Chiffres clés
180 collaborateurs
Pouvez-vous nous présenter Sotrinbois ?
Sotrinbois est le leader français spécialisé dans les accessoires de bricolage tels que les plinthes, les tasseaux et les moulures. Nos produits sont disponibles dans les grandes surfaces de bricolage ainsi que chez les artisans lorsque vous effectuez des travaux.
En outre, nous sommes les leaders du marché des panneaux en bois, offrant une gamme variée comprenant des tablettes et des plans de travail en bois massif. Notre présence s’étend sur tout le marché français, principalement en tant que fournisseur privilégié des grandes surfaces de bricolage, et nous avons également une présence significative sur le marché européen.
Qu’est-ce qui a incité la création de ce projet ?
La création de ce projet découle directement de notre initiative lancée il y a deux ans, intitulée « Résilience et cybersécurité », dont l’objectif est d’améliorer la sécurité informatique au sein de notre entreprise.
Quel était votre besoin ou la problématique à résoudre ?
Pour mener à bien ce projet, il était essentiel de tester nos équipes en interne. C’est à ce moment-là que nous avons eu l’opportunité de discuter avec NBS System, et ils nous ont proposé une solution concernant la simulation d’attaques de phishing.
Aviez-vous des appréhensions avant le lancement du projet ?
En réalité, nous n’avions pas de craintes particulières. L’objectif était plutôt de consolider les différentes actions que nous avions entreprises jusqu’à présent, tout en renforçant la sécurité informatique et en mettant en place de nouveaux outils, même si cela pouvait entraîner des contraintes supplémentaires pour les utilisateurs. Par conséquent, l’utilisation des résultats de ce test de phishing nous a permis également d’appuyer les modifications que nous allions apporter, que les résultats se révèlent mitigés ou non.
Quels ont été les obstacles et les facteurs facilitants ?
Nous n’avons pas rencontré d’obstacles majeurs, mais nous avons bénéficié de plusieurs éléments facilitateurs. Tout d’abord, le fait d’avoir deux interlocuteurs au sein de NBS System a été très utile. En plus de la partie commerciale, nous avions un chef de projet et une personne spécialisée dans les techniques d’attaque. Cette configuration s’est révélée pratique lors de la mise en place des tests. Il a fallu effectuer des essais préliminaires pour vérifier si les e-mails étaient bien acheminés, comment le système réagissait et ouvrir certaines sécurités pour que le test se déroule correctement. Avoir quelqu’un qui pilotait le projet dans sa globalité et une personne technique dédiée a donc été très pratique pour mener à bien l’ensemble du processus.
Quelle a été la valeur ajoutée de NBS System ?
La réactivité a été l’un des principaux atouts de NBS System. Chaque fois que nous avions une interrogation ou des tests à effectuer, leurs réponses étaient rapides et efficaces. De plus, l’offre proposée était parfaitement cohérente par rapport à notre domaine d’intérêt. Nous ne souhaitions pas une offre comprenant une multitude de tests et de fonctionnalités superflues. Nous voulions nous concentrer spécifiquement sur cette partie-là, et leur offre était parfaitement adaptée à nos besoins, avec un calibrage précis.
Comment s’est déroulée la campagne ?
La campagne s’est déroulée de manière satisfaisante. Dans un premier temps, nous avons organisé une réunion de préparation où nous avons soigneusement planifié l’attaque afin de la personnaliser en fonction de nos objectifs spécifiques, en veillant à ce qu’elle corresponde aux projets en cours au sein de l’entreprise. Cette phase de préparation nous a permis de cibler précisément l’attaque et de la rendre sournoise en la basant sur un sujet interne en cours de développement. Cela a assuré une attaque pertinente et personnalisée.
Ensuite, nous avons procédé à la phase d’attaque proprement dite, avec l’envoi des e-mails correspondants. Nous avons effectué un suivi initial pour nous assurer que les e-mails étaient bien reçus et pour obtenir des retours préliminaires.
Enfin, une réunion de compte rendu a été organisée pour examiner en détail les différents éléments du rapport et discuter des résultats obtenus.
Qu’avez-vous pensé de la campagne personnalisée pour Sotrinbois ?
La campagne a été préparée en amont, répondant parfaitement à nos attentes. Elle s’est parfaitement alignée sur ce que nous souhaitions réaliser, ce qui était génial.
Comment les équipes ont-elles collaboré ?
Dans l’ensemble, ma collaboration a été la seule au sein de l’entreprise, car l’objectif était de confronter les membres de l’équipe à cette problématique. Nous avons visé tous les membres, y compris les dirigeants et les personnes encadrantes. Tout s’est bien déroulé puisque j’étais le seul à être informé, ce qui a évité toute complication.
Lorsque les attaques ont commencé, les équipes ont bien communiqué entre elles. Tout le monde recevait ce type de mail, ce qui a suscité des interrogations chez certains. Ils ont alors échangé entre services pour discuter de la situation.
Les objectifs ont-ils été atteints ?
L’attaque s’est déroulée en deux phases, avec deux séries d’e-mails. Dans le premier e-mail, une demande d’authentification a été faite, ce qui était ma principale préoccupation. Le contenu de l’e-mail incitait les destinataires à saisir leurs identifiants, et nous avons constaté que globalement 20% des équipes ont répondu à cet e-mail (en tenant compte de la segmentation par secteur d’activité). Ils ont saisi leurs identifiants, ce qui est un résultat auquel je m’attendais. Bien sûr, j’aurais préféré un taux plus faible, mais dans l’ensemble, ce résultat n’est pas trop mauvais. De plus, les équipes ont bien collaboré entre elles, et nous avons reçu des retours pendant l’attaque, ce qui indique une bonne communication. Malgré le fait que l’e-mail était bien conçu et signé de mon nom, il y a eu quelques petites alertes qui se sont déclenchées.
Pour la deuxième attaque, un e-mail contenant un virus en pièce jointe a été envoyé, et seulement une ou deux personnes ont cliqué sur la pièce jointe. Les résultats sont plutôt positifs.
De futures collaborations prévues ?
Oui, nous prévoyons de poursuivre sur le même type de tests. J’aimerais organiser, probablement vers la fin de l’année, un test un peu plus générique. Cette fois-ci, nous avons vraiment ciblé une attaque très spécifique et des sujets précis qui étaient en discussion en interne. L’idée serait donc de réaliser quelque chose de plus généralisé et courant, afin de voir si les personnes mordent toujours à l’hameçon pour un e-mail qu’on pourrait retrouver dans une attaque classique. Nous envisageons simplement une nouvelle campagne de phishing, d’autant plus que notre assurance risques de cybersécurité nous le demande, et nous avons également l’obligation de tester nos équipes. Je pense donc continuer cette collaboration avec NBS System, étant donné que la première fois s’est bien déroulée.
