BLUETEAM ACADEMY — GUIDE OPÉRATIONNEL DE SENSIBILISATION AU PHISHING Microsoft 365 / Entra, Google Workspace et menaces IA Édition du cours : octobre 2026. Suivez les procédures approuvées de votre organisation. 1. METTEZ EN PAUSE ET ANALYSEZ LA DEMANDE Qu’est-ce qu’on me demande de modifier, divulguer, autoriser, payer, télécharger ou exécuter ? Est-ce que je m’attendais à ce travail ? L’expéditeur a-t-il l’autorité pour cette action ? Un nom connu, un logo, un fil existant, une grammaire correcte, HTTPS, une voix ou une vidéo ne répond pas à ces questions. Un compte authentique peut être compromis. 2. VÉRIFIEZ SANS UTILISER L’ITINÉRAIRE DU MESSAGE Utilisez un favori établi, le lanceur d’entreprise, le service d’assistance ou un contact enregistré. Pour les paiements et modifications de comptes bancaires, appliquez les règles de rappel téléphonique et de double validation. Ne téléphonez pas à un numéro fourni dans la demande suspecte et n'approuvez pas d’exception. parce que la demande se réclame d’urgence, de confidentialité ou d’un statut hiérarchique. 3. LIENS ET CODES QR Si votre client offre un aperçu sécurisé, vérifiez la destination complète sans l'ouvrir Le nom d'hôte n’est pas une marque mentionnée plus haut dans un sous-domaine ou plus loin dans un chemin. Une URL raccourcie ou un QR code peut masquer la destination. N'ouvrez pas un lien vers vérifiez si c'est sûr. Utilisez directement le service métier connu. 4. CODES APPAREIL MICROSOFT ET CONSENTEMENT Une page Microsoft réelle peut valider une demande initiée par un attaquant. Ne saisissez pas de code d’appareil provenant d’une réunion, d’un recruteur ou d’un message de support non sollicité. Ne complétez un flux de périphérique que si vous l’avez initié délibérément pour une application connue et approuvée. Se connecter est différent d’accorder à une application l’accès au courrier ou aux fichiers. Vérifiez l’identité de l’application, les portées demandées, la finalité métier et le statut d’approbation. N’approuvez jamais une notification MFA inattendue, même si un interlocuteur vous le demande. 5. GOOGLE WORKSPACE Une notification authentique de partage Drive n’atteste pas de la sûreté du document. Un document externe ou une invitation calendrier peut contenir un lien ou une demande non sûre. Utilisez la voie Drive/Agenda connue et vérifiez séparément l’objectif métier. Vérifiez les autorisations d’applications tierces avec l’IT. Révoquer l’accès ultérieurement ne permet pas de récupérer données déjà copiées. Google prend également en charge l’autorisation légitime d’appareils ; traitez des instructions inattendues sur appareil doivent être considérées comme une question d'autorisation, non comme une question de marque. 6. IA, COLLABORATION ET PIÈCES JOINTES Une voix ou vidéo convaincante ne remplace pas les contrôles d'identité et d'approbation des paiements. Un résumé IA peut répéter des instructions malveillantes issues d’un document qu’il a résumé. Les messages Teams externes ou de chat nécessitent les mêmes vérifications que les e-mails. N’ouvrez pas d’archives protégées par mot de passe pour contourner l’analyse, n’exécutez pas de fichiers ni ne n’activez pas les macros simplement pour lire un document. Un faux CAPTCHA ou une fausse réparation de réunion peut demander qu’on vous demande de coller et d’exécuter une commande. Arrêtez-vous : ne l’exécutez pas. N’installez pas d’extension de navigateur ou d’outil de support à distance non approuvés. 7. ARBRE DE DÉCISION VIRUSTOTAL — AVANT TOUTE REQUÊTE OU SOUMISSION A. La politique interne et les conditions du service autorisent-elles cet usage ? NON / INCERTAIN -> utilisez le canal de sécurité interne approuvé. B. Le fichier ou l’indicateur contient-il des informations confidentielles, personnelles ou d’accès ? OUI / INCERTAIN -> n’upload/collez pas dans des services de scan publics. Exemples : paie, contrats, données patient/client, liens privés partagés, liens de réinitialisation de mot de passe, URL signées pour le téléchargement, jetons d'accès et informations internes. C. Pour un fichier autorisé déjà détenu en sécurité, un SHA-256 approuvé est-il disponible ? Demandez à la sécurité ou utilisez un outil local approuvé sans exécuter le fichier. Ne téléchargez pas une pièce jointe suspecte uniquement pour obtenir son empreinte (hash). D. Recherchez le hash autorisé pour un rapport EXISTANT. Cela ne téléverse pas les octets du fichier mais divulgue tout de même la requête à un tiers partie. L'absence de signalement signifie inconnu ; cela n'autorise pas le dépôt de fichier. E. Pour une URL publique autorisée, vérifiez que la chaîne complète ne contient aucune donnée sensible vérifiez les informations avant toute question. Les recherches d'URL peuvent être analysées et partagées ; ne pas supposez qu’une recherche est privée ou que retirer un jeton teste le même objet. F. Vérifiez l’identifiant analysé, le type de fichier, la date d’analyse et les résultats individuels. Zéro détection n’est pas une preuve de sécurité. Un ancien rapport peut ne pas décrire l’état actuel contenu. Une détection peut nécessiter une interprétation ; n’outrepassez pas les outils de l’entreprise. G. Un rapport n’autorise pas un paiement, un consentement, une connexion ni la diffusion de données. Suivez le processus approuvé d’investigation et d’escalade. POURQUOI LES FICHIERS CONFIDENTIELS DOIVENT RESTER À L’ÉCART Les soumissions et rapports VirusTotal ordinaires peuvent être partagés dans sa communauté de sécurité écosystème, y compris les partenaires et clients. Un scan public peut créer un nouveau divulgation de données. Private Scanning est un service distinct qui doit être approuvé et configuré pour votre organisation. Se connecter ou payer ne suffit pas. Si vous avez accidentellement transmis des informations sensibles, signalez rapidement cette divulgation ; ne supposez pas que la suppression d’une copie locale ou le changement de nom de fichier l’annule. 8. MODÈLE DE RAPPORT D’INCIDENT — UTILISER UNIQUEMENT LES CANAUX INTERNES APPROUVÉS Compte / appareil concerné : Heure approximative et fuseau horaire : Canal et expéditeur déclaré : Ce que j’ai observé : Ce que j’ai réellement fait (consulté / cliqué / saisi mon mot de passe / réalisé une MFA / code appareil saisi / accès à l’application accordé / contenu exécuté / données envoyées / paiement effectué : Téléchargements, messages ou modifications remarqués : Ce que j’ai arrêté de faire : Lorsque la preuve originale est conservée via l’outil de rapport approuvé : Route connue du service d’assistance ou de la sécurité utilisée : Signalez rapidement même si vous doutez. Ne répétez pas l'action pour investiguer. N’inscrivez pas de mots de passe, codes de récupération ou secrets dans le rapport. La sécurité peut exiger de révoquer des sessions et des autorisations d’application, d’inspecter les règles de boîte mail et examinez les appareils ; un simple changement de mot de passe n’est pas une réponse complète à chaque cas. En cas de paiement, alertez immédiatement la finance et la sécurité via les canaux établis. Suivez les instructions de l’équipe de réponse, au lieu d’improviser des effacements ou modifications d’appareils. RÉFÉRENCES https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/ https://support.google.com/mail/answer/8253 https://support.google.com/accounts/answer/14012355 https://docs.virustotal.com/docs/how-it-works https://docs.virustotal.com/docs/searching https://docs.virustotal.com/docs/results-reports https://docs.virustotal.com/docs/private-scanning Utilisez des exemples fictifs ou épurés dans vos réponses au cours. Ne collez pas d’informations réelles de fichiers suspects, de liens privés ou de secrets d'entreprise sur la plateforme de formation.