Phishing et Formation
Phishing est l'un des six types d'attaque du duel de cartes, et Formation est la défense qui le contre. Tu trouveras ici ce qu'ils représentent dans la sécurité réelle, comment ils s'affrontent dans le jeu et leurs 17 cartes.
L'attaque : Phishing
Le phishing vise les personnes plutôt que les ordinateurs : un message (e-mail, SMS, appel, messagerie) se fait passer pour une banque, un transporteur ou un collègue pour convaincre quelqu'un de cliquer sur un lien, d'ouvrir une pièce jointe ou de livrer un mot de passe. C'est la porte d'entrée de la plupart des incidents réels, car aucune faille technique n'est nécessaire : un moment de précipitation ou de confiance mal placée suffit.
La défense : Formation
La formation fait des personnes une partie de la défense : cours de sensibilisation, simulations de phishing et règles claires, comme vérifier l'expéditeur, ne pas ouvrir de liens inattendus et signaler tout de suite un doute. Une personne entraînée repère l'appât avant qu'il ne fasse des dégâts, et une organisation où signaler est facile découvre les attaques en quelques minutes au lieu de plusieurs semaines.
Qui arrête quoi
- Formation contre Phishing : dégâts divisés par deux. Qui reconnaît un message suspect ne clique pas et le signale : l'appât ne prend personne.
- Phishing contre Firewall : double dégâts. L'e-mail arrive par des canaux normaux et autorisés, et c'est une personne qui fait entrer l'attaquant de l'intérieur : les règles sur les ports ne voient rien d'anormal.
- Phishing contre Patch : double dégâts. Il n'y a aucune erreur logicielle à corriger : le point faible, c'est la confiance de celui qui lit.
- Exploit contre Formation : double dégâts. L'exploit frappe un service sans que personne n'ait à cliquer : l'attention des personnes ne l'arrête pas.
- Malware contre Formation : double dégâts. Une fois lancé, le malware agit et se propage tout seul : il ne demande plus la permission à personne.
Dans toutes les autres combinaisons, les dégâts sont normaux.
Les combos avec Phishing
- Livraison (Phishing → Malware, +2 dégâts): le message appât fait entrer le malware, comme dans la plupart des infections réelles.
- Vol d’identifiants (Phishing → Brute force, +2 dégâts): les mots de passe obtenus par phishing rendent les tentatives de connexion bien plus efficaces.
- Reconnaissance (Scan → Phishing, +2 dégâts): savoir qui travaille où et avec quels systèmes rend le phishing crédible.
Cartes d'attaque Phishing (12)
E-mail appât
Un message générique qui te demande de cliquer sur un lien. Ça marche sur les distraits.
Smishing
Du phishing par SMS : « ton colis est en attente, clique ici ». Peu de dégâts, mais tu pioches une carte.
Spam massif
Ne coûte rien, inflige peu de dégâts.
Vishing
L'adversaire défausse 1 carte au hasard.
Spear phishing
Du phishing sur mesure pour une personne précise, avec de vrais détails tirés des réseaux sociaux.
Evil twin
Un faux point d'accès Wi-Fi portant le même nom que le vrai : qui s'y connecte livre ses identifiants. On l'arrête avec WPA3 Enterprise, des certificats et un VPN. Tu pioches une carte.
ARP spoofing
L'attaquant se fait passer pour le routeur afin de faire transiter le trafic par ses mains (man-in-the-middle). On l'arrête avec l'inspection ARP et des commutateurs gérés. À son prochain tour, l'adversaire ne peut pas jouer de cartes de soutien.
CEO fraud
Faux e-mail du patron qui demande un virement urgent. Coûte des milliards aux entreprises.
Watering hole
2 dégâts à toutes les défenses adverses.
DNS poisoning
Falsifie les réponses DNS pour détourner les utilisateurs vers de faux sites. La défense adverse la plus forte retourne dans sa main.
Phishing as a service
Des kits prêts à l'emploi, en location : même qui ne sait rien peut lancer une campagne. Tes attaques infligent +2 dégâts ce tour-ci.
Deepfake vocal
La voix clonée d'un dirigeant demande une action urgente. On répond avec un mot de passe convenu et en rappelant sur un numéro connu. Pendant 2 tours, l'adversaire pioche une carte de moins.
Cartes de défense Formation (5)
Formation de sensibilisation
Formation de base : reconnaître les e-mails suspects et les liens bizarres.
Simulation de phishing
De fausses campagnes de phishing pour entraîner les gens sur le terrain.
Red team interne
Contre-attaque : qui la frappe perd 2 d'intégrité.
Blue team d'élite
Les meilleurs défenseurs : préparés, soudés, habitués à réagir sous pression. Contre-attaque : qui la frappe perd 2 d'intégrité. Répare les alliées : +1 de résistance à tes autres défenses au début du tour.
Cyber range
Un terrain d'entraînement virtuel où les équipes s'exercent sur des attaques réalistes. Contre-attaque : qui la frappe perd 2 d'intégrité. Régénère : +1 de résistance au début du tour. Usure : au début du tour, la défense adverse la plus forte perd 1.
Guides associés (en anglais)
Pour apprendre la partie technique, il y a les laboratoires simulés :