Le canton de Vaud a piégé ses employés grâce à Léa Rossier

Le canton de Vaud a mené une campagne de phishing.Image: shutterstock/watson

La pire ennemie des fonctionnaires vaudois s'appelait Léa Rossier

Plus de 13 000 agents vaudois ont été bernés lors de la plus grande campagne anti-phishing du canton, révélant l’ampleur de la menace.

Le canton de Vaud a mis à l’épreuve ses 47 000 collaborateurs et élus dans une campagne de sensibilisation à l’hameçonnage. Au cœur de l’opération, un faux courriel envoyé par une certaine «Léa Rossier» les invitait à ouvrir une pièce jointe piégée intitulée:

Plan_amelioration_processus_Urgent.

Près de 29% des destinataires ont cliqué sur le lien, et 11% ont saisi leurs identifiants, rapporte 24 Heures.

Qui a été piégé?

Le panel des cibles était large: enseignants, élus du Grand Conseil et autres employés des différentes administrations. Le problème? Certaines de ces entités, comme les services de santé ou l’Administration cantonale des impôts, traitent des données particulièrement sensibles.

Alors quel a été le pire des services? On ne saura pas. En effet, les autorités ont décidé que les résultats resteraient confidentiels. L’objectif de la campagne est surtout éducatif se justifient-elle.

En effet, le test, mené par la Direction du numérique et des systèmes d’information (DGNSI), avait pour but d’alerter sur les risques liés à l’hameçonnage. Une leçon qui ne vaut pas que pour les braves fonctionnaires vaudois, mais également pour tout le monde: ne jamais cliquer sur un lien étrange et surtout quand il est envoyé par quelqu'un d'inconnu.

Voici les principaux indices qui peuvent vous alerter :

• Contenu suspect
  Les messages insistant sur l’urgence ou jouant sur la peur sont souvent malveillants. Attention également aux fautes d’orthographe ou de grammaire, souvent présentes dans ces e-mails.
• Expéditeur douteux
  Méfiez-vous, l’adresse de l’expéditeur peut être falsifiée. Par exemple, un e-mail semblant provenir de [e-mail] peut en réalité être une usurpation.
• Liens suspects
  Ce que vous voyez dans un lien peut être différent de la destination réelle. Avant de cliquer, survolez le lien avec votre curseur pour vérifier s’il pointe vers un domaine fiable (p. ex.: vd.ch). Soyez également prudent avec les pièces jointes et les codes QR, qui peuvent contenir des logiciels malveillants.
• Demandes d’informations personnelles
  Ne partagez jamais vos identifiants, mots de passe ou données sensibles par e-mail. Evitez aussi de saisir ces informations sur des sites non vérifiés, surtout si le lien a été envoyé par e-mail.

Et le verdict?

«Ces résultats ne peuvent nous satisfaire, d’autant qu’un seul clic malheureux peut provoquer un vol d’identité et favoriser ensuite une intrusion informatique», commentent les autorités dans La Gazette de l’Etat de Vaud. Pour rappel, près de la moitié des e-mails envoyés dans le monde sont des tentatives de phishing, à l'origine de 90% des violations de données.

Sam Vuilleumier, expert en sécurité de l’information et protection des données, et principal instigateur de ce test, se félicite néanmoins qu’au sein de certaines entités, jusqu’à 25% des utilisateurs aient signalé le mail suspect. Cependant, il souligne que ces résultats confirment l’importance de poursuivre les efforts de formation et de renforcer les réflexes de prudence. (jah)