Employés de test

Fournir un environnement d'apprentissage sûr à vos employés

Préparez-vous aux attaques de phishing grâce aux simulations et aux cours de formation

Lucy permet aux organisations d'endosser le rôle d'un attaquant (simulation de phishing) et d'identifier les lacunes tant au niveau de l'infrastructure technique que de la sensibilisation à la sécurité et de les résoudre grâce à un programme complet d'apprentissage en ligne.

Lucy vous permet de simuler le paysage complet des menaces qui vont au-delà des simples courriels de phishing :

  • Attaques sur les médias portables
  • SMiShing
  • Attaques de saisie de données
  • Attaques des hyperliens
  • Puissant kit d'outils de redirection d'URL
  • Attaques mixtes
  • Attaques basées sur des fichiers
  • Attaques à double baril
  • Attaques basées sur Java
  • Attaques basées sur les PDF
  • Boîte à outils de validation de la saisie des données
  • Modèle d'attaque multilingue
  • Spécifique au secteur et à la division
  • Attaquer les variations d'URL
  • Raccourcissement d'URL
  • Cloneur de site web
  • Attaques basées sur le niveau
  • Simulation de spear phishing
  • Support DKIM / S / MIME pour les courriels de phishing
  • Création d'une page d'accueil personnalisée

Attaques sur les médias portables

Les pirates peuvent utiliser des lecteurs de médias portables pour accéder à des informations sensibles stockées sur un ordinateur ou un réseau. LUCY offre la possibilité d'effectuer des attaques sur des supports portables où un modèle de fichier (par exemple, un exécutable, une archive, un document de bureau avec des macros, etc.) peut être stocké sur un dispositif de support portable tel qu'une clé USB, une carte SD ou un CD. L'activation (exécution) de ces fichiers individuels peut être suivie dans LUCY.

SMiShing

Le smishing est, en quelque sorte, un "hameçonnage par SMS". Lorsque les cybercriminels pratiquent le "phishing", ils envoient des courriers électroniques frauduleux qui visent à inciter le destinataire à ouvrir une pièce jointe chargée d'un logiciel malveillant ou à cliquer sur un lien malveillant. Le smishing utilise simplement des messages textuels au lieu de l'e-mail.

Attaques de saisie de données

Les attaques de saisie de données peuvent inclure une ou plusieurs pages web qui interceptent la saisie d'informations sensibles. Les pages web disponibles peuvent être facilement personnalisées avec un éditeur web LUCY. Des outils d'édition supplémentaires vous permettent de mettre en place rapidement des fonctions telles que des formulaires de connexion, des zones de téléchargement, etc. sans connaissance du langage HTML.

Attaques par hyperliens

Une campagne basée sur des hyperliens enverra aux utilisateurs un e-mail contenant une URL de suivi aléatoire.

Puissant kit d'outils de redirection d'URL

Les fonctions de redirection flexibles de LUCY permettent de guider l'utilisateur, au bon moment, vers les zones souhaitées de simulation d'attaque ou de formation. Par exemple, après avoir saisi les trois premiers caractères d'un mot de passe dans une simulation de phishing, l'utilisateur peut être redirigé vers une page de formation spéciale sur la protection des mots de passe.

Attaques mixtes

Les attaques mixtes permettent de combiner plusieurs types de scénarios (sur fichier, saisie de données, etc.) dans une même campagne.

Attaques basées sur des fichiers

Les attaques basées sur des fichiers permettent à l'administrateur de LUCY d'intégrer différents types de fichiers (documents bureautiques avec macros, PDF, exécutables, MP3, etc.) dans des pièces jointes de courrier ou des sites web générés sur LUCY et de mesurer leur taux de téléchargement ou d'exécution.

Attaques à double canon

Cette fonction permet d'envoyer plusieurs e-mails de phishing dans chaque campagne, le premier e-mail bénin (l'appât) ne contenant rien de malveillant et n'exigeant pas de réponse du destinataire.

Attaques basées sur Java

Les attaques basées sur Java permettent à l'administrateur de LUCY d'intégrer une applet de confiance dans les modèles d'attaque basés sur des fichiers ou mixtes fournis dans LUCY et de mesurer leur exécution par l'utilisateur.

Attaques basées sur les PDF

Les attaques de phishing basées sur des PDF peuvent être simulées avec ce module. LUCY permet de "cacher" des fichiers exécutables en tant que pièces jointes de PDF et de mesurer leur exécution. En outre, des liens de phishing dynamiques peuvent également être générés dans les PDF.

Boîte à outils pour la validation de la saisie des données

Dans les simulations d'hameçonnage, il faut éviter les faux positifs pour les champs de connexion (par exemple, la connexion avec une syntaxe invalide). Les directives de l'entreprise peuvent également interdire la transmission de données sensibles telles que les mots de passe. À cette fin, LUCY fournit un moteur de filtrage des entrées flexible qui offre une solution adaptée à chaque exigence.

Bibliothèque de modèles d'attaques multilingues

LUCY est livré avec des centaines de modèles d'attaques prédéfinis dans plus de 30 langues, dans les catégories suivantes : saisie de données (modèles avec site web), fichiers (e-mails ou sites web avec téléchargement de fichiers), liens hypertextes (e-mails avec lien), mixte (combinaison de saisie de données et de téléchargement) et supports portables.

Modèles spécifiques aux secteurs et aux divisions

Des modèles d'attaque sont disponibles pour des industries ou des divisions spécifiques.

Attaquer les variations d'URL

Take control of the generated URLs to identify the recipients. Use automated short (< 5 characters) or long URL strings or set individual URLs for each user. The manual URL creation allows you to form links that a user can easily remember. In environments where link clicks are disabled in e-mails, this is a must.

Raccourcissement d'URL

Les raccourcisseurs d'URL sont un service Internet relativement nouveau. Comme de nombreux services sociaux en ligne imposent des limitations de caractères (par exemple, Twitter), ces URL sont très pratiques. Les raccourcisseurs d'URL peuvent toutefois être utilisés par les cybercriminels pour cacher la véritable cible d'un lien, comme les sites de phishing ou les sites infectés. Pour cette raison, LUCY offre la possibilité d'intégrer différents services de raccourcisseurs dans une campagne de phishing ou de smishing.

Cloneur de site web

Créez rapidement des pages de renvoi hautement professionnelles pour vos campagnes. Clonez des sites Web existants et ajoutez des couches supplémentaires avec des champs de saisie de données, des fichiers à télécharger, etc.

Attaques basées sur le niveau

La formation des employés au phishing basée sur les niveaux permet de rendre mesurable le risque de piratage social. L'analyse scientifique doit également permettre d'identifier les facteurs de risque les plus importants afin de proposer automatiquement des contenus de formation individuels.

Simulation de spear phishing

Le Spear Phish Tailoring fonctionne avec des variables dynamiques (sexe, heure, nom, e-mail, liens, messages, division, pays, etc.) que vous pouvez utiliser dans les modèles d'atterrissage et de messages.

Support DKIM / S / MIME pour les courriels de phishing

Signatures numériques pour les e-mails : Envoyez des courriers de simulation de phishing signés (s/mime). Utilisez DKIM pour obtenir un meilleur score d'expéditeur.

Création d'une page d'accueil personnalisée

Les destinataires ayant une meilleure compréhension technique pourraient utiliser leur navigateur pour appeler le domaine ou l'adresse IP associé au lien de phishing généré aléatoirement. Pour éviter que des messages d'erreur n'apparaissent ou que l'utilisateur final n'arrive à la zone de connexion de la console d'administration, vous pouvez créer des "pages d'accueil" génériques dans LUCY pour les domaines utilisés dans la simulation de phishing.

Créez des modèles de phishing personnalisés en quelques minutes

Créez vos propres modèles de phishing avec notre éditeur et simulez tout type d'attaque de phishing. Aucune compétence technique particulière n'est nécessaire.

Alors, comment une telle simulation d'hameçonnage fonctionne ?

PREMIÈRE ÉTAPE : Discutez de vos besoins

Discutez de vos besoins

Les simulations de phishing fournissent des résultats quantifiables qui peuvent être mesurés. Nos simulations disponibles comprennent le SMS Phishing, le Corporate Phishing (e-mails simulés qui semblent provenir de "l'intérieur" de votre propre organisation), le Board Member Spear Phishing (ciblez une poignée de personnes de haut rang en position d'influence), la simulation de Ransomware, le Personal Phishing (simulations visant à utiliser des marques connues comme Amazon, Apple, eBay, etc.), et bien d'autres techniques. Ces mesures permettent d'identifier et de suivre les améliorations. L'approche consultative adoptée par notre équipe garantit que toutes les simulations et campagnes de phishing sont adaptées aux menaces auxquelles votre organisation est confrontée. Avant la simulation de phishing, les besoins et les objectifs sont clarifiés et coordonnés avec les activités prévues. Le but est de définir les éléments clés de la campagne :

  • Attaquer ou éduquer d'abord ? Un test de simulation peut commencer par une formation d'introduction au cours de laquelle les employés sont sensibilisés à la sécurité des e-mails et aux implications du phishing. Une organisation peut également mettre en place un compte e-mail anti-hameçonnage où les employés peuvent facilement partager leurs expériences, leurs soupçons et autres exigences concernant les cybermenaces avant de commencer la simulation.
  • Fréquence de la simulation: La fréquence des simulations doit être ajustée en fonction des menaces perçues. La couverture des utilisateurs et la fréquence de la simulation doivent être déterminées en corrélation avec le risque perçu (par exemple, Finances et paiements - 2 thèmes / X mois, haute direction - 1 thème / X mois). Les fonctions/départements à haut risque et les personnes jouant un rôle important dans l'organisation doivent être couverts plus fréquemment dans le cadre de la simulation.
  • Durée de la simulation: La plupart des tests de simulation de phishing sont généralement planifiés sur une période de 12 mois. Cependant, il peut y avoir certaines campagnes ad-hoc qui sont situationnelles.
  • Timing - Quand envoyer des e-mails ? Lors de la planification de la campagne pour chaque fonction / département ou individu, les e-mails de phishing doivent être initiés avec les éléments "Jour de la semaine" et "Heure de la journée".
  • Suivi: Une campagne de simulation de phishing peut nécessiter un suivi par des e-mails pertinents du service informatique informant les employés concernés de la réalité des e-mails de phishing et de ce que l'on attend d'eux en retour. Si les utilisateurs échouent à plusieurs reprises, prévoyez une discussion avec eux pour comprendre quelles sont les difficultés qu'ils rencontrent et pourquoi. En conséquence, organisez des sessions de sensibilisation/formation pour ces utilisateurs.
  • Cohérence avec les politiques actuelles: Une fois mis en œuvre, le processus doit être exécuté de manière uniforme pour toutes les personnes concernées. L'intégration dans les politiques et procédures de sécurité de l'information existantes contribuera également à donner une importance supplémentaire à la campagne.
  • Choisissez le bon thème de phishing: Voir la section suivante.
  • Communication d'entreprise: Avant de lancer la campagne de simulation de hameçonnage, élaborez un plan de communication sur la simulation de hameçonnage avec le chef de fonction/département. Les employés doivent être informés du nouveau processus, des attentes, des conséquences de la non-conformité et de la date d'entrée en vigueur.
  • Groupe ciblé: Si la campagne cible un grand groupe d'utilisateurs appartenant à la même fonction / au même service, ils pourraient en informer d'autres membres du groupe. Par conséquent, les e-mails de phishing ne doivent pas être transmis à l'ensemble de l'entreprise car cela éveille les soupçons. Au contraire, le processus doit être organique et cibler un petit groupe d'employés sélectionnés à un moment donné.
  • Assurer un engagement au plus haut niveau: Le soutien de la direction est essentiel pour garantir l'efficacité du processus. Par conséquent, les utilisateurs de niveau supérieur doivent avoir la volonté de suivre le processus.
  • Préparatifs techniques : L'établissement d'une liste blanche des domaines de phishing, la création de comptes de test, les tests de distribution du courrier sont quelques-unes des activités qui doivent être soigneusement planifiées.
DEUXIÈME ÉTAPE : Sélectionnez votre thème pour l'attaque simulée

Dans toute activité de simulation de phishing, le thème joue un rôle important dans la réalisation de l'objectif final, qui est de sensibiliser les utilisateurs aux menaces réelles. Pour offrir une expérience et une sensibilisation réelles, le thème de simulation de phishing choisi doit s'aligner sur un événement ou un contexte pertinent pour l'individu ou le groupe ciblé. Voici quelques points à prendre en compte pour des activités de simulation efficaces :

  • Tout thème choisi pour une simulation de phishing doit être aligné sur le contexte commercial et le risque perçu pour le rôle / la fonction / le service de l'utilisateur.
  • Le thème choisi pour la simulation de phishing doit être pertinent pour l'individu ou le groupe ciblé.
  • Pour obtenir de meilleurs résultats et une meilleure expérience d'apprentissage, la complexité du thème choisi doit être progressivement augmentée.
  • Commencer par un thème d'hameçonnage très complexe fera échouer de nombreuses personnes et ne permettra pas d'atteindre l'objectif final.
  • Chaque élément trompeur d'un e-mail de phishing doit être combiné à d'autres astuces généralement utilisées par les attaquants (par exemple, un domaine similaire avec un lien hypertexte camouflé, un domaine usurpé avec un fichier à double extension, etc.)
  • Chaque activité de simulation doit être limitée dans le temps ; les thèmes contextuels réalisés en dehors d'un calendrier défini perdront leur valeur.
TROISIÈME ÉTAPE : Sélectionnez vos services supplémentaires

La simulation de phishing LUCY peut être associée à des services qui aideront l'entreprise à mieux évaluer le risque. Voici quelques exemples :

  • Formations individuelles: Chaque employé peut être formé individuellement à l'avance ou directement à la suite de la simulation d'attaque. Le contenu des formations peut être adapté aux politiques existantes de l'entreprise. Des tests interactifs permettent d'enregistrer le niveau de connaissance.
  • Test du filtre de messagerie et du filtre web: Il fournit une analyse technique des canaux d'entrée possibles pour les logiciels malveillants. Quels types de fichiers peuvent être transmis par courrier électronique ? Quels types de fichiers dangereux peuvent être téléchargés ?
  • Test de sécurité local: Quel est le risque effectif si un employé exécute un type de fichier dangereux ? Dans quelle mesure la protection technique permet-elle d'éviter les fuites de données ?
  • Analyse du potentiel d'attaque: Quelles informations sensibles des employés peuvent être consultées sur Internet ? Que communiquent les employés via une adresse électronique de l'entreprise lorsqu'ils sont sur Internet ?
  • Analyse de la culture de sécurité: La culture de sécurité actuelle doit être enregistrée et évaluée au moyen d'entretiens, d'enquêtes et d'analyses des directives existantes.
  • Analyse du Darknet : Nous recherchons dans le Darknet les fuites de données existantes et dressons ainsi un tableau complet des risques, qui ne se limite pas à une vue de l'intérieur.
  • Campagnes récurrentes entièrement gérées : Vous préférez des campagnes récurrentes entièrement gérées par nos soins ? Nous vous invitons à nous confier entièrement le thème de la sensibilisation à la sécurité informatique.
ÉTAPE QUATRE : Commencez !

Commencez dès aujourd'hui avec Lucy

Démo

protection des données

Adresse : Europe
Lucy Security AG
Hammergut 6 | 6330 Cham | Suisse

Adresse : Amérique du Nord
Lucy Security USA
13785 Research Blvd
Suite 125
Austin, TX 78750

RECHERCHE

Connectez-vous à

Tous droits réservés 2022

cybersecurity_award_2021_Winner_Gold-1-1 logo4 2021-CSGEA-Gold-PNG-2-e1618372246427 logo6 logo7 Badge Cyber-Essentials-Moyen-72dpi-2 d cv-award image_2021_06_09T14_55_37_887Znew Lucy-Security-Award-Logo-sizee-update