TP phishing : scénario pas à pas pour un atelier en salle ou distanciel

Pourquoi enseigner le phishing par la pratique

Le phishing reste le vecteur d'attaque le plus répandu dans les incidents réels. Pourtant, dans beaucoup de formations, il est traité de manière purement théorique : un slide avec un exemple de mail frauduleux, quelques conseils génériques, et on passe au sujet suivant.

Le problème, c'est que cette approche ne fonctionne pas. Les étudiants retiennent bien mieux lorsqu'ils vivent l'expérience. Un TP de phishing bien conçu crée un moment marquant qui ancre durablement les réflexes de vigilance. Il illustre aussi concrètement les mécaniques de l'ingénierie sociale que les futurs formateurs en cybersécurité devront un jour expliquer à des équipes en entreprise.

Ce guide détaille comment organiser un atelier de sensibilisation au phishing, dans un cadre éthique rigoureux, avec un objectif pédagogique clair et mesurable.

Cadre éthique et RGPD : les règles non négociables

Avant toute chose, posez un cadre éthique strict. Un TP de phishing mal encadré peut créer un climat de méfiance, des situations humiliantes, et — si des données personnelles sont collectées — des infractions au RGPD.

Ce que vous devez respecter

Aucune donnée personnelle réelle n'est collectée. Les formulaires de phishing simulé ne doivent stocker que le fait qu'un clic a eu lieu (un booléen, pas un identifiant). Jamais de vrais mots de passe, jamais de noms nominatifs exportés.

Aucune stigmatisation. Les résultats sont toujours anonymisés avant présentation au groupe. On ne désigne jamais publiquement qui a « cliqué ». L'objectif est collectif et pédagogique, non punitif.

Transparence préalable. Les étudiants sont informés qu'un exercice de sensibilisation aura lieu pendant le semestre, sans connaître la date exacte. Cette information peut figurer dans le programme de cours ou dans le règlement intérieur du module. C'est suffisant pour satisfaire au principe de loyauté du traitement (article 5 RGPD).

Durée de conservation limitée. Toutes les données de simulation (logs de clics, statistiques d'ouverture) sont supprimées dans les 48 heures suivant le debrief. Documentez cette suppression dans votre journal de traitement si votre établissement dispose d'un registre RGPD.

Debrief systématique. L'exercice n'a de valeur que si le debrief est mené correctement. Un TP sans débrief est un piège sans enseignement.

Préparation technique : GoPhish et les alternatives

GoPhish : l'outil standard pour les simulations pédagogiques

GoPhish est un outil open source dédié aux campagnes de phishing simulées. Il offre :

• Un dashboard web pour créer et suivre les campagnes
• Un éditeur de templates de mails
• Un constructeur de landing pages
• Des statistiques anonymisées en temps réel

Pour un usage pédagogique, le déploiement minimal consiste en :

1. Un VPS ou une VM avec Linux (Ubuntu 22.04 LTS recommandé, 1 vCPU, 1 Go RAM suffisent)
2. Un certificat TLS auto-signé ou Let's Encrypt pour le listener HTTPS
3. Un domaine de simulation clairement fictif (exemple : scolarite-fictive-demo.ovh)

Important : n'utilisez jamais un domaine qui imite un vrai domaine de votre établissement ou d'un service réel (Outlook, Google). Cela crée un risque juridique même dans un cadre pédagogique.

Alternatives sans infrastructure propre

Si vous ne pouvez pas déployer GoPhish (contraintes réseau, école restrictive), deux alternatives existent :

• Simulation en classe uniquement : un mail préparé est projeté au vidéoprojecteur, les étudiants analysent sans réception réelle. Moins immersif mais sans risque.
• Exercice papier ou PDF : les étudiants reçoivent un PDF reproduisant une interface mail avec un mail piégé. Adapté aux publics non-techniciens.

Déroulé du TP en 90 minutes

Phase 1 : Lancement de la campagne (avant le TP)

Idéalement, les mails de phishing sont envoyés 24 à 48 heures avant la séance de TP. Cela simule des conditions réalistes : les étudiants reçoivent le mail dans leur boîte habituelle, sans contexte d'exercice immédiat.

Si l'envoi préalable n'est pas possible (contraintes techniques ou administratives), les mails peuvent être envoyés en début de séance. L'effet de surprise est moindre, mais l'exercice reste pertinent pour l'analyse et le débrief.

Phase 2 : Introduction (15 minutes)

Le formateur ouvre la séance sans révéler immédiatement que la campagne a déjà eu lieu. Il commence par quelques questions ouvertes au groupe :

• Avez-vous reçu un mail suspect récemment ? Comment avez-vous réagi ?
• Qu'est-ce qui vous rendrait méfiant face à un mail de votre scolarité ?

Cet échange permet de jauger le niveau de conscience du groupe avant la révélation.

Phase 3 : Révélation et analyse (20 minutes)

Le formateur révèle que les étudiants ont reçu un mail de phishing simulé. Il affiche le mail sur l'écran et anime une analyse collective :

• Quels indices permettaient d'identifier le mail comme frauduleux ?
• Qu'est-ce qui rendait le mail convaincant (urgence, autorité, prétexte) ?
• Qui a eu un doute ? Qu'est-ce qui a déclenché ce doute ?

Les statistiques anonymisées sont partagées (taux de clic, taux d'ouverture). On ne cherche pas à culpabiliser, mais à comprendre collectivement les mécaniques d'influence exploitées.

Phase 4 : Atelier de détection (25 minutes)

Les étudiants travaillent en petits groupes de 3 à 4 personnes sur un ensemble de 5 à 8 mails (mélange de mails légitimes et de tentatives de phishing variées : spear phishing, smishing décrit textuellement, phishing classique).

Pour chaque mail, ils doivent :

• Identifier s'il s'agit d'un phishing ou d'un mail légitime
• Lister les indices qui justifient leur choix (en-têtes visibles, URL masquée, ton d'urgence, expéditeur suspect, fautes orthographiques)
• Proposer la réaction appropriée (signalement, suppression, vérification par téléphone)

Phase 5 : Construction d'un scénario (20 minutes)

Pour comprendre l'attaquant, les étudiants doivent concevoir (sur papier uniquement, jamais en environnement réel non balisé) un scénario de phishing ciblant une organisation fictive :

• Choix de la cible fictive et du prétexte
• Rédaction du mail avec les leviers psychologiques identifiés
• Description de la landing page attendue
• Analyse : pourquoi ce scénario fonctionnerait-il ?

Ce travail inverse renforce considérablement la capacité de détection ultérieure.

Phase 6 : Débrief et synthèse (10 minutes)

Le formateur conclut en synthétisant :

• Les signaux d'alerte prioritaires à retenir
• Les réflexes à adopter (vérifier l'URL sans cliquer, ne jamais agir dans l'urgence, contacter l'expéditeur par un autre canal)
• Les ressources internes de signalement (CERT, helpdesk, analyste SOC)

Grille d'évaluation formative

Cette grille permet de noter le TP de manière objective. Elle est distribuée aux étudiants en début de séance pour qu'ils sachent sur quoi ils seront évalués.

Le débrief oral en fin de séance permet au formateur d'affiner la notation individuelle si le travail de groupe masque des contributions inégales.

Variantes par niveau

Pour un public L1 / non-techniciens

• Simplifier les exemples : utiliser des mails de type « scolarité », « livraison de colis », « support informatique » plutôt que des attaques spear phishing complexes.
• Réduire le nombre de mails à analyser : 4 mails (2 légitimes, 2 phishing) suffisent.
• Remplacer la phase de construction par une démonstration commentée du formateur.
• Insister sur la procédure de signalement plutôt que sur l'analyse technique.

Pour un public L3 / ingénieurs en première année de spécialisation

• Ajouter l'analyse des en-têtes SMTP (Reply-To, Return-Path, Received) dans la phase de détection.
• Introduire les mécanismes SPF, DKIM et DMARC comme moyens de vérification.
• La phase de construction peut inclure la réflexion sur le choix du domaine usurpé.

Pour un public M1/M2 ou professionnel

• Ajouter un lab technique : les étudiants déploient eux-mêmes une campagne de phishing simulée avec GoPhish sur un environnement entièrement fermé (pas de sortie internet, destinataires fictifs).
• Inclure une analyse de l'infrastructure attaquante (VirusTotal, URLscan.io, Shodan pour un domaine fictif créé pour l'occasion).
• Discuter des techniques de bypass de filtres anti-phishing courants (encodage base64, redirecteurs légitimes détournés).
• Relier à la sensibilisation en entreprise : comment ce TP se transpose-t-il à une campagne réelle de test pour une organisation ?

Les erreurs à éviter

Intégrer ce TP dans un module de cours

Ce TP s'intègre naturellement dans plusieurs modules :

• Cours de sensibilisation : c'est son environnement naturel, en complément des slides de conscience des risques.
• Module d'ingénierie sociale : l'atelier de construction de scénario approfondit la compréhension des mécaniques d'influence.
• Cours de sécurité réseau : pour les niveaux avancés, l'analyse des en-têtes SMTP et des mécanismes SPF/DKIM ancre le TP dans la réalité protocolaire.

Un TP de phishing bien mené est un moment fort du semestre. Il marque les étudiants et leur donne des réflexes applicables immédiatement, dans leur vie professionnelle comme personnelle.

Ce qu'il faut retenir

• Le phishing pédagogique requiert un cadre éthique strict (transparence préalable, anonymisation, suppression des données sous 48h, conformité RGPD).
• L'outil open source GoPhish couvre 90 % des besoins techniques d'un atelier simulé.
• La structure en 6 phases (lancement, introduction, révélation, détection, construction, débrief) maximise l'apprentissage en 90 minutes.
• La grille d'évaluation formative rend la notation transparente et objective pour les étudiants.
• Les variantes par niveau permettent d'adapter l'atelier du L1 non-technicien au M2 spécialisé.

Vous souhaitez faire intervenir un professionnel pour animer ce type d'atelier dans votre établissement ? Cyber Teachers vous met en relation avec des formateurs spécialisés en sensibilisation et pédagogie de la cybersécurité, disponibles en présentiel comme en distanciel.