Hameçonnage et ingénierie sociale
Le taux de clic est le mauvais indicateur. Quelqu'un cliquera toujours, et publier un classement de ceux qui l'ont fait apprend à vos équipes à le cacher. Le chiffre qui prédit le déroulement d'un vrai incident, c'est le temps que met la première personne à signaler le message, et le fait qu'il se passe quelque chose quand elle le fait.
Ce qui est inclus
- Élaboration de prétextes nourrie par ce qui est publiquement découvrable à votre sujet
- Une liste de cibles convenue, avec exclusion de qui vous voulez sur demande
- Une infrastructure montée pour l'exercice puis démantelée ensuite
- Mesure de la remise, de l'interaction, de la soumission d'identifiants et du signalement
- Page d'atterrissage sans charge utile en option, pour la sensibilisation plutôt que l'accès
Ce que vous obtenez
- Le délai jusqu'au premier signalement, qui est le chiffre principal
- Taux de remise et d'interaction en agrégé, jamais une liste nominative
- Ce que votre filtrage de messagerie a bloqué et ce qu'il a laissé passer
- Ce qui s'est passé dans la file sécurité lorsque quelqu'un a effectivement signalé
- Des recommandations de sensibilisation visant le processus, pas les individus
- Lettre d'attestation pour auditeurs et clients, sur demande
- Attestation de correction après le contre-test, en document distinct
Forme de la mission
- Cadrée au cas par casFixée par écrit avant le début des tests. 1 à 3 semaines, fenêtre de signalement compriseFenêtre habituelle. Construite autour de votre échéance si vous en avez une. Comment fonctionne la tarification
Signalé, pas cliqué
Nous vous remettons des chiffres agrégés et nous ne fournissons pas la liste de ceux qui ont cliqué. C'est une contrainte délibérée, négociable uniquement dans le sens de plus de confidentialité, jamais moins. La raison est pratique plutôt que de principe : un exercice qui produit une liste disciplinaire produit des collaborateurs qui dissimuleront le prochain vrai hameçonnage, c'est-à-dire exactement le mode de défaillance que vous cherchez à éviter.
Ce que nous mesurons précisément, en revanche, c'est le chemin de signalement. Combien de temps jusqu'au premier signalement, par quel canal, et ce qui s'est passé ensuite. Une organisation où quarante pour cent cliquent mais où le premier signalement arrive en quatre-vingt-dix secondes et déclenche une réponse se porte bien mieux qu'une organisation où cinq pour cent cliquent et où personne ne prévient personne.
Autorisation et limites
Une autorisation écrite de quelqu'un qui peut l'accorder pour les personnes testées, une liste de cibles explicite, une liste d'exclusions explicite, et une fenêtre définie. Aucun prétexte usurpant l'identité d'un employé réel nommément désigné, d'un régulateur, d'un professionnel de santé, ni rien qui touche à une véritable urgence personnelle. Aucune collecte d'identifiants au-delà du fait qu'un identifiant a été soumis : nous enregistrons que cela s'est produit, pas ce que c'était.
D'où vient la recherche
La qualité du prétexte fait la différence entre un exercice qui enseigne quelque chose et un exercice que tout le monde repère. Nous construisons les prétextes à partir de ce qui est réellement découvrable sur votre organisation, les mêmes sources ouvertes qu'utiliserait un attaquant - ce qui constitue d'ailleurs un constat en soi lorsque la surface découvrable s'avère plus large que prévu. Des recherches publiées sur les techniques de hameçonnage et l'abus d'infrastructures de confiance sous-tendent ce travail.
Questions
Non, et c'est délibéré. Vous obtenez des taux agrégés et une image détaillée du chemin de signalement. Nommer des individus produit à coup sûr des collaborateurs qui cacheront le prochain vrai courriel d'hameçonnage, ce qui vous coûte plus que l'exercice ne rapporte.
Des prétextes réalistes construits à partir d'informations ouvertement découvrables sur votre organisation. Jamais en usurpant l'identité d'un employé réel nommément désigné, d'un régulateur, d'un professionnel de santé ou d'une urgence personnelle. Les limites sont inscrites dans les règles d'engagement avant tout envoi.
Nous enregistrons qu'un identifiant a été soumis. Nous ne stockons pas l'identifiant lui-même. La page d'atterrissage peut aussi être configurée sans aucun champ d'identifiant si l'objectif est la sensibilisation.
Le prétexte téléphonique peut être cadré là où il est légal dans les juridictions concernées et autorisé par écrit. L'intrusion physique ne fait pas partie de cette mission.
Au cas par cas, selon la taille de la liste de cibles, le nombre de prétextes et la durée de la fenêtre.
Cadrez-la correctement avant de l'acheter.
Trente minutes au téléphone, un prix fixe par écrit sous 24 heures, et une réponse honnête si ce n'est pas la mission qu'il vous faut.