Roleplay Ingénierie Sociale

Reconnaissez et déjouez le phishing, le pretexting, le smishing et les attaques d'ingénierie sociale en vous y exerçant. Joy joue l'attaquant à partir de votre propre matériel de sensibilisation, puis fait le bilan des signaux d'alerte repérés et de ceux qui vous ont échappé.

Pour Tous les employés Équipes de sécurité Équipes finance et direction Responsables de la conformité
Exemple de prompt pour l'assistant Joy

/roleplay une attaque d'ingénierie sociale tirée de notre playbook de sensibilisation à la sécurité : [un appel urgent d'un fournisseur qui change ses coordonnées bancaires]. Jouez l'attaquant, puis débriefez-moi sur les signaux d'alerte que j'ai repérés et ceux que j'ai manqués.

À quoi cela peut ressembler

/roleplayune attaque d'ingénierie sociale tirée de notre playbook de sensibilisation à la sécurité : un appel urgent d'un fournisseur qui change ses coordonnées bancaires. Jouez l'attaquant, puis débriefez-moi sur les signaux d'alerte que j'ai repérés et ceux que j'ai manqués.

Vous êtes sur la ligne finance ; je vais jouer Joy, un appelant se faisant passer pour votre fournisseur, tiré de votre playbook de sensibilisation à la sécurité et des attaques consignées par votre équipe. Je reste dans le personnage, puis je vous débriefe. C'est la clôture de fin de mois, et l'appelant paraît calme et bien renseigné.

Joy, de votre fournisseur
Juste une chose avant votre clôture. Nous avons changé de banque, donc la facture d'aujourd'hui a besoin d'un nouveau compte. Je vous lis les coordonnées ; pouvez-vous mettre à jour le bénéficiaire avant le traitement ?
Je ne peux pas modifier des coordonnées bancaires sur un appel. Tout changement de compte est vérifié auprès du contact enregistré avant qu'un paiement ne soit effectué.
Joy
Bien sûr, mais le traitement se clôture dans une heure et votre responsable comptabilité fournisseurs est déjà au courant. Pouvez-vous simplement faire le changement et le noter ?

Coaching

  • Vous avez repéré le signal d'alerte principal, un changement de coordonnées bancaires non vérifié sous pression temporelle, qui est exactement le schéma des cas de compromission de messagerie professionnelle (BEC) consignés par votre équipe l'an dernier.
  • Insister sur la règle du rappel au contact connu plutôt que sur le numéro proposé par l'appelant est le geste qui stoppe réellement cette attaque. Ne vous laissez pas dissuader par « votre responsable comptabilité fournisseurs est déjà au courant ».
  • Un point que vous avez manqué : le prétexte s'appuyait sur un vrai contexte de fin de mois, donc l'appelant s'était renseigné. Signalez cette reconnaissance à la sécurité ; cela signifie souvent que le compte est déjà sondé.

Voulez-vous le même prétexte présenté sous forme d'un fil d'e-mails soigné plutôt qu'un appel ?

Pointez-le vers votre propre bibliothèque de phishing et lancez une session de smishing pour les métiers très mobiles.

Un exemple illustratif. Votre résultat dépendra de vos sources, de vos données et de vos demandes. Ceci est un exemple abrégé. Un /roleplay en direct se déroule un tour à la fois et se poursuit aussi longtemps que vous vous exercez.

Apprenez en expérimentant les attaques (en sécurité)

Vos employés cliquent sur des liens de phishing, puis se sentent gênés d'être pris. La formation traditionnelle montre des vidéos qu'ils oublient. Les vrais attaquants utilisent un pretexting élaboré, l'urgence et l'autorité, et aucun diaporama n'y prépare. Ils ont besoin de pratique.

  1. Donnez votre matériel à Joy

    Téléversez votre guide de sensibilisation à la sécurité, les vraies attaques consignées par votre équipe et vos procédures de vérification dans le Knowledge Center, ou connectez la source. Joy ancre chaque prétexte et chaque bilan dans votre matériel.

  2. Lancez le jeu de rôle

    Utilisez la commande /roleplay de Joy et nommez l'attaque à affronter : un courriel de phishing, un appel urgent du soutien TI, une usurpation de fournisseur. Joy plante le décor et joue l'attaquant.

  3. Exercez-vous en direct

    Joy reste dans son rôle et utilise de vraies tactiques de manipulation (urgence, autorité, prétexte crédible) en réagissant à chacune de vos réponses. C'est vous qui décidez, et rien n'est à risque.

  4. Recevez le bilan et recommencez

    Après l'échange, Joy sort de son rôle pour faire le bilan : les signaux d'alerte repérés, ceux qui vous ont échappé et comment les signaler. Changez de prétexte ou de canal et recommencez.

  5. Enregistrez-la comme commande d'équipe

    Enregistrez cette demande comme commande personnalisée sur l'assistant que votre équipe utilise déjà, pour que chacun puisse l'utiliser en un clic.

Faites-en la vôtre

Simulations réalistes

Joy joue des attaquants convaincants avec de vraies tactiques de manipulation tirées du phishing, du pretexting et du smishing.

Un retour après chaque échange

Après chaque échange, les employés voient les signaux d'alerte qu'ils ont repérés et ceux qu'ils ont manqués.

Variez et répétez

Affrontez le même prétexte jusqu'à le repérer d'instinct, puis changez de canal (courriel, texto, appel) pour un nouvel exercice chaque fois.

Scénarios adaptatifs

Les scénarios réagissent aux actions de l'employé en temps réel, pour une séance différente chaque fois.

Pratique email phishing

Pratiquez l'identification d'emails malveillants : repérer les fausses adresses d'expéditeur, liens suspects et tactiques d'urgence.

Smishing (phishing SMS)

Pratiquez l'identification de SMS malveillants se faisant passer pour des banques, services de livraison ou IT, et savoir quand ne pas cliquer.

Scénarios de pretexting

Pratiquez la résistance aux histoires élaborées conçues pour créer la confiance avant de demander des informations sensibles.

Usurpation d'identité de dirigeant

Pratiquez la reconnaissance de la fraude au CEO et des tentatives de compromission d'email professionnel qui créent une fausse urgence.

Questions fréquentes

Comment Joy aide-t-il la sensibilisation au phishing ?

Joy joue des attaquants réalistes avec de vraies tactiques de manipulation. Les employés s'exercent à répondre au phishing, au pretexting et à l'ingénierie sociale dans un environnement sûr, avec un retour sur ce qu'ils ont bien et mal fait.

Est-ce plus efficace que les simulations de phishing ?

Ça ne fait pas le même travail. Un test de phishing montre qui clique; le jeu de rôle donne aux gens de la pratique pour reconnaître les tactiques et un bilan des signaux manqués, donc vous pouvez utiliser les deux ensemble.

Quels types d'attaques d'ingénierie sociale les employés peuvent-ils pratiquer ?

Courriels de phishing, smishing (phishing par texto), pretexting (histoires de couverture élaborées), fraude au PDG, compromission de courriel d'affaires, usurpation du soutien TI et usurpation de fournisseur.

Comment rendre cet exercice accessible à toute mon équipe ?

Enregistrez le jeu de rôle comme commande personnalisée sur l'assistant que votre équipe utilise déjà, pour que chacun lance le même exercice en un clic. Orientez les rôles à risque, comme la finance ou la direction, vers les prétextes qui les ciblent, et utilisez-le aussi souvent que la pratique aide.

La formation utilise-t-elle de vrais exemples d'attaques ?

Oui. Téléversez les vraies attaques que votre organisation a vues, les menaces propres à votre secteur et les tendances courantes. Joy bâtit des scénarios à partir des tactiques que les attaquants utilisent.

Recettes Connexes

TI et Sécurité

Scénarios de Gestion des Données

Pratiquez la bonne gestion des données dans des situations réalistes avec feedback.
Juridique

Pratique de Scénarios de Conformité

Faites du jeu de rôle sur des situations de conformité avec le feedback de Joy.
TI et Sécurité

Base de Connaissances IT

Répondez instantanément aux questions IT courantes à partir de la documentation.

Essayez Roleplay Ingénierie Sociale au lancement de JoySuite

Rejoignez la liste d'attente et soyez parmi les premiers à essayer ce workflow lors du lancement de JoySuite.

Rejoindre la Liste d'Attente Parcourir Toutes les Recettes