Mener une simulation de phishing interne éthique avec GoPhish

Une simulation de phishing (hameçonnage) mesure la réaction d’une équipe à un faux message piégé, dans un cadre contrôlé, pour la former. Mal cadrée, elle produit l’inverse : défiance envers l’équipe sécurité, signalements qui se tarissent, conflit social. Ce guide déroule une campagne avec GoPhish, de l’autorisation jusqu’au suivi, avec une position assumée : l’indicateur qui compte est le taux de signalement, pas le taux de clic.

→ Lire l’explication complète de la marmotte

Étapes 1 et 2 : autorisation écrite et scénario proportionné

Étape 1, le cadre avant l’outil. Une autorisation écrite de la direction fixe le périmètre (populations visées, dates, scénarios interdits), les données collectées et leur durée de conservation, et le destinataire des résultats. Le délégué à la protection des données et les représentants du personnel sont informés selon les règles internes ; cette page ne tranche aucune question juridique, elle rappelle seulement qu’une campagne lancée sans ce document devient, au premier clic mal vécu, un litige entre services. Le centre de supervision et le support informatique sont prévenus, avec un identifiant de campagne, pour ne pas ouvrir un incident majeur sur un exercice. Les participants, eux, ne connaissent pas la date.

Étape 2, un scénario réaliste et proportionné. Deux écueils symétriques. Le piège trop évident (fautes grossières, expéditeur exotique) mesure l’attention orthographique et rassure à tort. Le piège trop trompeur (fausse prime, annonce de licenciement) exploite une émotion que l’employeur contrôle réellement : la leçon retenue n’est pas « vérifier l’expéditeur » mais « l’équipe sécurité ment sur les sujets qui font peur ». Ces thèmes sont à exclure dans l’autorisation. L’échelle Phish Scale du NIST (National Institute of Standards and Technology) aide à coter la difficulté d’un modèle et à comparer deux campagnes entre elles. Le bon scénario imite un flux réellement reçu : partage de document, livraison, demande de validation.

Vingt ans de sensibilisation apprennent que le taux de clic baisse surtout quand on répète le même scénario, ce qui mesure la mémoire des participants bien plus que leur vigilance.

Étape 3 : configurer GoPhish et le domaine de simulation

Le domaine. Enregistrer un domaine dédié, distinct de toute marque réelle et de tout domaine de l’organisation. Usurper le domaine interne apprendrait à se méfier des vrais messages internes ; imiter une marque tierce expose à un conflit avec son titulaire. Le domaine doit rester enregistré après l’exercice : une fois expiré, il peut être racheté et réutilisé par un vrai attaquant, avec une réputation déjà connue des participants. Publier SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting and Conformance) sur ce domaine, et déclarer l’exercice dans la passerelle de messagerie (fonction de simulation autorisée ou règle d’exception), sinon le filtre bloque la campagne et mesure sa propre efficacité.

La page d’atterrissage. Tout clic affiche immédiatement une page de sensibilisation : ce qui aurait dû alerter dans ce message précis, et comment le signaler. Dans GoPhish, l’option « Capture Submitted Data » reste décochée : un exercice de sensibilisation n’a aucune raison de stocker des mots de passe réels, et une base de résultats qui en contient devient la cible la plus rentable du réseau.

L’interface d’administration. Elle écoute sur 127.0.0.1:3333 et ne se publie jamais sur Internet : les instances GoPhish exposées sont indexées par les moteurs de recherche d’hôtes et régulièrement ciblées. Au premier démarrage, le mot de passe administrateur initial s’affiche dans le journal ; il doit être changé immédiatement.

Commandes reproductibles : lancement et agrégation des résultats

Le bloc suivant suppose GoPhish 0.12 installé, le profil d’envoi, le modèle, la page et le groupe déjà créés dans l’interface. Le domaine sensibilisation.example utilise l’extension .example, réservée à la documentation par la RFC (Request for Comments) 2606 : à remplacer par le domaine dédié enregistré à l’étape 3.

# Clé d'API GoPhish (menu Account Settings), interface en écoute locale
export GP="https://127.0.0.1:3333"
export KEY="$(cat /etc/gophish/api.key)"

# Lancement étalé sur 3 jours : un envoi simultané déclenche une alerte
# de couloir et fausse la mesure
curl -sk -H "Authorization: Bearer $KEY" -H "Content-Type: application/json" \
  -X POST "$GP/api/campaigns/" -d '{
    "name": "T4-partage-document",
    "template": {"name": "partage-document"},
    "page": {"name": "sensibilisation-immediate"},
    "smtp": {"name": "relais-simulation"},
    "url": "https://partage.sensibilisation.example",
    "launch_date": "2026-10-06T08:30:00+02:00",
    "send_by_date": "2026-10-08T17:00:00+02:00",
    "groups": [{"name": "equipe-ciblee"}]
  }'

# Résultats agrégés par service (champ "position"), sans aucun nom :
# nombre de cibles, de clics et de signalements par groupe
curl -sk -H "Authorization: Bearer $KEY" "$GP/api/campaigns/1/results" |
  jq '[.results[]] | group_by(.position) | map({
        service: .[0].position,
        cibles: length,
        clics: map(select(.status == "Clicked Link" or .status == "Submitted Data")) | length,
        signalements: map(select(.reported)) | length })'

Les résultats nominatifs ne quittent pas le serveur ; seul l’agrégat circule, et la base est purgée à l’échéance autorisée.

Étapes 4 et 5 : lire les résultats et former sans stigmatiser

Étape 4, corriger les mesures avant de les lire. Les passerelles de messagerie et les services de réécriture de liens ouvrent chaque URL (Uniform Resource Locator) pour l’analyser : ces clics automatiques apparaissent comme des clics humains, souvent dans les secondes qui suivent l’envoi. Les filtrer par adresse IP (Internet Protocol) source et par délai avant tout calcul. Le taux d’ouverture, mesuré par une image invisible que certains clients de messagerie préchargent, ne mérite aucune confiance.

Étape 5, transformer en formation ciblée. Jamais de liste nominative diffusée, ni à la hiérarchie ni en réunion : un nom exposé une fois suffit à tarir les signalements volontaires d’un service entier, et un signalement rapide vaut plus qu’un clic évité. Le suivi individuel reste individuel : la page d’atterrissage propose un module court et confidentiel. Les agrégats par service orientent des sessions courtes sur le type de leurre qui a fonctionné. Le délai entre l’envoi et le premier signalement est l’indicateur à suivre d’une campagne à l’autre : il mesure le temps pendant lequel une vraie campagne progresserait sans être vue. Le volet facteur humain est développé dans la section humain.

Ce que la simulation ne garantit pas

La sensibilisation réduit le taux de clic, elle ne l’annule jamais : sur un effectif suffisant, quelqu’un cliquera toujours. La défense qui tient ne repose donc pas sur la vigilance mais sur une authentification résistante à l’hameçonnage (clés FIDO2, Fast IDentity Online, liées à l’origine du site), traitée dans la section identités, et sur une détection capable d’exploiter les signalements. Une campagne réussie à 2 % de clics avec des mots de passe réutilisables reste une campagne où 2 % des comptes sont ouverts. La section menaces suit l’évolution des leurres réels. Une plateforme « propulsée par l’intelligence artificielle » ne change rien à cette arithmétique, ce qui n’a jamais freiné une plaquette.

🐝 Ce qui arrive si on s’en passe

Sans simulation encadrée, la première confrontation au phishing a lieu en conditions réelles, et sans mesure : aucun taux de clic de référence, aucune idée du délai moyen de signalement, donc aucun moyen de savoir si une action de sensibilisation produit un effet. Les messages douteux ne remontent pas, faute de réflexe et de canal de signalement éprouvé, ce qui laisse une campagne réelle progresser plusieurs jours avant détection. Une simulation improvisée hors cadre coûte aussi cher : sans autorisation écrite, l’exercice devient un litige ; sans domaine de simulation distinct, des adresses légitimes finissent en liste noire interne ; sans page de sensibilisation immédiate, un clic n’apprend rien ; et la publication des noms des personnes ayant cliqué tarit durablement les signalements volontaires, l’outil de détection le plus rapide dont dispose une équipe.

🦫 Explication de la marmotte 🍫

Le phishing consiste à envoyer un faux message qui pousse quelqu’un à cliquer sur un lien piégé ou à donner son mot de passe. Pour entraîner une équipe, l’équipe sécurité envoie elle-même de faux messages inoffensifs. D’abord, la direction signe une autorisation qui dit qui est concerné, quand, quels sujets sont interdits et ce que deviennent les résultats. Ensuite, on choisit un message crédible, ni trop grossier ni trop cruel : on évite les fausses primes ou les fausses mauvaises nouvelles. Un logiciel envoie les messages depuis une adresse internet achetée pour l’occasion, qui ne ressemble à aucune adresse réelle. Celui qui clique arrive tout de suite sur une page qui explique les indices qu’il aurait pu repérer, et aucun mot de passe tapé n’est enregistré. Le logiciel compte les clics et les signalements. Certains clics viennent en réalité des programmes de filtrage de la messagerie : il faut les retirer du calcul. Les résultats sont regroupés par service, sans jamais publier de noms, car les personnes nommées cessent de signaler les messages suspects. Enfin, les chiffres servent à organiser des formations sur les pièges qui ont marché. Quelqu’un finit toujours par cliquer ; c’est pourquoi la connexion aux comptes doit aussi résister au vol de mot de passe.

Pages voisines

La citent

Mener une simulation de phishing interne éthique avec GoPhish

Elle cite

: les deux pages se citent l’une l’autre.

Mener une simulation de phishing interne éthique avec GoPhish

Mener une simulation de phishing interne éthique avec GoPhish

Étapes 1 et 2 : autorisation écrite et scénario proportionné

Étape 3 : configurer GoPhish et le domaine de simulation

Commandes reproductibles : lancement et agrégation des résultats

Étapes 4 et 5 : lire les résultats et former sans stigmatiser

Ce que la simulation ne garantit pas

🐝 Ce qui arrive si on s’en passe

🦫 Explication de la marmotte 🍫

À lire aussi

Pages voisines