Accueil Cas d’usage Suspicious Message Reporting
Cas d’usage · Communication suspecte
Suspicious Message Reporting
Vérifiez que vos équipes signalent réellement les messages suspects, par le canal officiel et assez vite pour que la sécurité puisse agir, sur des exercices comme sur de vraies attaques.
Signalement des messages suspects.
La question
Le contrôle qui arrête l’attaque est-il réellement appliqué ?
Face à un message suspect, réel ou simulé, les équipes le signalent-elles réellement par le canal officiel, et assez vite pour que la sécurité puisse agir ?
Un message malveillant arrive rarement seul : le premier signalement permet à l’équipe sécurité de le retirer de toutes les boîtes. Le contrôle humain est simple, et c’est pour cela qu’il est souvent supposé plutôt que vérifié. TAMNIX le mesure sur des exercices et, si vous reliez votre messagerie, sur les vraies attaques.
Human Cyber Control
- Menace
- Communication suspecte
- Contrôle humain
- Signalement sécurité
- Population
- Toute équipe de 30 à 300 personnes ; idéalement l’organisation entière, par vagues
- Comportement observé
- « A signalé correctement »
De l’attaque à l’assurance
Huit étapes, une seule chaîne de preuve
- AttaqueUn message suspect arrive : facture inattendue, colis, partage de fichiers. Le premier signalement permet de protéger tous ceux qui l’ont reçu.
- Contrôle attenduSignalement sécurité : signaler avec le bouton de la messagerie, même en cas de doute, même après un clic, sans transférer le message.
- Mesure de baseDes exercices réalistes et, si vous reliez Outlook ou Gmail, les vraies attaques. Un signalement fait avec le bouton de la messagerie compte, pour l’exercice comme pour le réel.
- ConstatUne posture d’équipe et un délai médian de signalement. Ne rien faire n’est jamais compté comme « sûr » : c’est « pas d’action observable ».
- DécisionUne proposition argumentée, qu’une personne habilitée approuve, remplace, reporte ou rejette.
- InterventionUne pratique contextuelle de quatre minutes : signaler après un clic, conseiller un collègue, signaler dans le doute, puis la procédure.
- RevalidationMême contrôle, autre surface : d’autres prétextes, même canal et même difficulté ; les signaux réels de la messagerie complètent la mesure.
- AssuranceUne conclusion graduée de A0 à A4, et bloquée si la comparaison ne tient pas ; un pack de preuves scellé, revérifiable par un auditeur.
La boucle que TAMNIX vérifie : Contrôle attendu → Comportement observé → Contrôle réellement appliqué ? → Constat → Décision → Intervention → Revalidation → Signal d’efficacité du contrôle.
Signaux réels · Outlook et Gmail
Les vraies attaques complètent les exercices, sans lire un seul e-mail
Connecteurs en accès pilote : chacun est validé avec votre équipe sécurité, sur votre tenant, à la mise en service.
- Microsoft 365 · Outlook
- Expositions, retraits, signalements et clics, lus par requêtes de chasse Microsoft Defender, en lecture seule.
- Google Workspace · Gmail
- Signalements d’hameçonnage et messages reclassés malveillants, lus dans l’Alert Center, en lecture seule. Gmail ne transmet pas les clics.
- Relais
- Votre SOAR, un flux Power Automate ou un script Apps Script envoie le même contrat à un webhook signé.
- Ancré sur l’exposition
- Seul un message confirmé malveillant et arrivé dans la boîte ouvre un épisode. Un signalement sans exposition connue est compté, jamais mesuré.
- Une fenêtre de réponse
- Ce que la personne fait dans les 72 heures devient une observation : signalé, signalé après un clic, clic, ou pas d’action observable.
- Rien du message
- Ni objet, ni contenu, ni expéditeur, ni lien. L’identifiant du message et l’adresse sont pseudonymisés dès réception.
- Exercices compris
- Un exercice signalé avec le bouton de la messagerie compte pour l’exercice, sans double comptage.
Le contrat de revalidation
Fixé avant l’intervention, pas après le résultat
Ce que l’on comparera, et comment, est écrit avant de lancer quoi que ce soit. Une revalidation ne réutilise jamais le message de la mesure de base : elle teste le même contrôle sur une autre surface.
- Scénario de menace
- Communication suspecte
- Contrôle testé
- Signalement par le canal officiel
- Mesure de base
- Référencée dans le contrat, fixée avant l’intervention
- Exigence du suivi
- Même contrôle, autre surface
- Comparabilité
- Requise
Le résultat, à deux niveaux
Ce que le métier lit, et ce que la méthode autorise
Le métier lit si le réflexe de signalement s’est installé, et à quelle vitesse ; la sécurité et l’audit lisent le niveau de preuve. Ne rien faire n’est jamais compté comme « sûr », et un signalement isolé, sans exposition connue, ne fait pas une posture. Quand la comparaison ne tient pas, la conclusion est bloquée.
- Le contrôle « signalement sécurité » semble renforcé.
- IMPROVEMENT_SUPPORTED · A3
- L’amélioration apparente du contrôle « signalement sécurité » n’est pas encore suffisamment démontrée.
- COMPARISON_UNRELIABLE
90-Day Baseline & Verification
Le pilote
Vérifiez en 90 jours si le réflexe de signalement est réellement installé, sur des exercices et sur les vraies attaques que reçoit l’équipe. Toute équipe de 30 à 300 personnes ; idéalement l’organisation entière, par vagues, un comportement, une baseline, une décision, une revalidation comparable et un pack de preuves.
Vos équipes signalent-elles réellement les messages suspects ?
En 30 minutes, nous partons de votre canal de signalement, de ce que votre messagerie sait déjà, et de la manière dont vous sauriez que le réflexe s’est installé.