Pourquoi faire des campagnes de phishing dans le médico-social ?
Retour d’expérience dans une association gestionnaire de Foyers d’Hébergement, MAS et établissements médico-sociaux.
Nous avons déjà évoqué l’importance de la sensibilisation des équipes aux risques numériques.
Toutes les mesures de sécurité du monde peuvent être mises en place : sauvegardes, antivirus, authentification multifacteur, filtrage des messageries ou supervision des systèmes. Pourtant, si les utilisateurs ne sont pas un minimum sensibilisés, le risque restera toujours présent.
Les cyberattaquants l’ont bien compris. Il est souvent plus simple de tromper un être humain que de contourner des protections techniques.
Bien sûr, il est impossible de tout contrôler et personne n’est à l’abri d’une erreur. L’objectif n’est pas de transformer chaque collaborateur en expert en cybersécurité.
En revanche, en semant quelques graines de vigilance, jour après jour et année après année, il est possible de faire évoluer les habitudes et les réflexes. Un collaborateur qui hésite avant de cliquer sur un lien inhabituel, qui vérifie l’expéditeur d’un message ou qui signale un e-mail suspect contribue déjà activement à la sécurité de l’organisation.
C’est précisément dans cette logique que s’inscrivent les campagnes de phishing simulées.
Quel est le véritable objectif des campagnes de phishing ?
Un exercice de phishing n’a pas pour objectif de donner une note aux collaborateurs, ni de désigner les « bons » et les « mauvais élèves ».
L’objectif est avant tout de rendre concret un risque qui a souvent été expliqué lors de formations, de réunions ou de communications internes.
Tout le monde comprend généralement qu’il ne faut pas ouvrir une pièce jointe suspecte ou communiquer ses identifiants. Pourtant, confrontés à une situation réelle, dans le rythme parfois soutenu de nos journées de travail, nous pouvons tous être amenés à agir trop rapidement.
Les campagnes de phishing permettent justement de transformer une information théorique en expérience concrète. Elles donnent l’occasion aux collaborateurs de se confronter à des situations proches de celles rencontrées lors de véritables attaques, mais dans un environnement sans conséquence.
Comme un exercice d’évacuation incendie, l’objectif n’est pas de sanctionner les personnes qui se trompent, mais de permettre à chacun d’acquérir progressivement les bons réflexes.
Au fil du temps, les collaborateurs deviennent plus attentifs aux expéditeurs, aux liens présents dans les messages, aux demandes inhabituelles ou aux pièces jointes suspectes. Ils développent également le réflexe de demander conseil ou de signaler un message douteux.
Le succès d’une campagne de phishing ne se mesure donc pas uniquement au nombre de clics. Il se mesure surtout à la progression collective de la vigilance au sein de l’organisation.
Faut-il informer les collaborateurs avant de lancer des campagnes de phishing ?
À première vue, cela peut sembler paradoxal. Si les collaborateurs savent que des campagnes de phishing vont être réalisées, ne risque-t-on pas de fausser les résultats ?
Pourtant, notre expérience nous a montré que cette étape est importante.
Nous avons commencé nos actions de sensibilisation dès 2020. À l’occasion de réunions générales, nous avons rencontré les équipes afin d’échanger sur les bonnes pratiques numériques et sur les principaux risques auxquels nos structures pouvaient être confrontées.
En nous appuyant notamment sur les ressources mises à disposition par l’ANSSI, nous avons progressivement abordé différents sujets :
- l’utilisation des clés USB ;
- les risques liés aux connexions sur des réseaux Wi-Fi publics ;
- l’importance des mots de passe robustes ;
- les risques associés aux e-mails frauduleux ;
- les bonnes pratiques de sécurité au quotidien.
Au fil de ces interventions, nous avons également expliqué que notre objectif était, à terme, de mettre en place des exercices de phishing. À cette époque, nous ne disposions ni des outils ni du temps nécessaire pour les organiser, mais il nous semblait important d’être transparents sur notre démarche.
Cette communication préalable avait plusieurs objectifs.
D’abord, faire comprendre que ces exercices n’avaient pas vocation à sanctionner ou à surveiller les collaborateurs. Ensuite, préparer les équipes à l’idée que les risques évoqués lors des sensibilisations pouvaient être reproduits dans des mises en situation concrètes.
Enfin, cela permettait de créer une forme de vigilance positive. Lorsqu’une personne sait que des exercices peuvent être réalisés, elle est naturellement davantage attentive aux e-mails inhabituels et applique plus facilement les conseils qui lui ont été transmis.
L’objectif n’est pas que les collaborateurs craignent d’être pris en faute. L’objectif est qu’ils gardent à l’esprit que les menaces existent réellement et qu’ils peuvent, à leur niveau, contribuer à protéger l’organisation.
Exemple d’une campagne très ciblée
Je ne vais pas dresser la liste de tous les outils permettant de réaliser des campagnes de phishing. Il existe aujourd’hui de nombreuses solutions sur le marché, allant de la simple campagne de sensibilisation à des exercices beaucoup plus élaborés.
Je souhaite en revanche partager un échange que j’ai eu avec les équipes informatiques d’une structure locale qui avait développé en interne son propre outil de phishing afin de réaliser un exercice particulièrement réaliste.
Cette structure dispose de ressources informatiques plus importantes que celles dont disposent la plupart des établissements médico-sociaux. ce qui lui a permis de préparer une campagne très ciblée.
Les équipes avaient notamment :
- réservé un nom de domaine très proche de celui de l’établissement ;
- créé une adresse e-mail se faisant passer pour le service paie ;
- développé un faux portail de connexion reproduisant l’apparence de leurs outils habituels.
Seules deux personnes avaient été informées de l’exercice : le responsable informatique et un membre de la direction générale.
Le choix de ne pas informer les autres membres de la direction était volontaire. L’objectif n’était pas seulement d’évaluer la vigilance des collaborateurs, mais également de mesurer la réactivité de la chaîne décisionnelle face à un incident potentiel.
Le vendredi à 16h30, un e-mail est envoyé à un grand nombre de collaborateurs.
Le message indique qu’un problème est survenu dans le logiciel de paie et qu’il est impératif de se connecter à un portail afin de vérifier ou de mettre à jour ses coordonnées bancaires. Sans cette action, le salaire devant être versé le lundi risque de ne pas être payé.
Dans le contexte de cet article, le scénario paraît évident. Pourtant, dans la réalité du terrain, les choses sont souvent très différentes.
Les collaborateurs terminent leur semaine, les services sont parfois sous tension, chacun traite rapidement les derniers dossiers avant le week-end. Le message joue sur une préoccupation très concrète : la réception du salaire.
Je n’ai plus les chiffres exacts en tête, mais les résultats avaient été particulièrement marquants.
Près de la moitié des collaborateurs avaient cliqué sur le lien. Une part importante d’entre eux avait commencé à renseigner ses informations bancaires sur le faux portail. À l’inverse, seule une minorité avait immédiatement signalé le message comme suspect.
L’exercice a toutefois permis de mettre en évidence un point positif : dès le vendredi soir, certains cadres et directeurs ont remonté leurs doutes à la direction générale et à la DSI. Les équipes RH et paie ont rapidement diffusé une communication interne pour alerter les collaborateurs.
Malgré cela, plusieurs personnes ont continué à consulter le faux portail jusqu’au lundi matin.
Bien entendu, aucune donnée n’était enregistrée et l’objectif n’était pas de piéger les utilisateurs. L’intérêt de l’exercice était de démontrer à quel point une attaque crédible, s’appuyant sur un contexte réaliste et une émotion forte, peut contourner les réflexes habituels.
C’est également ce type d’exercice qui permet d’identifier les axes d’amélioration : sensibilisation des collaborateurs, procédures de signalement, communication de crise et réactivité des équipes de direction.
Et pour les établissements du médico-social ?
Même si ce type d’exercice est particulièrement intéressant, nous ne disposons pas tous des moyens humains et techniques d’un centre hospitalier capable de développer ses propres outils.
Pour autant, il est tout à fait possible de mettre en place des campagnes de phishing efficaces avec des moyens plus modestes.
Aujourd’hui, de nombreuses solutions permettent de réaliser des exercices simples, adaptés aux associations et aux établissements médico-sociaux.
À mon sens, le critère le plus important dans le choix d’un outil n’est pas forcément le réalisme de la campagne ou la richesse des scénarios proposés. L’essentiel est de pouvoir agir après l’exercice.
Une campagne de phishing n’a de valeur que si elle permet de faire progresser les collaborateurs.
Il est donc important de pouvoir identifier :
- les personnes ayant ouvert le message ;
- celles ayant cliqué sur le lien ;
- celles ayant éventuellement tenté de renseigner des informations ;
- celles ayant signalé le message comme suspect.
L’objectif n’est pas de sanctionner ou de pointer du doigt les personnes concernées.
Au contraire, ces informations permettent de comprendre où se situent les difficultés et d’accompagner les collaborateurs dans l’acquisition des bons réflexes.
Les outils les plus pertinents proposent généralement une page d’information ou une mini-formation immédiatement après le clic. Le collaborateur comprend alors qu’il s’agissait d’un exercice et découvre les indices qui auraient dû l’alerter.
Cette approche pédagogique est souvent beaucoup plus efficace qu’une simple présentation théorique.
La prochaine fois qu’il recevra un message similaire, il se souviendra probablement de cette expérience et prendra quelques secondes supplémentaires pour vérifier l’expéditeur, le lien ou la cohérence de la demande.
C’est précisément cet objectif que doivent poursuivre les campagnes de phishing : non pas chercher à obtenir le moins de clics possible à tout prix, mais permettre aux équipes de développer progressivement leur vigilance face aux menaces réelles.
Je préfère un collaborateur qui clique aujourd’hui sur un exercice de phishing et qui apprend de son erreur, plutôt qu’un collaborateur qui découvre ce risque pour la première fois lors d’une véritable attaque.
Mon retour d’expérience
Depuis maintenant deux ans, nous menons des campagnes de phishing au sein de notre association.
Comme beaucoup d’organisations, nous appréhendions les premiers résultats. Nous nous demandions si les collaborateurs allaient adhérer à la démarche, si les campagnes seraient bien perçues et surtout quel serait le niveau réel de vigilance face à ce type de menace.
Les premiers résultats ont parfois été surprenants, mais pas nécessairement dans le sens que nous imaginions. Bien sûr, certains collaborateurs ont cliqué sur les liens proposés, mais nous avons également constaté que de nombreuses personnes avaient intégré les messages de sensibilisation diffusés au fil des années.
Depuis le lancement de nos campagnes, nous n’avons observé qu’un seul cas de saisie d’identifiants lors d’un exercice de phishing. En revanche, les clics sur les liens restent relativement fréquents, ce qui montre que la vigilance doit continuer à être entretenue dans le temps.
Là où nous constatons la plus forte évolution, c’est dans les comportements du quotidien. Il y a encore quelques années, il était très rare qu’un collaborateur nous sollicite pour vérifier la légitimité d’un e-mail. Aujourd’hui, cela se produit plusieurs fois par mois.
Nous recevons régulièrement des demandes concernant un expéditeur inhabituel, un lien suspect ou une demande paraissant incohérente. Ces sollicitations nous amènent parfois à réaliser nos propres vérifications à l’aide d’outils d’analyse d’URL ou en ouvrant certains liens dans des environnements isolés afin de confirmer leur légitimité.
C’est finalement l’un des résultats les plus encourageants de ces campagnes. Au-delà des statistiques, elles ont contribué à développer une culture du doute raisonnable face aux messages reçus.
Il est rassurant de constater que les graines semées il y a quelques années commencent aujourd’hui à produire leurs premiers résultats. Les arbres ne sont pas encore matures, mais les premiers arbrisseaux sont bien là.
Les campagnes de phishing ne supprimeront jamais totalement le risque. Elles permettent en revanche de transformer progressivement une organisation où chacun clique sans réfléchir en une organisation où chacun s’autorise à douter, vérifier et signaler.
Et en cybersécurité, ce simple changement de comportement peut parfois faire toute la différence.