Les leçons à tirer de l’exercice de phishing de GoDaddy

GoDaddy, une société majeure spécialisée dans la gestion de noms de domaine sur Internet et de services d’hébergement web, s’est négativement mise en évidence lors d’un test de sécurité avant Noël.

En effet, GoDaddy a fait miroiter à son personnel un bonus de Noël (en pleine crise économique) alors qu’il s’agissait en réalité d’un test de phishing. Bref, d’un point de vue risque, il évident que ce type d’email d’hameçonnage fait dorénavant partie des risques quotidiens qui fleurissent dans nos boites aux lettres. Il est donc nécessaire que tous les collaborateurs soient en mesure de les reconnaître et surtout ne pas les activer.

La formation et la sensibilisation, y compris via de tels exercices, sont évidemment nécessaires. Par contre, la communication associée à de tels tests doit être soignée et surtout constructive. Dans le présent cas, elle a été tellement mauvaise qu’il a fallu un communiqué de la direction de GoDaddy pour éteindre le feu qu’elle avait allumé.

Quel est l’objectif ultime d’un tel test? n’est-ce pas que le moins de personnes possibles cliquent et éventuellement qu’elles avertissent au plus vite l’équipe en charge de la gestion des incidents. La pression, la mise au pilori ou la répression ne sont certainement pas les méthodes qui vont faire avancer la sécurité.

Partir de l’objectif de piéger les collaborateurs n’est pas la bonne méthode. Par contre, tester pour former et expliquer les erreurs de manière transparente est certainement une meilleure méthode. Organiser une campagne de sensibilisation sur le phishing avant un test peut bien sûr améliorer artificiellement le résultat d’un test de phishing mais il contribue surtout à l’objectif ultime : moins de clic car il est illusoire d’espérer un risque zéro. Il suffit en effet qu’une seule personne clique pour mettre à risque la sécurité de votre entreprise!

Cette affaire rappelle qu’une bonne sécurité est surtout une affaire de confiance.