Brain Security · Sensibilisation à la cybersécurité et à l’IA
Catalogue
La compétition cyber entièrement personnalisable : déroulé sur mesure, boss fights et classement public.
Découvrir→
Borne
La borne d’arcade de sensibilisation cyber. Configurable en ligne, livrée clé en main.
Découvrir→
Jeu
Le défouloir des CISO : un seul geste, ~2 minutes, et crier dans le micro multiplie les points.
Découvrir→
Compétition
La compétition de réflexes entièrement configurable : mini-jeux chronométrés, univers cyber, IA ou mixte, mode arcade.
Découvrir→
Expérience
Le photomaton deepfake : on autorise sa webcam, on se voit transformé en direct par une IA, et on ne regarde plus jamais une image de la même façon.
Découvrir→
Encyclopédie
L’encyclopédie cyber visuelle générée par IA : explorez chaque sujet à l’infini.
Découvrir→
Bot
Le bot qui sensibilise dans votre messagerie : des micro-leçons qui arrivent d’elles-mêmes, signées Jack.
Découvrir→
Formation
Le parcours d’apprentissage cyber en carte de progression : des chapitres courts et un quiz-arcade embarqué, sans compte à créer.
Découvrir→
Simulation
Le simulateur de phishing qui entraîne vos équipes aux attaques réelles, du faux e-mail au QR code piégé, dans un cadre maîtrisé qui ne capture jamais un mot de passe.
Découvrir→
Coming soon
La boîte à outils du RSSI, bientôt disponible.
Le jeu narratif qui apprend la cybersécurité en jouant : dix chapitres, une carte de niveaux, sans rien installer.
Découvrir→
Découvrez comment protéger vos équipes RH contre les CV piégés, les portfolios malveillants et les faux candidats en deepfake vidéo lors des entretiens.
Dans la plupart des organisations, la politique de sécurité rappelle aux collaborateurs de ne jamais ouvrir une pièce jointe provenant d'un inconnu. Pourtant, le métier même d'un recruteur ou d'un gestionnaire RH consiste précisément à faire l'inverse : recevoir des dizaines de fichiers externes chaque jour, cliquer sur des liens vers des portfolios, échanger avec des inconnus et récupérer des pièces d'identité ou des RIB. Cette ouverture structurelle fait des ressources humaines l'un des points d'entrée les plus exposés et les plus ciblés par les cybercriminels.
Les attaquants ont bien compris cette vulnérabilité intrinsèque. Ils ne se contentent plus de macros malveillantes grossières dans de faux CV au format Word. Aujourd'hui, l'ingénierie sociale s'appuie sur des profils LinkedIn entièrement forgés, des fichiers PDF embarquant du code malveillant indétectable par les filtres classiques, et même des candidats fictifs générés par intelligence artificielle qui passent des entretiens d'embauche en visioconférence pour s'infiltrer au cœur du système d'information.
En résumé : Les équipes RH traitent quotidiennement des centaines de pièces jointes non sollicitées et disposent d'accès directs aux données sensibles des salariés, aux systèmes de paie et aux coordonnées bancaires. Cette combinaison unique d'ouverture externe obligatoire et de privilèges internes en fait la cible d'ingénierie sociale idéale pour les attaquants.
L'environnement de travail d'un chargé de recrutement repose sur la rapidité de traitement. Face à une pénurie de talents ou à des volumes massifs de candidatures, le réflexe d'ouverture d'un CV reçu par email ou téléchargé depuis une plateforme tierce devient quasi automatique.
Les cybercriminels exploitent cette mécanique à travers plusieurs vecteurs d'attaque bien rodés :
Pour préparer vos équipes à ces scénarios réalistes, l'entraînement continu reste la parade la plus efficace. Des solutions comme Super Phisher, notre simulateur de campagnes d'entraînement déployé avec les experts Brain Security, permettent d'immerger les recruteurs face à des leurres contextuels calqués sur leurs vrais canaux d'embauche.
En résumé : La détection d'un CV piégé repose sur l'analyse rigoureuse du format de fichier, la vigilance face aux demandes d'activation de scripts ou de saisie d'identifiants sur de faux espaces cloud, ainsi que sur l'observation des incohérences temporelles et syntaxiques dans le parcours professionnel.
Les pirates adaptent constamment leurs techniques pour contourner les contrôles techniques standards. Les recruteurs doivent donc développer des réflexes d'hygiène numérique spécifiques sans ralentir leur activité.
Un CV légitime n'a jamais besoin d'exécuter du code ou de réclamer des droits administrateur. Les équipes doivent immédiatement suspendre l'ouverture d'un fichier face à ces anomalies :
CV_Developpeur_Senior.pdf.exe ou .pdf.vbs).Au-delà de la technique, l'ingénierie sociale laisse des traces. Les recruteurs doivent vérifier la cohérence globale : une présence numérique inexistante en dehors d'un profil créé la semaine précédente, un texte de présentation copié-collé d'autres candidats, ou des recommandations mutuelles récentes entre comptes suspects sont souvent les indices d'une tentative d'intrusion ciblée.
| Point critique identifié | Analyse opérationnelle & mécanisme | Section du guide |
|---|---|---|
| Le fichier joint piégé | Les attaquants dissimulent des infostealers ou des ransomwares dans des formats apparemment inoffensifs (archives ZIP protégées par mot de passe pour… | Pourquoi les recruteurs sont-ils la cible prioritaire des… |
| Les artefacts visuels au niveau des contours | Des flous inhabituels apparaissent autour des yeux, des lunettes, de la mâchoire ou lors du passage de la main devant le visage. | Deepfakes et faux candidats IA : la nouvelle frontière du… |
| L'accès direct aux données confidentielles | Le service RH manipule des données à très haute valeur marchande sur le darknet (NIR, adresses, pièces d'identité, RIB des collaborateurs). | Pourquoi les recruteurs sont-ils la cible prioritaire des… |
| La désynchronisation labiale | Le mouvement des lèvres se décale légèrement par rapport au son de la voix, particulièrement sur les consonnes occlusives (P, B, M). | Deepfakes et faux candidats IA : la nouvelle frontière du… |
L'essor des technologies génératives a franchi une nouvelle étape : l'usurpation d'identité en direct lors des entretiens vidéo. Des groupes hostiles utilisent désormais des modèles de synthèse vocale et d'échange de visage en temps réel pour faire passer des entretiens d'embauche à des acteurs téléguidés, dans le but d'obtenir des postes en télétravail complet au sein d'entreprises technologiques ou de sous-traitants critiques.
Une fois embauché, le faux collaborateur accède aux dépôts de code source, aux clés d'API et aux accès VPN, ouvrant la porte à l'exfiltration de données massives ou au sabotage interne.
Même si les modèles s'améliorent, les flux vidéo truqués en direct présentent des failles perceptibles :
Face à ces menaces émergentes, l'Article 4 de l'AI Act impose d'ailleurs aux organisations de mettre en place et documenter des mesures concrètes d'acculturation et de sensibilisation aux risques liés à l'intelligence artificielle pour l'ensemble des collaborateurs concernés.
Sécuriser le processus RH ne signifie pas bloquer le recrutement, mais instaurer des procédures claires et des réflexes partagés avec la DSI :
1. Sanctuariser l'ouverture des pièces jointes : Faire transiter les candidatures externes par des plateformes ATS dédiées plutôt que par des boîtes mail directes, et isoler l'analyse des portfolios suspects dans des bacs à sable (sandboxes).
2. Systématiser la double vérification : Pour toute embauche à distance avec accès sensible (développeurs, administrateurs, comptabilité), imposer un appel de contrôle impromptu, la vérification physique des documents officiels ou une rencontre en présentiel avant la remise des accès.
3. Mettre en place un protocole anti-fraude au RIB : Interdire tout changement de coordonnées bancaires par simple email sans confirmation vocale directe via le numéro interne connu du collaborateur.
La sécurité globale d'une entreprise dépend directement de la vigilance de ses recruteurs. Pour évaluer la résistance de vos équipes face aux attaques ciblées et construire un plan d'entraînement sur mesure, parlez-nous de vos besoins dès aujourd'hui avec un expert Brain Security.