Simulations d’hameçonnage

Envoyez à votre personnel des tests d’hameçonnage réalistes et sécuritaires, voyez qui clique et montrez-lui quoi surveiller la prochaine fois.

Ouvrir Simulations d’hameçonnage dans votre console

Où trouver cette page
Formation › Simulations d’hameçonnage
Qui peut y accéder
Toute personne qui peut voir la page
Pour
FSG
Forfait
Formation de sensibilisation à la sécurité + signalement d’hameçonnage (module complémentaire, ou inclus dans Complete). Voir les tarifs
Fonctionnalité
Formation de sensibilisation à la sécurité adaptée à votre secteur

À quoi sert la page

Simulations d’hameçonnage est une page de la console Lavawall®, dans la section Formation du menu. Lavawall est la plateforme de RMM, de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada. À propos de cette fonctionnalité.

Une simulation d’hameçonnage envoie un faux courriel d’hameçonnage au personnel pour mesurer qui clique et qui aurait saisi son mot de passe dans une fausse page de connexion. Les personnes qui cliquent arrivent sur une page éducative qui explique les signaux d’alerte qu’elles ont manqués. Avec le temps, les taux de clics montrent si la formation fonctionne.

Cette page sert à mener des campagnes et à gérer les éléments qu’elles utilisent. Les Modèles sont les courriels simulés; Lavawall offre une bibliothèque classée en catégories comme la collecte d’identifiants, le centre d’assistance TI, les factures ou la fraude au président, la livraison et l’Agence du revenu du Canada, et vous pouvez rédiger les vôtres. Les Landing Pages sont les pages éducatives que voient les gens après avoir cliqué. Import Email transforme un véritable courriel d’hameçonnage que vous avez reçu en un modèle sécuritaire, dont le suivi, les scripts et les liens malveillants ont été retirés.

Les campagnes peuvent cibler des groupes de formation, des personnes en particulier ou tous les utilisateurs actifs, et peuvent être envoyées immédiatement ou planifiées.

Les mots de passe ne sont jamais enregistrés

Lorsqu’une simulation affiche une fausse page de connexion, tout ce que la personne saisit reste dans son propre navigateur. Lavawall ne l’envoie, ne le stocke et ne le consigne jamais, et n’en enregistre pas non plus la longueur. Les champs de la fausse page ne peuvent pas être soumis, même si JavaScript est désactivé.

Lavawall enregistre seulement que la personne a appuyé sur Sign in et si la zone du mot de passe était vide. C’est suffisant pour mesurer le risque et pour montrer la leçon à la personne, sans jamais détenir un véritable mot de passe.

Ce que vous voyez

La page Simulations d’hameçonnage, avec les chiffres du sommaire, les onglets, les cartes de campagne et une nouvelle campagne de simulation d’hameçonnage, numérotés de 1 à 4.
La page Simulations d’hameçonnage. Les numéros correspondent à la liste ci-dessous.
  1. Chiffres du sommaire : Campaigns, Modèles, Emails Sent et Link Clicks.
  2. Onglets : Campaigns, Modèles, Landing Pages et Import Email, ainsi que Alertes et rapports (décrit plus bas).
  3. Cartes de campagne : le nom et l’état (brouillon, active, suspendue ou terminée), Sent, Clicked, Submitted sign-in (les personnes qui ont appuyé sur Sign in dans une page de connexion simulée; les mots de passe ne sont jamais enregistrés) et Click Rate, le modèle et la date d’envoi, et Report. New Campaign en démarre une nouvelle.
  4. New Phishing Simulation Campaign : Campaign Name, Schedule Send, Email Template, Educational Landing Page et Who to target (Training Groups, Individual Emails ou All Active Users), avec Save as Draft et Create Campaign.

Comment mener une simulation d’hameçonnage

  1. Dans Campaigns, cliquez sur New Campaign.
  2. Saisissez un Campaign Name.
  3. Choisissez un Email Template et, au besoin, une Educational Landing Page (ou conservez celle par défaut).
  4. Sous Who to target, choisissez Training Groups et cochez des groupes, Individual Emails et recherchez des personnes, ou All Active Users.
  5. Réglez Schedule Send, ou laissez-le vide pour conserver un brouillon.
  6. Cliquez sur Create Campaign, ou sur Save as Draft pour terminer plus tard.
  7. Surveillez Clicked, Submitted sign-in et Click Rate sur la carte de la campagne.

Comment rédiger votre propre modèle

  1. Ouvrez Modèles et cliquez sur New Template.
  2. Saisissez un Template Name, une Difficulty (Easy, Medium, Hard ou Expert) et une Catégorie.
  3. Saisissez le From Name, le From Email et la Subject Line.
  4. Rédigez l’Email Body. Utilisez le bouton { } de la barre d’outils pour insérer des variables, comme le prénom de la personne, le nom de l’entreprise et le lien d’hameçonnage simulé.
  5. Énumérez les Red Flags, un par ligne. Ils sont affichés sur la page d’atterrissage.
  6. Enregistrez le modèle.

Comment créer une page d’atterrissage éducative

  1. Ouvrez Landing Pages et cliquez sur New Page.
  2. Saisissez un Page Name et un Page Title.
  3. Rédigez au besoin un Intro Message et le Educational Content.
  4. Pour voir qui saisirait un mot de passe, choisissez une Simulated sign-in page (Microsoft 365 ou Google Workspace). Les personnes qui cliquent voient d’abord la fausse page de connexion, puis cette page. Les mots de passe qui y sont saisis ne sont jamais transmis ni enregistrés; Lavawall note seulement que Sign in a été pressé.
  5. Sans page de connexion simulée, vous pouvez cocher Include a basic inline sign-in form à la place. Cela fonctionne de la même façon et n’enregistre jamais non plus les mots de passe.
  6. Enregistrez la page. Utilisez le bouton d’aperçu pour la vérifier.

Comment transformer un véritable courriel d’hameçonnage en modèle

L’onglet Import Email de la page Simulations d’hameçonnage, qui montre Import a Real Phishing Email as a Template, une zone Select .eml file et un bouton Import & Sanitize.
Import Email transforme un courriel d’hameçonnage enregistré en un modèle de simulation sécuritaire.
  1. Enregistrez le courriel d’hameçonnage en fichier .eml. Le nouvel Outlook et Outlook sur le Web enregistrent un courriel au format .eml lorsque vous le téléchargez ou le glissez sur le bureau; la plupart des autres logiciels de courriel offrent une option Enregistrer sous ou Télécharger. Outlook classique enregistre des fichiers .msg, qui ne peuvent pas être importés.
  2. Ouvrez Import Email et glissez le fichier .eml dans la zone de dépôt, ou cliquez sur la zone (ou appuyez sur Entrée) pour choisir le fichier. Un fichier à la fois, jusqu’à 10 Mo.
  3. Cliquez sur Import & Sanitize.
  4. Le nouveau modèle apparaît sous Modèles, prêt à être modifié et utilisé.

Chaque lien d’un courriel importé, y compris les adresses Web écrites en texte, est modifié pour mener à la page d’atterrissage, afin que personne ne puisse atteindre le vrai site d’hameçonnage à partir d’une simulation. Avant l’importation, choisissez à qui le modèle est destiné sous Offert à.

Modifier, partager et supprimer des modèles

  • Aperçu (bouton en forme d’œil) montre le courriel tel que les gens le verront. Chaque lien ouvre la page d’atterrissage par défaut avec les signaux d’alerte du modèle.
  • Les courriels importés s’ouvrent dans l’éditeur en HTML avec aperçu, afin que leur mise en page reste telle que reçue. L’éditeur visuel est plus simple pour du texte, mais il reconstruit les tableaux et les sections mises en forme et peut changer l’apparence d’un courriel importé.
  • Offert à détermine qui peut utiliser un modèle : seulement l’organisation dans laquelle vous travaillez (par défaut), ou votre organisation et ses organisations clientes. Les modèles marqués Global sont fournis par Lavawall à tous.
  • Le bouton de suppression retire les modèles propres à votre organisation et les modèles importés. Les campagnes qui ont déjà utilisé un modèle conservent leurs résultats.
  • Page d’atterrissage détermine où mènent les liens du modèle. Une campagne dont la page d’atterrissage reste sur Page d’atterrissage du modèle l’utilise; sinon, la page par défaut s’affiche.
  • Les espaces réservés sont remplacés pour chaque personne à la livraison : {{FIRST_NAME}}, {{LAST_NAME}}, {{FULL_NAME}}, {{EMAIL}}, {{COMPANY}}, {{COMPANY_DOMAIN}}, {{DATE}}, {{DATE+7}} (la date d’envoi plus 7 jours; tout nombre jusqu’à 365, ou négatif) et {{TRACKING_LINK}}. Utilisez le bouton { } (éditeur visuel) ou Insérer un espace réservé (vue HTML). Les aperçus affichent des valeurs d’exemple.
  • Les courriels importés ne conservent jamais l’adresse de l’expéditeur malveillant ni celle du destinataire d’origine : l’expéditeur s’affiche avec le nom usurpé au domaine de l’organisation destinataire ({{COMPANY_DOMAIN}}), et l’adresse et le domaine du destinataire d’origine sont remplacés par des espaces réservés.

Alertes de clic et rapports récapitulatifs

L’onglet Alertes et rapports envoie un courriel lorsqu’une personne clique sur un lien d’une simulation d’hameçonnage, ainsi qu’un rapport régulier sur les clics et la formation. Les paramètres appartiennent à l’organisation dans laquelle vous travaillez et s’appliquent à toutes ses campagnes.

  1. Ouvrez l’onglet Alertes et rapports.
  2. Sous Destinataires, entrez une Adresse courriel, cochez Alertes de clic, choisissez un Récapitulatif (Quotidien, Hebdomadaire ou Mensuel) et cliquez sur Ajouter un destinataire.
  3. Une adresse sur l’un des domaines de l’organisation commence à recevoir les courriels tout de suite. Toute autre adresse reçoit un courriel de confirmation et affiche En attente de confirmation jusqu’à ce que son titulaire ouvre le lien et clique sur Confirmer mon adresse. Rien d’autre ne lui est envoyé d’ici là.
  4. Sous Horaire des récapitulatifs, choisissez le Fuseau horaire, l’heure sous Envoyer à (7 h par défaut) et le jour sous Récapitulatifs hebdomadaires le (lundi par défaut), puis cliquez sur Enregistrer l’horaire. Les récapitulatifs mensuels partent le 1er du mois.
  • Une alerte de clic indique la personne qui a cliqué, la campagne et le modèle, le moment du clic dans le fuseau horaire de l’organisation (avec l’heure UTC) et si elle a ensuite utilisé le bouton Se connecter d’une page de connexion simulée, avec ou sans mot de passe saisi. Elle ne contient jamais le mot de passe, une adresse IP ni le navigateur. Chaque personne déclenche au plus une alerte par campagne.
  • Un récapitulatif indique qui a cliqué et qui a terminé des cours de formation pendant la période, le pourcentage de personnes ayant terminé toute leur formation assignée et le pourcentage d’achèvement de chaque programme de formation. Les récapitulatifs quotidiens couvrent la veille, les hebdomadaires les sept jours précédents et les mensuels le mois précédent.
  • Fournisseurs de services : cochez Inclure les organisations clientes pour qu’une adresse reçoive les alertes de toutes les organisations clientes actives et un récapitulatif consolidé avec une section par client et des totaux. Chaque organisation cliente peut aussi avoir ses propres destinataires, et le rapport d’un client ne contient jamais l’information d’un autre client.
  • Modifiez les choix d’un destinataire directement dans la liste; les changements sont enregistrés aussitôt. Renvoyer envoie de nouveau le courriel de confirmation, et le bouton de suppression arrête tous les courriels à cette adresse. Une organisation peut avoir jusqu’à 25 destinataires.

Configurer la livraison

Les simulations sont placées directement dans les boîtes de réception par Microsoft 365 ou Google Workspace. Lorsque la livraison n’est pas encore configurée, cliquez sur Configurer en haut de la page et choisissez celui que cette organisation utilise. Google ouvre la section des simulations d’hameçonnage de la page de configuration Google, où vous autorisez le placement de messages dans les boîtes de réception.

Conseils

  • Commencez par un modèle Easy ou Medium, puis augmentez la difficulté à mesure que les taux de clics baissent.
  • Click Rate devient ambre au-delà de 10 % et rouge au-delà de 30 %.
  • Les modèles et les pages d’atterrissage marqués Global sont fournis par Lavawall. Vous pouvez les prévisualiser, mais vous ne pouvez modifier que les vôtres.
  • Utilisez Training Groups pour tester un service à la fois; ajoutez les groupes dans la page Formation.
  • Lorsque le personnel signale une simulation avec le complément de signalement d’hameçonnage, il obtient automatiquement le crédit de l’avoir repérée.

Dépannage

Lavawall enregistre-t-il les mots de passe que les gens saisissent?
Non. Les mots de passe saisis dans une page de connexion simulée ne sont jamais transmis, ni stockés, ni consignés, pas plus que leur longueur. Lavawall enregistre seulement que Sign in a été pressé et si la zone du mot de passe était vide.
« No campaigns yet. Create your first campaign. » (Aucune campagne pour le moment. Créez votre première campagne.)
Cliquez sur New Campaign.
Aucun groupe de formation à choisir.
Créez d’abord des groupes dans la page Formation, puis cliquez sur le bouton d’actualisation dans le formulaire de campagne.
« No templates found. » (Aucun modèle trouvé.)
Remettez le filtre de catégorie à All categories.
Un destinataire affiche toujours « En attente de confirmation ».
L’adresse est en dehors des domaines de l’organisation et son titulaire ne l’a pas encore confirmée. Demandez-lui de vérifier son dossier de courrier indésirable, ou cliquez sur Renvoyer. Les liens de confirmation expirent après 7 jours.
« Votre rôle permet de consulter ces paramètres, mais pas de les modifier. »
Les rôles en lecture seule peuvent voir les paramètres d’alerte. Demandez à un administrateur de faire le changement.
Un modèle ou une page d’atterrissage n’a pas de bouton de modification.
Il s’agit d’un élément Global fourni par Lavawall. Importez ou créez le vôtre pour le personnaliser.
« Ce courriel a déjà été importé »
Votre organisation a déjà importé ce courriel. Cherchez-le sous Modèles; son nom commence par Imported:.
« Les fichiers .msg d’Outlook ne sont pas pris en charge »
Ouvrez le courriel dans le nouvel Outlook ou dans Outlook sur le Web et téléchargez-le, ou transférez-le-vous et enregistrez-le depuis un autre logiciel de courriel, pour obtenir un fichier .eml.

Guides de tâches qui utilisent cette page

Besoin d’aide?

Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous étiez :

Les noms, entreprises, appareils et chiffres qui figurent dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.

Nous utilisons des statistiques respectueuses de la vie privée, sans témoins, pour compter les visites, et un seul témoin pour faire fonctionner notre clavardage en direct. Les deux ne se chargent que si vous acceptez. Nous n’utilisons aucun traceur publicitaire et nous ne vous profilons pas d’un site à l’autre. Les témoins essentiels au fonctionnement du site restent toujours actifs. Consultez notre politique de confidentialité.