Publicité en cours de chargement...
Sensibilisation des utilisateurs au phishing : un exercice difficile
Une importante campagne de phishing, sévit dans nos établissements de santé depuis plus de deux mois maintenant. Preuve qu’en 2018, et ce malgré toutes les solutions de protection imaginables, l’ « intelligence artificielle » n’a toujours pas dépassé l’apprentissage aux humais.
Aussi indispensable qu’elle soit, la sensibilisation des utilisateurs au phishing, reste en 2018, un exercice toujours aussi périlleux.
En effet nos belles théories se voient souvent remises en question par des exceptions récurrentes.
Pour faire simple, il est difficile de dire qu’en matière de phishing, il existe une vérité absolue.
1. Je n’ouvre pas un courriel dont je ne connais pas l’expéditeur :
Oui très bien, mais une usurpation d’identité ou un piratage de la messagerie d’un proche, d’un prestataire, ou d’un collaborateur ça arrive. Même aux meilleurs, même aux éditeurs de solutions de sécurité très connues et qualifiées par l’ANSSI. Dans ces cas là, il faut souvent s’en remettre au bon sens, et certains d’entre vous me diront, souvent à juste titre, que ce n’est pas toujours facile à enseigner. En même temps, et pour reprendre l’esprit d’une célèbre citation de Coluche, pour vendre de l’intelligence, il est préférable d’en avoir un échantillon sur soi.
2. Vérifier la véracité des liens présents dans les messages :
Si des solutions telles que MailScanner par exemple permettent de détecter un lien frauduleux du type :
J’affiche au format texte : https://mabanque.xxx
Mais en réalité le lien hypertexte pointe vers : https://jevaistouttepiquer.com
Comment expliquer aux utilisateurs que de nombreux organismes font appel à des plateformes d’envoi de messages en masse, contenant souvent des liens impossibles à analyser pour un utilisateur lambda, du type :
http://6cHjk.g.ff.d.domainechelou.com/zz/eq/identifiantdeouf
Un utilisateur fraîchement sensibilisé ou un peu suspicieux pourrait donc passer à côté de messages légitimes ou signaler à sa DSI ou à son RSSI un « faux positif », comme dans l’exemple ci dessous :
Comment lui en vouloir pour ça ?
Sans explications, oui ce lien peut paraître suspect, même si en réalité il redirige l’utilisateur vers une page légitime. Comment lui dire, c’est une excellente initiative de nous l’avoir signalé, mais ce n’est pas un phishing, même si ce type de lien pourrait parfaitement pointer vers une page de phishing.
Le RSSI, le DSI, l’ingénieur ou le technicien apportant une réponse à l’utilisateur devra faire une nouvelle fois preuve de tact et éviter de dire à l’utilisateur : « tu nous embêtes pour rien avec tes signalements », car il n’est pas toujours simple, même pour un utilisateur averti de faire la différence entre un message légitime ou un message de phishing au premier coup d’œil.
Et comme dirais un charismatique RSSI de CHU qui écrit chaque semaine sur ce même site, l’informaticien qui dit que le problème se situe entre la chaise et le clavier, oublie de préciser, aussi et surtout que le problème se situe également assez souvent entre le chaise et le clavier de l’informaticien lui même.
Avez-vous apprécié ce contenu ?
A lire également.

Dedalus France : une nouvelle étape dans la trajectoire de transformation
24 juin 2025 - 07:50,
Actualité
- DSIHDedalus France annonce le départ de Frédéric Vaillant, Directeur Général Délégué, au 30 juin 2025, après plus de 25 ans d’engagement. Fondateur de Medasys, acteur central des grandes étapes de structuration de l’entreprise, il a contribué à façonner Dedalus France comme acteur majeur du numérique en...

HLTH 2025, un Salon sous le signe de l’innovation distribuée
23 juin 2025 - 21:18,
Actualité
- DSIHHLTH Europe 2025, qui s’est tenu cette année à Amsterdam, a offert un panorama dense et incarné de l’écosystème européen de la santé numérique. Le Salon a rassemblé géants technologiques, institutions publiques, start-up prometteuses et hôpitaux à la recherche de nouveaux modèles de collaboration. U...

Cour de cassation versus RGPD : 2-0. Et ce n’est pas une bonne nouvelle !
23 juin 2025 - 18:14,
Tribune
-Ça fait deux fois.

Approche hétérodoxe du concept de risque résiduel
02 juin 2025 - 22:42,
Tribune
-Vous voulez être le bon élève de l’auditeur 27001 qui vient constater, de visu, comment vous mettez en œuvre un SMSI. Le bon élève, avec les félicitations, le bisou sur le front et le petit papier qui va bien.