Comment exploiter les menaces signalées pour protéger les collaborateurs en temps réel

Lorsqu’un collaborateur signale un e-mail de phishing, le SOC analyse le message, bloque les éléments malveillants et clôt l’incident. Cette intervention permet de gérer la menace immédiate.

Mais que se passe-t-il si l’attaquant modifie quelques détails et utilise la même méthode pour cibler 50 autres collaborateurs ? Sauront-ils reconnaître l’attaque ?

Pas nécessairement. L’équipe de sécurité connaît désormais le mode opératoire de l’attaquant, mais pas les autres collaborateurs. C’est là que le flux de travail doit évoluer. Les enseignements tirés d’une attaque réelle ne devraient pas se limiter à la gestion de l’incident : ils devraient aussi permettre de préparer les autres collaborateurs aux prochaines menaces.

Les renseignements utiles sur les menaces restent bloqués au stade du tri

Encourager les collaborateurs à signaler systématiquement les e-mails suspects pose aussi un problème : ils en signalent beaucoup, et la plupart se révèlent inoffensifs. Les équipes de sécurité aux effectifs réduits doivent malgré tout passer en revue les newsletters, les communications internes, les spams et les messages légitimes des fournisseurs avant de repérer les quelques messages qui constituent de véritables menaces.

Trois chiffres illustrent les lenteurs du processus :

• 3 signalements sur 100 correspondent à de véritables menaces. Les 97 % restants sont des messages légitimes ou des messages sans intérêt particulier qui encombrent quotidiennement les boîtes de réception, mais que les analystes doivent tout de même examiner.
• 13 jours est le temps de réponse médian. Un message signalé peut rester près de deux semaines en attente avant d’être pris en charge.
• 19 jours pour actualiser les mesures de protection des collaborateurs. Pendant ce temps, la méthode d’attaque a pu circuler pendant près de trois semaines.

Les attaquants, eux, n’ont aucune raison d’attendre. Si une usurpation d’identité, une demande ou une formulation s’avère efficace, ils peuvent réutiliser la même technique avec un autre nom de domaine, cibler un autre service ou élaborer un scénario légèrement plus convaincant.

Les programmes de sensibilisation évoluent plus lentement. Les simulations planifiées et les bibliothèques de modèles sont utiles pour couvrir un large éventail de situations et développer les réflexes de base. Mais elles ne peuvent pas anticiper toutes les techniques que les attaquants utiliseront contre les collaborateurs.

Les attaques signalées, en revanche, fournissent des exemples concrets. Elles révèlent les marques dont les attaquants usurpent l’identité, les autorités dont ils se réclament et les détails sur lesquels ils misent pour gagner la confiance des collaborateurs.

La difficulté consiste à transformer les informations recueillies par le SOC en contenus de formation, sans générer de travail manuel supplémentaire. Les liens doivent être neutralisés, les données personnelles supprimées et le message reconstruit en toute sécurité. Lorsque le tri des signalements mobilise déjà une grande partie du temps des équipes, ce travail peut facilement être reporté.

Transformez une menace confirmée en support de formation au sein d’un seul flux de travail

Si votre dispositif actuel de tri des signalements fonctionne déjà bien, SoSafe peut s’y adapter. Le processus comprend trois étapes :

• Identifiez les signalements qui nécessitent une intervention. SoSafe Threat Inbox utilise l’IA pour filtrer les faux positifs et faire ressortir les signalements prioritaires,afin d’aider les administrateurs à se concentrer sur les risques réels.
• Réutilisez l’attaque, sans les risques associés. SoSafe Recreate Attack transforme l’e-mail analysé en un point de départ pour une simulation sécurisée, tout en conservant les éléments de contexte qui rendaient le message d’origine convaincant.
• Gardez la maîtrise de la version finale. SoSafe Template Studio permet aux administrateurs de vérifier, d’affiner et d’adapter le contenu au contexte local avant sa diffusion aux collaborateurs.

Vous pouvez continuer à utiliser les bibliothèques de modèles pour vos simulations planifiées. Ce processus vient les compléter en permettant de réagir plus rapidement aux attaques impossibles à anticiper.

Au lieu de copier, de sécuriser et de reconstituer un message en plusieurs étapes distinctes, les équipes peuvent passer d’une menace confirmée à une simulation déployée en une heure environ.

Se former à partir d’une attaque qui vient de se produire

L’objectif n’est pas de multiplier les formations, mais de les rendre plus pertinentes. Lorsque les simulations reflètent les menaces auxquelles l’entreprise est actuellement confrontée, la sensibilisation reste en phase avec les risques opérationnels. Les collaborateurs s’entraînent ainsi à faire face aux attaques qu’ils sont susceptibles de réellement rencontrer.

Découvrez comment SoSafe peut transformer rapidement les renseignements issus d’incidents réels en formations adaptées à vos collaborateurs.Réservez une démo SoSafe..