour améliorer la sensibilisation et la réponse, sans jamais pointer d'individus.
- 1
Cadrage & autorisation
Nous convenons des objectifs, des canaux, des groupes cibles et des règles d'engagement, avec une autorisation écrite explicite et un NDA.
- 2
OSINT & conception des prétextes
Nous collectons du renseignement en sources ouvertes et concevons des scénarios crédibles et dans le périmètre pour chaque canal.
- 3
Exécution de la campagne
Nous menons les campagnes de phishing, vishing et smishing dans la fenêtre et selon les règles convenues.
- 4
Mesure de la réponse
Nous mesurons la susceptibilité et vérifions si la détection, le blocage et le signalement par les utilisateurs se sont réellement déclenchés.
- 5
Rapport & sensibilisation
Nous livrons des résultats agrégés et des recommandations orientées vers la sensibilisation et l'amélioration des processus.
Ce que vous recevez
Une image claire et agrégée du risque humain et de la réponse, avec les données et les recommandations pour améliorer la formation et la détection. Le tout est présenté pour renforcer la résilience plutôt que pour désigner des coupables.
- Synthèse à l'attention de la direction sur le risque humain et la posture de réponse
- Métriques de campagne agrégées : taux de clic, de soumission et de signalement par canal
- Résultats de détection et de signalement : les contrôles et les personnes ont-ils réagi ?
- Techniques cartographiées selon MITRE ATT&CK (Initial Access, Reconnaissance)
- Recommandations priorisées pour la formation à la sensibilisation et les contrôles
- Rapport agrégé et non punitif (sans mise en cause individuelle)
Ancré dans MITRE ATT&CK & les tests autorisés
Les campagnes sont rattachées à MITRE ATT&CK (tactiques Initial Access et Reconnaissance) et ne sont menées que sous autorisation écrite explicite et selon des règles d'engagement convenues. L'ingénierie sociale est un exercice d'apprentissage : les résultats sont communiqués de manière agrégée pour améliorer la sensibilisation, les contrôles et la réponse, jamais pour pointer des individus. Les scénarios sont conçus avec l'OSINT pour être réalistes tout en restant strictement dans le périmètre.
Testez votre surface d'attaque humaine.
Dites-nous quelles équipes et quels canaux sont dans le périmètre et ce que vous souhaitez apprendre. Nous concevrons des campagnes réalistes et autorisées, les mènerons selon des règles convenues et en rendrons compte de manière à renforcer la résilience, sous NDA. La première consultation est gratuite.