Brain Security · Sensibilisation à la cybersécurité et à l’IA
Catalogue
La compétition cyber entièrement personnalisable : déroulé sur mesure, boss fights et classement public.
Découvrir→
Borne
La borne d’arcade de sensibilisation cyber. Configurable en ligne, livrée clé en main.
Découvrir→
Jeu
Le défouloir des CISO : un seul geste, ~2 minutes, et crier dans le micro multiplie les points.
Découvrir→
Compétition
La compétition de réflexes entièrement configurable : mini-jeux chronométrés, univers cyber, IA ou mixte, mode arcade.
Découvrir→
Expérience
Le photomaton deepfake : on autorise sa webcam, on se voit transformé en direct par une IA, et on ne regarde plus jamais une image de la même façon.
Découvrir→
Encyclopédie
L’encyclopédie cyber visuelle générée par IA : explorez chaque sujet à l’infini.
Découvrir→
Bot
Le bot qui sensibilise dans votre messagerie : des micro-leçons qui arrivent d’elles-mêmes, signées Jack.
Découvrir→
Formation
Le parcours d’apprentissage cyber en carte de progression : des chapitres courts et un quiz-arcade embarqué, sans compte à créer.
Découvrir→
Simulation
Le simulateur de phishing qui entraîne vos équipes aux attaques réelles, du faux e-mail au QR code piégé, dans un cadre maîtrisé qui ne capture jamais un mot de passe.
Découvrir→
Coming soon
La boîte à outils du RSSI, bientôt disponible.
Le jeu narratif qui apprend la cybersécurité en jouant : dix chapitres, une carte de niveaux, sans rien installer.
Découvrir→
Découvrez comment repérer le typosquatting et les attaques homoglyphes. Entraînez vos équipes à déjouer les pièges d'URL pour bloquer le phishing.
La scène se répète chaque semaine dans les centres opérationnels de sécurité. Un collaborateur pressé reçoit une alerte urgente provenant prétendument du service informatique, clique sur le lien, saisit ses identifiants et valide sa double authentification. En apparence, la page reproduisait fidèlement le portail d'authentification de l'entreprise. En réalité, le domaine utilisé comportait une modification indétectable au premier coup d'œil, transformant une simple routine matinale en brèche d'accès critique.
Pour les RSSI et les équipes de sécurité, le défi ne réside plus seulement dans le blocage technique des boîtes de réception. Les filtres antispam arrêtent une vaste majorité des menaces génériques, mais les cybercriminels investissent désormais dans des noms de domaine trompeurs spécialement forgés pour tromper l'œil humain. Pour contrer ce phénomène, la solution durable consiste à transformer chaque collaborateur en un relecteur averti, capable d'analyser la structure réelle d'une URL avant d'accorder sa confiance.
En résumé : Pour repérer un domaine falsifié, observez attentivement le domaine racine situé juste avant la première barre oblique, méfiez-vous des fusions de lettres comme "rn" remplaçant un "m", et traquez les caractères cyrilliques visuellement identiques grâce à la conversion automatique Punycode dans la barre d'adresse de votre navigateur.
L'usurpation de domaine repose sur l'exploitation des raccourcis visuels pris par notre cerveau. Quand nous lisons rapidement un mot familier, nous ne déchiffrons pas chaque caractère un par un : nous reconnaissons une forme globale. Les cybercriminels profitent de cette faille cognitive en déployant deux techniques majeures :
En résumé : Les attaquants empilent des sous-domaines légitimes pour masquer l'adresse réelle, plaçant des termes rassurants au début de l'URL. L'astuce consiste à remonter la chaîne depuis la première barre oblique vers la gauche pour identifier le véritable domaine racine qui héberge la page.
Une autre manœuvre particulièrement redoutable consiste à manipuler l'architecture des sous-domaines. L'attaquant enregistre un domaine malveillant tout à fait ordinaire, par exemple "serveur-securise.fr", puis crée une cascade de sous-domaines reprenant le nom de sa cible.
Le collaborateur voit alors s'afficher dans son navigateur : https://login.microsoft.com.serveur-securise.fr/auth.
Face à une telle chaîne, l'œil non entraîné lit de gauche à droite et s'arrête sur "login.microsoft.com", concluant à un site authentique. Pour neutraliser cette tromperie, une règle d'or doit être enseignée à l'ensemble du personnel :
| Axe stratégique | Recommandation opérationnelle détaillée |
|---|---|
| Le typosquatting classique | Il repose sur les fautes de frappe courantes, l'omission d'une lettre, l'inversion de deux consonnes ou l'adjonction d'un caractère discret… (Comment repérer un nom de domaine falsifié par typosquatting ou…) |
| Repérer la première barre simple | Localisez le premier slash ("/") après le préfixe "https://". (Pourquoi l'arbre des sous-domaines piège-t-il si facilement vos…) |
| Les attaques par homoglyphes (IDN homograph attack) | Cette méthode utilise des jeux de caractères internationaux pour remplacer des lettres de notre alphabet par des symboles visuellement identiques… (Comment repérer un nom de domaine falsifié par typosquatting ou…) |
| Lire immédiatement à gauche | Le domaine réel est constitué du mot situé juste avant ce slash et de son extension (comme .com ou .fr). (Pourquoi l'arbre des sous-domaines piège-t-il si facilement vos…) |
La théorie ne suffit pas : la vigilance numérique s'ancre par la routine et la simplification des parcours utilisateurs. Pour limiter l'exposition aux attaques d'ingénierie sociale, plusieurs habitudes simples doivent être formalisées dans la culture d'entreprise.
Le moyen le plus efficace de ne pas tomber dans le panneau d'un lien typosquatté consiste à ne jamais cliquer sur les liens reçus par messagerie pour accéder aux services critiques. Encouragez la création d'un dossier de favoris vérifiés dans les navigateurs de travail. Qu'il s'agisse de la messagerie interne, du portail RH, de la gestion bancaire ou des consoles d'administration cloud, l'accès doit se faire via ces raccourcis validés ou par saisie manuelle maîtrisée.
Pour rendre ces notions mémorables sans alourdir la charge mentale des collaborateurs, l'approche par le jeu s'avère particulièrement pertinente. Organiser des sessions courtes et engageantes permet de confronter les utilisateurs à des cas concrets de lecture d'adresses.
C'est exactement la dynamique proposée par la Cyber Cup, une compétition de quiz cybersécurité en équipe façon borne d'arcade. Avec des parties rythmées de 3 minutes et un classement en temps réel, cet outil accessible en libre-service (avec 5 accès gratuits sans carte bancaire) permet de tester l'acuité visuelle de vos collègues sur des URL piégées tout en stimulant l'esprit d'équipe.
Le typosquatting et les attaques homoglyphes ne cesseront pas d'exister, car leur coût d'infrastructure est dérisoire face aux gains potentiels d'une intrusion réussie. Cependant, dès lors que vos collaborateurs apprennent à décortiquer une adresse URL avec méthode, l'efficacité de ces leurres s'effondre.
En combinant des configurations techniques solides (comme l'authentification FIDO2 résistante au phishing) et des moments réguliers de montée en compétences interactifs, vous bâtissez un bouclier humain résilient. Vous souhaitez faire monter vos équipes en maturité cyber à travers des formats stimulants et adaptés à vos enjeux ? Parlez-nous de vos besoins pour découvrir l'ensemble de nos approches pédagogiques.
