Sensibilisation des utilisateurs au phishing : un exercice difficile

Une importante campagne de phishing, sévit dans nos établissements de santé depuis plus de deux mois maintenant. Preuve qu’en 2018, et ce malgré toutes les solutions de protection imaginables, l’ « intelligence artificielle » n’a toujours pas dépassé l’apprentissage aux humais.

Aussi indispensable qu’elle soit, la sensibilisation des utilisateurs au phishing, reste en 2018, un exercice toujours aussi périlleux.
En effet nos belles théories se voient souvent remises en question par des exceptions récurrentes.
Pour faire simple, il est difficile de dire qu’en matière de phishing, il existe une vérité absolue.

1. Je n’ouvre pas un courriel dont je ne connais pas l’expéditeur :

Oui très bien, mais une usurpation d’identité ou un piratage de la messagerie d’un proche, d’un prestataire, ou d’un collaborateur ça arrive. Même aux meilleurs, même aux éditeurs de solutions de sécurité très connues et qualifiées par l’ANSSI. Dans ces cas là, il faut souvent s’en remettre au bon sens, et certains d’entre vous me diront, souvent à juste titre, que ce n’est pas toujours facile à enseigner. En même temps, et pour reprendre l’esprit d’une célèbre citation de Coluche, pour vendre de l’intelligence, il est préférable d’en avoir un échantillon sur soi.

2. Vérifier la véracité des liens présents dans les messages :

Si des solutions telles que MailScanner par exemple permettent de détecter un lien frauduleux du type :

J’affiche au format texte : https://mabanque.xxx
Mais en réalité le lien hypertexte pointe vers : https://jevaistouttepiquer.com

Comment expliquer aux utilisateurs que de nombreux organismes font appel à des plateformes d’envoi de messages en masse, contenant souvent des liens impossibles à analyser pour un utilisateur lambda, du type :

http://6cHjk.g.ff.d.domainechelou.com/zz/eq/identifiantdeouf

Un utilisateur fraîchement sensibilisé ou un peu suspicieux pourrait donc passer à côté de messages légitimes ou signaler à sa DSI ou à son RSSI un « faux positif », comme dans l’exemple ci dessous :

Comment lui en vouloir pour ça ?
Sans explications, oui ce lien peut paraître suspect, même si en réalité il redirige l’utilisateur vers une page légitime. Comment lui dire, c’est une excellente initiative de nous l’avoir signalé, mais ce n’est pas un phishing, même si ce type de lien pourrait parfaitement pointer vers une page de phishing.

Le RSSI, le DSI, l’ingénieur ou le technicien apportant une réponse à l’utilisateur devra faire une nouvelle fois preuve de tact et éviter de dire à l’utilisateur : « tu nous embêtes pour rien avec tes signalements », car il n’est pas toujours simple, même pour un utilisateur averti de faire la différence entre un message légitime ou un message de phishing au premier coup d’œil.

Et comme dirais un charismatique RSSI de CHU qui écrit chaque semaine sur ce même site, l’informaticien qui dit que le problème se situe entre la chaise et le clavier, oublie de préciser, aussi et surtout que le problème se situe également assez souvent entre le chaise et le clavier de l’informaticien lui même.