Analyse des domaines avant les simulations de phishing : ce que les équipes de sécurité doivent vérifier

L'analyse des domaines doit avoir lieu avant un programme de simulation de hameçonnage, et non après que la première campagne ait semé la confusion. Une analyse donne aux équipes de sécurité une vision concrète de l'authentification des e-mails, des signaux de domaines exposés et du risque de contrefaçon, qui peuvent affecter à la fois l'exposition réelle au hameçonnage et la fiabilité des résultats de la formation.

Le but n’est pas de transformer la formation de sensibilisation en un projet DNS. Le but est de distinguer deux questions qui sont souvent confondues : les attaquants peuvent-ils techniquement usurper l’identité de l’organisation, et les employés peuvent-ils reconnaître et signaler les messages suspects lorsqu’ils les voient ?

Ce guide explique ce qu’il faut vérifier lors de l’analyse de domaine, en quoi cela contribue à des simulations de phishing plus sûres, et où s’arrête cette analyse. Il est purement défensif et ne comprend pas de modèles de hameçonnage, de tactiques d’envoi, de collecte d’identifiants ni d’instructions d’attaque.

Pourquoi l’analyse de domaine doit précéder la planification de la simulation

Les simulations de hameçonnage mesurent le comportement des employés dans le cadre d’un exercice contrôlé. L’analyse de domaine évalue les éléments de l’environnement technique qui influencent la confiance dans les e-mails, la résistance à l’usurpation d’identité et le risque d’usurpation de marque.

Si ces vérifications sont ignorées, les équipes risquent de mal interpréter les résultats de la simulation. Un taux de clic élevé peut indiquer une formation insuffisante, mais il peut aussi refléter des signaux d’authentification faibles, des pratiques d’expédition peu claires ou des parcours de signalement incohérents. Un faible taux de clic peut sembler rassurant, mais ça ne prouve pas que le domaine est difficile à usurper.

Avant de lancer une campagne, utilise l’analyse de domaine pour répondre à des questions concrètes :

• Les protocoles SPF, DKIM et DMARC sont-ils configurés de manière cohérente pour les domaines que les employés reconnaissent ?
• Les principaux services d’envoi sont-ils conformes à la politique ?
• Des domaines anciens ou oubliés sont-ils encore visibles et faciles à détourner ?
• Faut-il surveiller les domaines ressemblants ou les permutations courantes ?
• Les employés sont-ils formés pour signaler les messages suspects provenant aussi bien d’expéditeurs d’apparence interne qu’externe ?

La page analyse de sécurité d’AutoPhish est le point de départ idéal si tu souhaites associer les vérifications de domaines à un travail de sensibilisation, plutôt que de les traiter comme des projets distincts.

Ce qu’un scan de domaine utile doit couvrir

Un scan de domaine n’a pas besoin d’être spectaculaire. La version utile est ennuyeuse, reproductible et facile à expliquer aux responsables informatiques, de la sécurité et de la conformité.

Enregistrements d’authentification des e-mails

Commence par les bases : SPF, DKIM et DMARC. Ces enregistrements n’empêchent pas toutes les tentatives de phishing, mais ils aident les systèmes de messagerie destinataires à évaluer si un message est autorisé à utiliser un domaine.

Les équipes de sécurité doivent vérifier :

• si le SPF existe et respecte les limites de consultation
• si des clés DKIM sont présentes pour les services d’envoi actifs
• si le DMARC existe et dispose d’une politique adaptée au niveau de maturité de l’organisation
• si les rapports sont bien collectés et examinés
• si les sous-domaines sont couverts de manière intentionnelle

N’en fais pas tout un plat. Un domaine doté d’une authentification solide peut quand même faire l’objet d’abus via des faux domaines, des comptes piratés, l’usurpation d’identité de fournisseurs ou des canaux autres que l’e-mail. Mais une authentification faible facilite l’usurpation d’identité et crée du bruit inutile pendant les formations de sensibilisation.

Inventaire des services d’envoi

Beaucoup d’organisations envoient des e-mails légitimes via des outils marketing, des systèmes d’assistance, des plateformes RH, des systèmes de facturation, des CRM et des suites de productivité dans le cloud. Si l’inventaire est désorganisé, les employés finissent par s’habituer à accepter des comportements d’expéditeur incohérents.

Avant de commencer les simulations, documente les schémas d’envoi légitimes auxquels les employés sont censés se fier. Ça inclut les domaines, les sous-domaines, les conventions de nom d’affichage et la procédure de vérification des demandes inhabituelles.

C’est particulièrement important pour les discussions sur la conformité et les audits. Une simulation de hameçonnage est plus facile à contrer quand elle s’inscrit dans un modèle de communication connu, plutôt que de surprendre les employés avec des messages qui ne ressemblent en rien aux e-mails professionnels habituels.

Risques liés aux ressemblances et aux permutations

L’analyse des domaines doit également repérer les surfaces d’usurpation d’identité évidentes : fautes d’orthographe courantes, caractères intervertis, TLD trompeurs et permutations de marques à haut risque. Le but n’est pas de paniquer à chaque ressemblance théorique. Le but est de savoir quels schémas méritent d’être surveillés, bloqués ou de faire l’objet d’une guidance des employés.

Par exemple, une équipe financière devra peut-être savoir que les noms de fournisseurs « ressemblants » posent un problème de vérification, tandis que les équipes d’assistance technique devront peut-être considérer les demandes de réinitialisation de mot de passe provenant de domaines inattendus comme des signaux d’alerte.

Privilégie une approche défensive dans la formation. Apprends aux employés à prendre du recul, à vérifier via les canaux approuvés et à signaler les messages suspects. Ne publie pas de listes qui aideraient les attaquants à choisir de meilleures stratégies d’usurpation d’identité.

Comment l’analyse des domaines améliore la qualité des simulations de phishing

L’analyse des domaines rend les simulations de phishing plus utiles, car elle assainit l’environnement avant que le comportement des employés ne soit évalué.

Elle améliore la planification de quatre façons.

Premièrement, elle établit une base de référence en matière de sécurité. L’équipe de simulation peut ainsi éviter les scénarios qui exploitent des erreurs de configuration internes non résolues ou des pratiques d’expéditeurs prêtant à confusion.

Deuxièmement, elle renforce le réalisme des messages sans pour autant s’aventurer en terrain dangereux. La formation peut refléter les risques pertinents pour l’entreprise, mais le programme n’a pas besoin de reproduire de vraies pages de connexion, de demander des identifiants confidentiels ou d’imiter des attaques en cours.

Troisièmement, ça rend les rapports plus faciles à comprendre. Si les responsables demandent pourquoi le programme s’est concentré sur l’usurpation d’identité de fournisseurs, les notifications SaaS ou les domaines ressemblants, la réponse peut être directement liée au risque observé.

Quatrièmement, ça aide les équipes à distinguer les mesures correctives techniques de l’accompagnement des employés. Corrige le DNS et l’alignement des envois en tant que tâches techniques. Utilise des simulations pour améliorer la reconnaissance, le signalement et le comportement de suivi.

Si ton équipe hésite encore sur la manière de distinguer les résultats des analyses de ceux de la formation, le guide d’AutoPhish sur l’analyse de phishing vs la simulation de phishing explique cette distinction plus en détail.

Ce que l’analyse de domaine ne peut pas prouver

L’analyse de domaine n’est pas un certificat de conformité. Elle ne prouve pas que les employés sont formés, que les incidents seront signalés rapidement, ni que l’entreprise est protégée contre toutes les voies de phishing.

Ça ne remplace pas non plus les simulations de phishing. Un scan peut montrer si un domaine est bien ou mal configuré. Il ne peut pas montrer si les employés reconnaissent une demande suspecte, s’ils connaissent la procédure de signalement, ni si l’équipe de sécurité est capable de transformer ces signalements en actions concrètes.

Cette distinction est importante pour les RSSI et les équipes de conformité. Un programme solide doit présenter les deux aspects :

• des contrôles techniques qui réduisent l’exposition à l’usurpation d’identité et à l’usurpation de nom d’utilisateur
• des preuves de formation montrant que les employés s’entraînent à reconnaître et à signaler les menaces
• des actions de suivi qui relient les conclusions à des améliorations concrètes
• une gouvernance en matière de confidentialité, d’autorisations et de conservation des données

Les recommandations des instances de référence vont dans le même sens. Les conseils de la CISA sur la reconnaissance et le signalement du hameçonnage mettent l’accent sur le signalement, la vérification et les habitudes de protection plutôt que de se reposer sur un seul contrôle technique.

Une liste de contrôle pratique avant la simulation

Utilise cette liste de contrôle avant le prochain cycle de simulation de hameçonnage.

1. Vérifie le périmètre

Fais la liste des domaines, sous-domaines et services d’envoi que les employés sont susceptibles de reconnaître. N’oublie pas d’inclure les domaines régionaux et les anciens domaines s’ils reçoivent encore des e-mails ou apparaissent dans les flux de travail en contact avec les clients.

2. Vérifie l’authentification des e-mails

Vérifie les paramètres SPF, DKIM et DMARC pour les domaines concernés. Note l’état actuel, le responsable et la prochaine action à mener. Si une mesure n’est pas encore appliquée intentionnellement, explique pourquoi.

3. Passe en revue les modèles d’expéditeurs légitimes

Note à quoi ressemblent les e-mails professionnels habituels pour les services RH, finance, informatique, assistance et la direction. Sers-t’en pour concevoir des scénarios de formation sûrs qui enseignent la vérification sans nuire à la confiance.

4. Identifie les thèmes d’usurpation d’identité à haut risque

Recherche des thèmes de défense réalistes : changements de fournisseurs, autorisations SaaS, pression liée aux factures, notifications de partage de documents, codes QR, messages mobiles et demandes d’assistance. Concentre-toi sur les décisions des employés, pas sur les instructions des attaquants.

5. Définis les procédures de signalement et de suivi

Assure-toi que les employés savent où signaler les messages suspects, ce qui se passe après le signalement et comment les retours seront communiqués. Une simulation sans boucle de signalement n’est qu’une mise en scène.

6. Conserve les preuves de manière responsable

Enregistre le résumé de l’analyse, l’autorisation de la simulation, le périmètre cible, les résultats agrégés, les actions de formation et les décisions de correction. Évite toute exposition inutile au niveau des employés. Les équipes de conformité ont généralement besoin de preuves que le contrôle fonctionne, pas d’un tableau Excel rempli de situations embarrassantes.

Comment transformer les résultats de l’analyse en une formation plus efficace

Le meilleur usage d’un scan de domaine, ce n’est pas un rapport volumineux. C’est un meilleur plan de formation.

Si l’authentification est faible, corrige ça avant de lancer un scénario qui repose sur la confiance envers l’expéditeur. Si les employés remarquent des domaines d’expéditeurs incohérents provenant d’outils légitimes, standardise les modèles de communication avant de les tester. Si le risque de contrefaçon est élevé, forme-les à la vérification et au signalement en fonction de décisions métier réalistes.

Ça permet de créer un programme plus efficace. Les employés ne sont pas tenus pour responsables des ambiguïtés techniques. Le service informatique reçoit une liste concrète de mesures correctives. La sécurité bénéficie de signaux de signalement plus fiables. La conformité dispose d’une piste de preuves plus claire.

Pour les équipes qui souhaitent regrouper le workflow d’analyse et de simulation en un seul endroit, AutoPhish peut t’aider à vérifier la base de référence des domaines, à mener des exercices de sensibilisation en toute sécurité et à organiser tes preuves. Inscris-toi pour commencer à mettre en place un programme de simulation de phishing plus sûr.

FAQ

Faut-il faire un scan des domaines avant chaque simulation de phishing ?

Pas toujours. Fais un scan de référence avant de lancer le programme, puis refais-le quand les domaines, les services d’envoi, les politiques de messagerie ou les principaux systèmes d’entreprise changent. Les équipes expérimentées reviennent aussi régulièrement sur les vérifications clés.

Un DMARC solide rend-il les simulations de hameçonnage inutiles ?

Non. Le DMARC facilite l’authentification des domaines, mais les employés sont toujours confrontés à des domaines ressemblants, des comptes piratés, l’usurpation d’identité de fournisseurs, des codes QR, des applications de messagerie et des demandes de consentement SaaS. Les simulations permettent d’entraîner la reconnaissance et le comportement de signalement, ce que les enregistrements DNS ne peuvent pas mesurer.

Faut-il montrer les résultats des analyses aux employés ?

En général, pas sous leur forme brute. Les employés ont besoin de consignes claires : comment vérifier les demandes, où signaler les incidents et quels schémas d’expéditeurs sont normaux. Les résultats détaillés sur les domaines doivent rester entre les mains des équipes informatiques et de sécurité.

L'analyse des domaines permet-elle de prouver la conformité ?

Non. Elle peut étayer un dossier de conformité, mais elle ne constitue pas en soi une preuve de conformité. Considère-la comme un élément de contrôle parmi d’autres, au même titre que les comptes-rendus de formation à la sensibilisation, les politiques, la gestion des incidents, la gouvernance des accès et les améliorations documentées.