Une pratique répandue, des résultats surprenants
Chaque année, des milliers d'entreprises investissent dans des programmes de sensibilisation au phishing. Simulation d'emails frauduleux, modules e-learning, quiz de sécurité. L'intention est bonne. Mais est-ce que ça fonctionne vraiment ?
Une étude conduite sur 15 mois par des chercheurs de l'ETH Zurich apporte une réponse surprenante.
Ce que l'étude a testé
14 733 employés d'une grande entreprise ont participé à un programme de simulation de phishing sur 15 mois. Les chercheurs ont testé plusieurs combinaisons : avec ou sans formation après un clic, avec ou sans bouton de signalement, avec des avertissements simples ou détaillés.
La pratique testée est la plus répandue dans les entreprises : simuler un email frauduleux, rediriger vers une page de formation l'employé qui clique. C'est ce que vendent des dizaines de prestataires de sensibilisation.
La pratique la plus répandue. Mais est-elle efficace ?
Un résultat contre-intuitif
Les employés ayant reçu une formation après avoir cliqué sur un lien de phishing simulé ont eu des performances significativement moins bonnes que le groupe contrôle sur la durée.
L'explication proposée par les chercheurs : la formation crée un faux sentiment de sécurité. L'employé pense que l'entreprise a le problème sous contrôle. Il baisse la garde.
L'étude a été complétée par 25 entretiens approfondis. La découverte la plus troublante : les employés qui tombent le plus souvent dans les simulations connaissent parfaitement les signes du phishing. Leur problème n'est pas le manque de connaissance. C'est le manque d'attention.
Problème de connaissance
Les employés ne savent pas reconnaître un email frauduleux.
Problème d'attention
Les employés savent reconnaître les signes, mais ne font pas attention dans leur flux de travail normal.
« C'est la masse des emails qui m'empêchait de regarder de plus près. On clique : suivant, suivant, suivant. »
Ce que les chercheurs en concluent
Les interventions techniques, avertissements automatiques et détection en temps réel, sont plus fiables que la formation sur le long terme, précisément parce qu'elles ne dépendent pas de la vigilance de l'utilisateur.
La formation reste utile comme rappel de vigilance à court terme. Mais elle ne résout pas le problème structurel : dans un environnement de travail normal, personne ne peut maintenir une vigilance maximale sur chaque email reçu.
Lain, D. (2024). ETH Zurich.
Effet court terme, contre-productif à long terme selon l'étude
Rappel utile, mais dépend de la vigilance humaine
Ne dépend pas du comportement humain
Ce que ça veut dire pour votre organisation
Si la formation ne suffit pas, la seule solution robuste est de réduire la dépendance au comportement humain. Cela signifie rendre certaines vérifications automatiques, pas optionnelles.
C'est le principe derrière la certification de l'identité de l'expéditeur : plutôt que de demander au destinataire de détecter un email frauduleux, on certifie que l'email vient bien de qui il prétend venir, indépendamment de l'attention ou de la vigilance du destinataire.
Approche formation
Dépend de la vigilance de chaque destinataire à chaque email reçu.
Approche certification
La preuve d'identité est visible automatiquement, sans action de la part du destinataire.
Source : Lain, D. (2024). Improvements and Challenges of User-Centric Phishing Prevention. Thèse de doctorat, ETH Zurich. Distinguished Paper Award, ACM CCS 2024.
Une démo et vous voyez la signature apparaître dans Outlook.
Demander une démo