Aide Démarrer
Premiers pas avec PhishTrainer
Sur cette page
Ce que fait PhishTrainer
PhishTrainer entraîne vos collaborateurs à reconnaître le phishing (hameçonnage). Il envoie des emails ou des SMS de simulation, réalistes mais sans danger, puis enregistre les réactions de chaque cible : ouverture de l’email, clic sur le lien, données saisies sur la page de destination, signalement de l’email.
Ces résultats vous servent à :
- mesurer la vigilance de vos équipes ;
- repérer les personnes et les groupes qui ont besoin de formation ;
- suivre l’évolution de ces résultats d’une campagne à l’autre.
Qui utilise PhishTrainer dans votre organisation
- le responsable de la sécurité de l’information (RSSI) : il évalue le risque et suit les progrès ;
- les équipes informatique et sécurité : elles préparent les campagnes et traitent les emails signalés ;
- les ressources humaines et la formation : elles intègrent les résultats aux programmes de sensibilisation ;
- la direction : elle consulte les résultats en lecture seule.
Chacun reçoit le rôle qui correspond à son usage : voir « Donner accès à vos collègues ».
Les termes à connaître
Ces termes reviennent dans l’interface et dans les autres guides.
| Terme | Définition |
|---|---|
| Phishing (hameçonnage) | Message frauduleux qui se fait passer pour un expéditeur de confiance afin d’obtenir des identifiants, des informations ou un paiement. |
| Simulation | Email ou SMS de phishing factice, envoyé par PhishTrainer à des fins de formation. Il ne présente aucun risque pour la personne qui le reçoit. |
| Cible | Personne de votre organisation qui reçoit les simulations. Menu Cibles. |
| Groupe de cibles | Ensemble de cibles (service, site, fonction…) auquel vous adressez une campagne. Menu Groupes de cibles. |
| Modèle de phishing | Contenu de l’email ou du SMS de simulation. Menus Modèles de phishing et SMS de Phishing ; les modèles fournis par Bexxo se trouvent sous l’onglet Templates bexxo. |
| Page de destination | Page web ouverte quand la cible clique sur le lien de la simulation. Elle peut imiter une page de connexion. Menu Pages de destination. |
| Profil d’envoi | Serveur SMTP et adresse d’expéditeur utilisés pour envoyer les emails de simulation. Menu Paramètres > Profils d'envoi. |
| Campagne | Envoi planifié d’une simulation à un ou plusieurs groupes, avec un modèle de phishing, une page de destination et un profil d’envoi. Menu Campagnes. |
| Email suspect | Email signalé par un collaborateur (simulation ou vrai message). Vous les classez dans le menu Emails suspects. |
| Taux de clic | Part des cibles qui ont cliqué sur le lien d’une simulation. Avec le taux de données soumises et le taux de signalement, c’est l’un des indicateurs suivis dans les résultats. |
Première connexion
Bexxo ouvre l’espace de votre organisation et crée votre premier accès. Vous recevez ensuite vos identifiants par email.
- Ouvrez
https://app.phishtrainer.comdans votre navigateur. - Saisissez votre adresse email dans Utilisateur et votre mot de passe dans Mot de passe, puis cliquez sur Valider.
- Si l’authentification à deux facteurs est active sur votre compte, saisissez le code à 6 chiffres reçu par email ou affiché par votre application d’authentification.
- Si votre compte donne accès à plusieurs organisations, choisissez celle avec laquelle vous voulez travailler.
- Dans le menu de gauche, ouvrez PhishTrainer sous « Services », puis Tableau de bord.
Si votre organisation a activé le chiffrement côté client, vous saisissez aussi votre phrase secrète. Le guide « Chiffrement côté client » décrit ce fonctionnement.
Remplacez le mot de passe reçu par email dès votre première connexion, dans Mon profil.
Votre profil
Ouvrez Mon profil dans la section « Général » du menu de gauche. La page contient quatre blocs :
- Mon avatar : choisissez l’image associée à votre compte.
- Informations personnelles : corrigez vos nom, prénom et numéros de téléphone. L’adresse email ne se modifie pas ici : contactez le support.
- Changer le mot de passe : au moins 12 caractères, dont une majuscule, une minuscule, un chiffre et un caractère spécial.
- Authentification à deux facteurs : Activer par e-mail (un code envoyé à chaque connexion) ou Activer par application (un code généré par une application d’authentification, après lecture d’un QR code).
Activez l’authentification à deux facteurs sur les comptes qui administrent PhishTrainer : ils donnent accès aux résultats de toute l’organisation.
Se repérer dans l’interface
PhishTrainer se trouve dans le menu de gauche, sous « Services ». Les entrées affichées dépendent de votre rôle PhishTrainer.
| Entrée du menu | Contenu | Visible à partir du rôle |
|---|---|---|
| Tableau de bord | Statistiques de vos campagnes (emails ouverts, liens cliqués, données soumises), détail par campagne et emails suspects des 30 derniers jours. | Lecteur |
| Groupes de cibles | Groupes de cibles et leurs statistiques. | Superviseur |
| Cibles | Résultats par cible : envois, taux de clic, taux de données soumises. | Superviseur |
| Campagnes | Création, planification et résultats des campagnes par email ou par SMS. | Superviseur |
| Emails suspects | Emails signalés par vos collaborateurs, à analyser et à classer. | Superviseur |
| Modèles de phishing, SMS de Phishing | Contenus des simulations : les vôtres et ceux fournis par Bexxo. | Superviseur |
| Pages de destination | Pages affichées après un clic sur le lien d’une simulation. | Superviseur |
| Paramètres | Profils d'envoi, Réception des signalements (boîtes et compléments qui transmettent les emails signalés) et Webhooks. | Administrateur |
| Aide | Aide en ligne de PhishTrainer. | Tous les rôles |
Le menu « Mon organisation »
Sous « Administration », le menu Mon organisation regroupe les réglages communs à tous les services Bexxo : Personnes, Groupes, Annuaire et SSO, Envoi des emails, Accès du support, et Chiffrement si votre organisation l’a activé.
L’administrateur du compte voit toutes ces entrées. Une personne qui a la permission Gérer les personnes voit Personnes, Groupes et Annuaire et SSO.
Donner accès à vos collègues
Les personnes de votre organisation se gèrent dans Mon organisation > Personnes. Pour chaque personne, vous choisissez les services auxquels elle a accès et son rôle dans chacun.
Les rôles PhishTrainer
| Rôle | Ce que la personne peut faire |
|---|---|
| Cible | Reçoit les simulations. Ne voit pas l’interface PhishTrainer. |
| Lecteur | Comme Cible, et consulte les campagnes et les résultats en lecture seule. |
| Superviseur | Comme Lecteur, et crée et gère les campagnes, les groupes et les modèles. |
| Administrateur | Comme Superviseur, avec un accès complet à la configuration (Paramètres) et à la facturation. |
Le rôle PhishTrainer est distinct du statut d’administrateur du compte (badge Administrateur du compte), qui donne accès au menu Mon organisation.
Ajouter une personne
- Ouvrez Mon organisation > Personnes, puis cliquez sur Ajouter une personne.
- Renseignez Nom, Prénom, E-mail et Langue de correspondance, puis cliquez sur Enregistrer.
- Dans le bloc Services & permissions, choisissez le rôle PhishTrainer de la personne, puis cliquez sur Enregistrer les permissions.
- Si la personne doit se connecter, cliquez sur Générer un accès dans le bloc Accès au compte. Elle reçoit un email avec ses identifiants.
Les services proposés dépendent de l’abonnement de votre organisation. Une personne qui a seulement le rôle Cible ne voit pas l’interface PhishTrainer.
Ajouter plusieurs personnes
- Fichier CSV : téléchargez le Modèle CSV, complétez-le, puis utilisez Importer un CSV.
- Actions en lot : cochez des personnes dans la liste, puis utilisez Créer un accès ou Modifier les services.
- Synchronisation d’annuaire : les personnes et les groupes de Microsoft Entra ID peuvent être importés automatiquement (Annuaire et SSO).
Gérer les personnes existantes
- Changer de rôle : ouvrez la fiche de la personne et modifiez son rôle dans Services & permissions.
- Mot de passe : Réinitialiser le mot de passe envoie un email à la personne.
- Retirer l’accès à PhishTrainer : passez le service à Inactif sur sa fiche, ou cochez la personne dans la liste et utilisez Retirer l'accès.
Mener une simulation de façon éthique
Une simulation sert à former, pas à piéger ni à sanctionner. Ces pratiques préservent la confiance de vos collaborateurs.
- Informer : annoncez le programme de simulation à vos collaborateurs (et, le cas échéant, à leurs représentants) et expliquez son but. Inutile d’annoncer les dates et heures des campagnes.
- Former : après chaque campagne, expliquez les indices qui permettaient de repérer la simulation. Dans la campagne, la Page de rappel des bonnes pratiques : propose des pages et des vidéos de sensibilisation, ou votre propre adresse.
- Protéger la vie privée : cochez Anonymiser les résultats de la campagne ? si vous suivez des tendances plutôt que des personnes. Une fois la campagne terminée, Anonymiser les données supprime définitivement les données personnelles des cibles et conserve les statistiques. N’activez Mémoriser les formulaires soumis ? que si vous en avez besoin, et fixez qui consulte ces données et combien de temps vous les gardez.
- Rester proportionné : évitez les scénarios stressants, discriminatoires ou qui touchent à la vie personnelle. Commencez par des simulations faciles à repérer, puis augmentez la difficulté.
- Respecter le droit : vérifiez que votre programme est conforme aux règles de protection des données et de surveillance au travail qui s’appliquent à vous (LPD en Suisse, RGPD dans l’Union européenne).
L’option Mémoriser les champs de type password ? enregistre les mots de passe saisis par les cibles. L’interface avertit : « Cela peut contrevenir aux droits de la protection des données de la cible testée. » Laissez-la désactivée sauf décision interne explicite.
Et ensuite
Préparez vos cibles et vos groupes, puis créez votre première campagne.
Vous n’avez pas trouvé la réponse ? Nous contacter