La moitié qui saute

Un utilisateur lit un courriel suspect, hésite, puis appuie sur le bouton que le programme de sensibilisation lui a appris à utiliser. Cette pression est le moment où le programme tient ou s'arrête sans bruit, et elle se trouve en dehors de la ligne budgétaire qui a payé la formation. Apprendre à quelqu'un à signaler est une compétence qui s'achète par poste. Recevoir ce qu'il signale est un tour de garde, un responsable nommé et une réponse, et la question avant de signer est de savoir qui dispose des trois.

Un contrôle, deux moitiés

Un programme de sensibilisation se vend comme de la formation et se mesure comme de la formation, mais il ne s'arrête pas à l'utilisateur. Un utilisateur formé ne produit pas de sécurité. Un utilisateur formé produit un message. Chaque heure de formation achetée augmente le nombre de messages qui arrivent à l'adresse vers laquelle pointe le bouton de signalement, ce qui fait de cette adresse une partie du contrôle.

L'équilibre entre les deux moitiés s'est par ailleurs déplacé. Les programmes ont passé vingt ans à enseigner des indices de surface, la grammaire boiteuse, la formule de politesse bancale, la phrase qui se lit comme une traduction automatique. Le texte généré efface ces indices, et il les efface dans toutes les langues en même temps. La détection garde sa mission et perd des repères. Le signalement prend du poids, parce qu'il ne reste à l'utilisateur qu'une impression que quelque chose clochait, et une impression ne sert que si elle a un endroit où aller.

Le National Cyber Security Centre britannique inscrit cette exigence dans son guide sur la défense de votre organisation contre l'hameçonnage, en demandant si le processus de signalement est clair, simple et rapide, et en disant aux organisations de donner vite un retour sur la mesure prise, afin que chacun voie que son signalement change quelque chose. Ce n'est pas une politesse. C'est l'entrée dont l'utilisateur a besoin pour continuer à faire ce que vous avez payé pour lui enseigner.

Lain, Kostiainen et Capkun l'ont mesuré à l'ETH Zurich sur quinze mois et plus de 14 000 salariés, travaux publiés à IEEE Security and Privacy 2022. Les salariés qui recevaient un retour positif après un signalement ont ensuite signalé davantage que ceux qui n'en recevaient aucun, un écart que les auteurs enregistrent comme statistiquement significatif, et sur quinze mois ils n'ont observé aucune lassitude du signalement tant que signaler restait facile. L'utilisateur qui appuie deux fois sur le bouton et n'entend rien a lui aussi appris quelque chose, et c'est l'inverse de la leçon portée sur la facture.

Pourquoi la seconde moitié saute

Les deux moitiés n'ont pas la même forme sur un bon de commande, et c'est cela qui décide laquelle survit à l'arbitrage budgétaire. La formation est une licence par poste, une bibliothèque de contenus, et un export d'achèvement que vous tendez à l'auditeur qui réclame la preuve que la formation a eu lieu. La file d'attente est un responsable nommé, un délai de réponse, et quinze minutes du mardi matin de quelqu'un. Les achats peuvent émettre un bon de commande contre une licence. Ils n'ont aucun instrument contre un tour de garde, qui devient donc une charge qu'une équipe existante est censée absorber.

L'argument de la charge de travail ne résiste pas aux données. Dans l'étude de l'ETH Zurich, le bouton de signalement a touché plus de 21 000 salariés et recueilli 7 191 signalements de courriels réels, hors simulation. Un tri automatique a écarté l'essentiel, et environ 1,5 courriel par jour a exigé une décision humaine. La même étude situe la justesse moyenne des signalements à 68 pour cent, donc environ un tiers de ce qui arrive n'est pas une menace. Une boîte partagée sans filtre devant elle, voilà pourquoi la file finit abandonnée.

Un taux de clic qui baisse ne prouve rien

Un taux de clic dépend de deux choses, la population et l'appât, et un tableau de bord n'en fait varier qu'une à dessein. Rendez la prochaine simulation un peu plus visible et la courbe descend, et le graphique que vous présentez au conseil ressemble à celui qu'aurait produit un vrai progrès. Les appâts générés aggravent le problème. Quand chaque campagne est écrite au lieu d'être tirée d'une bibliothèque de modèles, deux campagnes successives ne sont plus le même instrument, et l'écart entre leurs taux de clic porte la difficulté de la rédaction autant que l'état de vos utilisateurs.

L'effet de l'appât a été mesuré. Un essai randomisé contrôlé de huit mois à UC San Diego Health, dix campagnes simulées envoyées à plus de 19 500 salariés et publié à IEEE Security and Privacy 2025, a trouvé que les appâts ordinaires obtenaient des clics de 1 à 2 pour cent des utilisateurs, tandis que d'autres appâts produisaient des taux d'échec supérieurs à 30 pour cent, ce que les auteurs décrivent comme dépassant de loin le bénéfice attribuable à la formation. Leur consigne à quiconque tient un graphique avant et après est de le lire face à un groupe témoin non formé.

Deux mesures résistent aux deux objections, et toutes deux appartiennent à la seconde moitié. Le taux de signalement est la part des destinataires qui ont appuyé sur le bouton, et il ne monte que si les utilisateurs croient que l'appui déclenche quelque chose. Le délai jusqu'au premier signalement est le temps pendant lequel la campagne est restée dans les boîtes sans que personne ne la remonte, et il décide si les copies restantes peuvent être retirées à temps. Dans l'étude de l'ETH Zurich, environ 10 pour cent des signalements sont arrivés en cinq minutes, 20 pour cent en quinze minutes et 30 à 40 pour cent en une demi-heure. Le NCSC demande le même basculement, compter les signalements à côté des clics. Si personne ne remonte votre propre simulation avant le lendemain après-midi, cela parle du bouton et de la file, pas de vos utilisateurs.

Une simulation ne mesure que dans la langue lue par l'utilisateur

Il existe une autre façon de produire un taux de clic flatteur sans rien améliorer, et elle est plus facile à commettre par accident. Envoyez la simulation dans une langue que le bureau ne pratique pas.

Hasegawa, Yamashita, Akiyama et Mori ont interrogé 862 personnes dont l'anglais n'est pas la langue maternelle, en Allemagne, en Corée du Sud et au Japon, pour SOUPS 2021, et ont constaté que les participants, en particulier les moins sûrs de leur anglais, ignoraient les courriels en anglais sans examen attentif plus volontiers que les courriels dans leur propre langue. Ne pas cliquer parce que le message a été survolé et ne pas cliquer parce que l'utilisateur l'a lu et jugé sont le même événement sur un tableau de bord et deux événements différents dans le bâtiment.

L'attaquant n'a pas ce problème. Une campagne visant un bureau qui travaille en turc arrive en turc, et elle arrive désormais dans un turc fluide. Un message qui se lisait comme une traduction automatique était l'un des rares indices qui fonctionnaient sans aucune formation, et il pesait plus lourd hors de l'anglais qu'à l'intérieur. Le texte généré retire cet indice et laisse le lecteur avec un soupçon sans preuve dessous. Lancez dans ce bureau une simulation en anglais seulement et vous aurez mesuré la compréhension écrite, puis classé le résultat sous sensibilisation à la sécurité.

Quatre choses doivent exister dans la langue du poste de travail, et une plateforme peut en traduire une partie et laisser le reste. Les modèles de simulation, le module de formation attribué après un échec, le libellé du bouton, et la réponse que l'utilisateur reçoit.

Cinq questions qui séparent les deux moitiés

Posez-les à la plateforme que vous avez en face de vous.

• Où arrive un signalement, qui possède cette destination nommément, et quel délai de réponse figure dans son tour de garde?
• Qu'est-ce qui tourne automatiquement avant qu'un humain voie un signalement, et qu'advient-il de la part inoffensive?
• L'utilisateur qui signale reçoit-il une réponse, et la plateforme la produit-elle elle-même?
• Quand un signalement identifie une campagne en cours, le même message peut-il être retiré de toutes les autres boîtes, et depuis quelle console?
• La plateforme sait-elle ventiler le taux de signalement et le délai jusqu'au premier signalement par service, ou compte-t-elle seulement les clics?

KnowBe4, Proofpoint et Hoxhunt livrent tous un bouton qui permet à un utilisateur de signaler un courriel. Les questions ci-dessus portent sur ce à quoi ce bouton est raccordé.

Où cela se situe dans le portefeuille

Le domaine couche humaine du portefeuille contient un produit, BeamSec. PhishPro envoie la simulation, Academy attribue la formation là où l'échec s'est produit, et PhishTrace est la seconde moitié, la file dans laquelle un signalement arrive avec un responsable et une réponse attachés. Son contenu de formation et de simulation est publié en anglais et en turc, ce qui fixe où le test de langue ci-dessus peut être passé aujourd'hui.