Le meilleur pare-feu et le meilleur filtre de messagerie ne servent à rien si quelqu’un, dans votre organisation, est convaincu d’ouvrir la porte. L’ingénierie sociale vise les personnes plutôt que la technique : la confiance, l’envie d’aider, la crainte de mal faire, l’urgence. C’est souvent le maillon le plus court de la chaîne, et les attaquants le savent.
Nous testons cette chaîne comme le ferait un attaquant réel — phishing (hameçonnage), phishing ciblé, vishing et smishing — dans un périmètre défini contractuellement et sur mandat écrit. Ce que nous mesurons, ce sont vos procédures, votre chaîne de signalement et vos mesures techniques. Les résultats sont restitués de façon agrégée : aucun collaborateur n’est nommé, noté ni classé. Contre-audit inclus, tarifs publiés, consultants nommés dans la note de cadrage.
Ils nous font confiance
Objectifs
Objectifs d’un pentest d’ingénierie sociale
Un test d’intrusion mesure la résistance de vos systèmes. Un pentest d’ingénierie sociale mesure celle de vos procédures : ce qui se passe réellement lorsqu’un message frauduleux, un appel ou un SMS arrive chez une personne pressée, un mardi à 17 h 40.
L’objectif n’est pas de prendre vos collaborateurs en défaut : une campagne bien menée ne produit pas un palmarès, mais une base de référence que l’on peut faire progresser.
Établir une base de référence. Taux de clic, taux de saisie d’identifiants, taux d’ouverture de pièce jointe — agrégés par service ou par rôle, jamais par personne.
Mesurer le signalement. Combien de destinataires ont signalé, et au bout de combien de minutes. C’est l’indicateur le plus utile : une organisation où l’on signale vite absorbe une campagne réelle, même lorsque quelqu’un a cliqué.
Éprouver la chaîne de traitement. Le signalement arrive-t-il à la bonne équipe ? Déclenche-t-il une alerte générale, une réinitialisation de mot de passe, le blocage du domaine utilisé ?
Vérifier les mesures techniques. SPF, DKIM et DMARC, filtrage des pièces jointes, réécriture des liens, blocage des macros, et surtout la résistance de votre second facteur d’authentification à un relais en temps réel.
Alimenter votre plan de sensibilisation : vos ateliers partent des messages qui ont effectivement fonctionné chez vous, pas d’un exposé générique.
Documenter vos tests. L’article 32 du RGPD attend « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures » : une campagne récurrente et tracée en est une preuve simple.
Psychologie de l’attaque
Qu’est-ce que l’ingénierie sociale, et pourquoi cela fonctionne ?
L’ingénierie sociale est une manipulation : on amène une personne à accomplir un acte contraire à l’intérêt de son organisation. L’attaquant ne casse pas un mot de passe ; il obtient qu’on le lui donne.
Plutôt qu’une faille technique, il exploite des réflexes humains parfaitement normaux — et, la plupart du temps, professionnels :
L’attaquant se présente comme une autorité : la direction, le service informatique, la banque, un cabinet comptable.
La peur et l’urgence
Il impose une action immédiate (« Votre compte sera bloqué ce soir. »).
La curiosité
Il promet quelque chose d’attirant (« Les photos de la soirée sont en ligne. »).
L’envie d’aider
Il joue le collègue en difficulté qu’il faut dépanner tout de suite.
Ces attaques deviennent difficiles à distinguer d’un échange légitime, d’autant que les modèles de langage produisent désormais un français professionnel irréprochable — voir reconnaître un phishing généré par IA. Avertir ne suffit donc plus : il faut savoir si la procédure tient quand la pression est réelle. Nous testons cette procédure — pas les personnes qui l’appliquent.
Vecteurs testés
Types de tests d’ingénierie sociale
Les attaquants combinent les canaux. Nous simulons ceux qui servent réellement dans les compromissions observées en Europe : la messagerie, le téléphone et le SMS. Chaque campagne reste dans le périmètre convenu et repose sur un mandat écrit du client, dans le cadre des articles 323-1 et suivants du code pénal.
Phishing
Par courriel, l’attaquant se fait passer pour un tiers de confiance et amène le destinataire à livrer des informations ou à cliquer sur un lien malveillant.
Smishing
Le phishing par SMS. Un message frauduleux cherche à obtenir des données personnelles ou à renvoyer la victime vers un site malveillant.
Vishing
Le phishing par téléphone. L’appelant se présente comme une institution légitime et met son interlocuteur sous pression pour obtenir une information ou une action.
Technique
Canal
Objectif de l’attaquant
Scénario type
Phishing
Courriel
Voler des identifiants, faire installer un logiciel malveillant
Faux message du service informatique demandant de réinitialiser un mot de passe via un lien frauduleux.
Phishing ciblé (spear phishing)
Courriel
Atteindre une personne ou un service précis
Message adressé à la comptabilité, reprenant un dossier réel trouvé en source ouverte et un numéro de facture plausible.
Vishing
Appel téléphonique
Obtenir une donnée sensible, faire valider une opération
Appel au nom de la banque demandant des codes de vérification pour « bloquer un paiement suspect ».
Smishing
SMS
Faire cliquer sur un lien, faire installer une application
Faux SMS d’un transporteur avec un lien de suivi de colis pointant vers un site malveillant.
Arnaque au président
Courriel et appel combinés
Déclencher un virement en urgence
Prétendue opération confidentielle annoncée par la direction, confirmée par un appel imitant sa voix.
Phishing : la boîte de réception sous tension
Le phishing reste l’accès initial le plus utilisé. Dans le périmètre convenu, nous construisons une campagne de phishing sur mesure, du message générique au scénario très travaillé. Nous mesurons les ouvertures, les clics, les saisies d’identifiants et les pièces jointes ouvertes — et, ce qui compte autant, le délai du premier signalement. Chaque chiffre est un total par groupe. Pour conduire ces campagnes vous-même et en continu, PhishGun fait la même chose en interne.
Phishing ciblé (spear phishing) et harponnage
Le phishing ciblé ne s’adresse pas à mille personnes mais à cinq, choisies parce qu’elles détiennent un accès ou une signature ; le harponnage désigne la même technique vis-à-vis d’un dirigeant. La préparation repose sur une collecte en sources ouvertes : organigramme, rôles, adresses exposées, métadonnées de documents publiés, fuites publiques — une phase détaillée dans OSINT et IA : comment les attaquants construisent un prétexte. C’est le vecteur qui distingue une organisation réellement préparée de celle qui a seulement reçu une note de service.
Vishing : le téléphone contourne tous les filtres
Le vishing, c’est le phishing par la voix. Nos consultants passent une série d’appels en se présentant comme l’assistance informatique, un responsable ou un fournisseur. La question n’est pas de savoir qui se laisse convaincre, mais si la procédure tient : rappelle-t-on sur un numéro connu ? signale-t-on l’appel ? Une voix crée plus de confiance et plus d’urgence qu’un courriel, et aucun filtre ne s’interpose.
Smishing : la menace tient dans un SMS
Le smishing exploite le fait qu’un SMS est ouvert plus vite qu’un courriel et qu’un écran de téléphone masque l’expéditeur réel comme la destination d’un lien. Nos campagnes vérifient si ces messages sont reconnus sur les terminaux professionnels ; l’autre moitié du même appareil relève d’un pentest de vos applications mobiles.
Arnaque au président : la pression hiérarchique
L’arnaque au président combine un courriel, un prétexte de confidentialité et, de plus en plus souvent, un appel dont la voix est synthétisée. Elle vise la chaîne de validation des paiements : qui peut engager une somme, avec quelle contre-signature, et ce qui se passe lorsque la demande vient « d’en haut » et interdit d’en parler. Nous la simulons sans jamais déclencher de mouvement de fonds — voir arnaque au président et deepfake vocal.
Comme pour un test d’intrusion technique, le niveau d’information que vous nous transmettez détermine ce que la campagne démontre — et ce qu’elle coûte. Les trois approches sont légitimes ; elles ne répondent simplement pas à la même question. Le choix figure dans le devis.
Boîte noire (black box)
En boîte noire, nous partons de zéro, comme un attaquant extérieur : site web, mentions légales, réseaux professionnels, dépôts de code, adresses exposées dans des fuites publiques. Cette approche répond à la question « que peut faire quelqu’un qui ne sait rien de nous ? » et produit un résultat difficile à contester en interne. Elle coûte une à trois journées de reconnaissance de plus, et l’échantillon dépend de ce qui est trouvable : il peut être partiel.
Boîte grise (grey box)
En boîte grise, vous nous transmettez la liste des adresses à cibler, un organigramme de haut niveau et les technologies de messagerie en place. C’est l’approche la plus fréquente et, à budget égal, celle qui donne les chiffres les plus exploitables : l’échantillon est maîtrisé et deux campagnes successives se comparent réellement. C’est ce que nous recommandons pour une première mission.
Boîte blanche (white box)
En boîte blanche, vous nous ouvrez la configuration : passerelle de messagerie, règles de filtrage et de réécriture de liens, politique d’authentification multifacteur, procédure de signalement. La campagne s’accompagne d’une revue de ces réglages : nous n’expliquons plus seulement qu’un message est passé, mais pourquoi, et quelle règle l’aurait arrêté. C’est l’approche la plus rentable pour une organisation qui a déjà mené une ou deux campagnes.
Périmètre
Périmètre et cadrage
Le cadrage est la moitié du travail : il fixe ce que la campagne prouvera, ce qu’elle ne prouvera pas, et les garde-fous qui évitent qu’un exercice de sécurité devienne un incident social.
Nous arrêtons avec vous :
la volumétrie et les groupes concernés (services, sites, rôles) ;
les canaux retenus : courriel seul, ou courriel, téléphone et SMS ;
le nombre et le degré de sophistication des scénarios, validés un par un avant l’envoi ;
la fenêtre de tir et le rythme d’envoi, pour ne pas saturer l’assistance informatique ;
les exclusions : personnes absentes, services en période critique, adresses partagées ;
les listes d’autorisation techniques : les poser mesure la vigilance humaine, ne pas les poser mesure aussi le filtrage ;
un interlocuteur unique de votre côté, joignable pendant toute la fenêtre, et un mot d’arrêt immédiat.
Ce que nous ne faisons pas
Aucune exfiltration réelle de données, aucun virement déclenché, aucun mot de passe conservé en clair.
Aucun prétexte à risque humain
Pas de faux licenciement, pas de fausse prime, aucun scénario reposant sur la santé, les opinions ou l’appartenance syndicale d’une personne.
Pas d’intrusion physique
Nos campagnes se limitent aux canaux à distance. Nous ne pénétrons pas dans vos locaux : voir le cadre juridique ci-dessous.
Une suite technique possible
Savoir jusqu’où un accès obtenu mènerait réellement dans votre système d’information est l’objet d’une mission Red Team, qui enchaîne accès initial et progression interne.
Notre méthodologie et le déroulement d’une campagne
Notre cadre de référence est le PTES (Penetration Testing Execution Standard) : ses phases de cadrage et de collecte de renseignement structurent la préparation, et la matrice MITRE ATT&CK nous sert à décrire les techniques d’accès initial jouées. Lorsque la campagne débouche sur un test technique des applications atteintes, ce sont les guides OWASP qui prennent le relais — WSTG pour le web, MASTG pour le mobile. Tout est écrit avant de commencer : périmètre, scénarios, fenêtre de tir, données traitées, durée de conservation et format de restitution.
1
Cadrage et note de cadrage
Nous définissons ensemble l’objectif, le périmètre, la volumétrie et les scénarios adaptés à votre secteur, et nous intervenons uniquement sur mandat écrit. La note de cadrage nomme les consultants affectés, liste les catégories de données traitées et fixe leur durée de conservation. C’est aussi le moment où vous préparez l’information des salariés et la consultation des représentants du personnel.
2
Reconnaissance en sources ouvertes
En boîte noire, nous reconstituons ce qu’un attaquant peut apprendre de vous sans rien forcer : adresses, organigramme, fournisseurs, outils visibles dans les en-têtes, métadonnées des documents publiés. Cette phase correspond au volet de collecte de renseignement du PTES ; en boîte grise, elle est raccourcie et sert surtout à rendre les prétextes crédibles.
3
Conception des scénarios et mise en place de l’infrastructure
Noms de domaine proches du vôtre, certificats, gabarits de messages, pages de collecte, numéros d’appel dédiés. Les pages n’enregistrent jamais un mot de passe : seulement qu’une saisie a eu lieu. Chaque scénario vous est soumis pour validation avant le premier envoi.
4
Exécution de la campagne
Au créneau convenu, la simulation démarre : phishing, vishing ou smishing, selon le périmètre. Nous ne relevons que ce qui est nécessaire pour évaluer les mesures : un horodatage, un identifiant de groupe, un statut. Un signalement massif ou un incident déclenche un arrêt immédiat.
5
Analyse, rapport et restitution
Vous recevez un rapport en français : synthèse managériale, chiffres agrégés par groupe, chronologie, point précis où la procédure a cédé et recommandations hiérarchisées. La restitution a lieu en visioconférence avec les consultants qui ont mené la campagne.
6
Contre-audit inclus
Une seconde campagne, sur le même périmètre et avec des scénarios équivalents, dans les 90 jours suivant la remise du rapport. Elle est comprise dans le prix initial, sans ligne supplémentaire sur la facture : c’est elle qui dit si les mesures prises ont changé quelque chose.
Une simulation d’ingénierie sociale traite des données de vos salariés. Menée correctement, elle est parfaitement licite ; menée sans préparation, elle expose l’employeur bien plus que l’attaque qu’elle imite. Voici ce que comporte un programme correct. L’essentiel de ces obligations pèse sur vous, en qualité d’employeur et de responsable de traitement : nous fournissons la matière technique et documentaire qui vous permet de les tenir.
Informer les salariés au préalable
Les salariés doivent savoir, avant toute campagne, que des exercices de ce type peuvent avoir lieu et à quelles fins. Cette information passe par la charte informatique, une note de service ou l’intranet. Le principe est simple : la simulation ne doit pas être une surprise pour l’organisation, seulement pour la personne au moment où le message arrive. C’est aussi ce qui rend le résultat défendable devant les instances représentatives.
Consulter le comité social et économique
Dès 50 salariés, l’employeur consulte le CSE avant la mise en place d’un dispositif de ce type, comme pour tout moyen susceptible de produire des données sur l’activité des salariés. Nous vous remettons la description technique qui alimente cette consultation : finalité, catégories de données, granularité de restitution, durée de conservation. Prévoyez le délai correspondant : c’est la première cause de report d’une campagne.
Des résultats agrégés, jamais nominatifs
Le rapport ne contient aucun nom, aucun classement, aucun palmarès. Les chiffres sont présentés par service, par site ou par rôle, avec un effectif minimal par groupe pour rester non identifiant. Aucune sanction individuelle ne peut être fondée sur une campagne : un dispositif qui sanctionne apprend surtout aux salariés à ne plus signaler. Un collaborateur qui ose dire « je crois que j’ai cliqué » vaut mieux que dix collaborateurs qui se taisent.
Base légale et RGPD
Le traitement repose sur l’intérêt légitime du responsable de traitement, au titre de l’article 6, paragraphe 1, point f) du RGPD : assurer la sécurité du système d’information. À prévoir de votre côté : l’inscription au registre des traitements, l’association du délégué à la protection des données et une durée de conservation courte. Nous intervenons comme sous-traitant au sens de l’article 28 et signons l’accord correspondant ; prestataire établi dans l’Union européenne, nous conservons données et rapports dans l’Union, sans transfert vers un pays tiers.
Ce que nous ne proposons pas en France
Nous ne réalisons pas d’intrusion physique dans vos locaux au titre de cette prestation : le régime applicable en France appelle des vérifications que nous n’avons pas achevées, et nous préférons l’écrire plutôt que de le vendre. Nos campagnes se limitent aux canaux à distance. Nous ne soumissionnons pas davantage sur les contrôles réservés aux opérateurs d’importance vitale.
Vous recevez un rapport en français en trois parties : une synthèse managériale lisible par un comité de direction, les résultats détaillés et un plan de remédiation hiérarchisé. Les résultats sont donnés par service, par site ou par rôle : taux d’ouverture, de clic, de saisie d’identifiants et d’ouverture de pièce jointe, mais surtout taux de signalement et délai du premier signalement — les deux chiffres sur lesquels une organisation progresse vraiment.
Il documente aussi les scénarios joués, la chronologie, le point précis où la chaîne de signalement a cédé et les mesures techniques à corriger — SPF, DKIM et DMARC, règles de filtrage, réécriture des liens, résistance du second facteur. Aucun collaborateur n’y est identifiable : le document porte sur les mesures, pas sur les personnes.
La restitution se tient en visioconférence avec les consultants qui ont mené la campagne : une session technique pour vos équipes, une session courte pour la direction. Le contre-audit est inclus dans les 90 jours suivant la remise du rapport : une seconde campagne équivalente qui mesure l’écart. Un exemple de rapport anonymisé vous est remis sur demande, avant la signature.
Sensibilisez vos collaborateurs à partir de vos propres résultats
Une campagne qui ne débouche sur rien ne change rien. Nos sessions de sensibilisation à la cybersécurité ne sont pas un exposé sur « ce qu’est le phishing » : ce sont des ateliers construits sur les messages qui ont fonctionné chez vous, animés en français.
Ce que vos équipes en retirent :
Le résultat recherché n’est pas un taux de clic à zéro — aucune organisation n’y parvient. C’est un réflexe de signalement rapide et une chaîne capable de l’absorber.
Reconnaître un phishing en conditions réelles, y compris les signaux qui disparaissent sur un écran de téléphone.
Savoir à qui signaler un message suspect, par quel canal et dans quel délai.
Comprendre pourquoi signaler compte davantage que ne pas cliquer : un signalement protège toute l’organisation.
Identifier les leviers psychologiques utilisés par les attaquants, et pourquoi ils fonctionnent aussi sur des personnes attentives.
Réagir après un clic : changer le mot de passe concerné, prévenir immédiatement, ne pas effacer le message.
Pourquoi choisir Haxoris ?
Des prestataires capables d’envoyer des courriels piégés, il en existe beaucoup. La différence se joue sur ce qui reste ensuite : des chiffres présentables à un CSE sans caviardage, un interlocuteur qui a lui-même mené la campagne, et la preuve que vos mesures ont progressé.
Une seconde campagne équivalente dans les 90 jours suivant la remise du rapport, comprise dans le prix initial. Vous obtenez un écart mesuré, pas une promesse d’amélioration.
Nos tarifs sont publics :
Nous publions nos fourchettes et notre unité de compte, le jour-homme, avant tout rendez-vous : vous comparez sur des chiffres, pas sur des impressions.
Vous savez qui teste :
Le nom, le parcours et les certifications du consultant affecté figurent dans la note de cadrage, et c’est cette même personne qui anime la restitution. Aucune équipe interchangeable.
Agrégé, jamais nominatif :
Aucun nom, aucun palmarès, aucune sanction individuelle possible à partir de nos livrables, et la documentation dont votre CSE et votre délégué à la protection des données ont besoin.
Témoignages clients
Ce que nos clients disent de nous
« L’équipe a abordé les tests d’intrusion avec professionnalisme et impartialité, tout en gardant une communication ouverte avec nos équipes DevOps et nos développeurs front-end et back-end, afin de garantir une isolation correcte des environnements de production. Le niveau des tests et la maîtrise du sujet étaient impressionnants, même en comparaison avec d’autres entreprises de niveau mondial du secteur avec lesquelles nous avons travaillé. La profondeur des tests de vulnérabilités et les constats formulés ont clairement mis en évidence nos points forts et nos axes d’amélioration, ce qui nous a aidés à relever encore nos exigences de sécurité. »
Amerge
« La décision de collaborer avec Haxoris pour le test d’intrusion de notre application web a été un excellent choix. Grâce à leur approche professionnelle, à la rigueur de leurs tests et à une communication remarquable, nous avons pu identifier et éliminer plusieurs vulnérabilités. Leur rapport final détaillé nous a donné une vision claire du niveau de sécurité de notre application ainsi que des recommandations concrètes pour la protéger. Je peux recommander Haxoris sans réserve à toute entreprise – leurs services sont d’un haut niveau professionnel et les résultats ont dépassé nos attentes. »
Ultima Payments
« Des services professionnels, une approche orientée client, nous ferions de nouveau appel à eux :) »
Digital Systems
« Nous avons choisi Haxoris pour réaliser les tests d’intrusion de nos applications web conformément aux normes ISO 27001 et PCI DSS. Leur approche a été centrée sur nos besoins métier, et nous apprécions également leur attitude orientée client et leur flexibilité. »
Piano
Foire aux questions
01Combien coûte un pentest d’ingénierie sociale ?
Le prix se calcule en jours-homme et dépend de trois variables : le nombre de canaux (courriel seul, ou courriel, téléphone et SMS), le nombre de scénarios et leur degré de personnalisation, et l’approche retenue — une campagne en boîte noire ajoute une à trois journées de reconnaissance. Contrairement à l’usage du marché français, nos fourchettes en € HT et notre tarif journalier sont publiés : vous les consultez avant de nous parler. Le détail du calcul figure dans notre article prix d’un test d’intrusion.
02Combien de jours-homme faut-il prévoir, et combien de temps dure une campagne ?
Une campagne de phishing sur un périmètre standard représente généralement 3 à 6 jours-homme ; en ajoutant le vishing, le smishing et plusieurs scénarios personnalisés, comptez 8 à 12 jours-homme. En temps calendaire, la phase active dure 1 à 3 jours et l’ensemble s’étale sur 2 à 4 semaines. Ajoutez le délai de consultation de vos instances représentatives, qui court en parallèle du cadrage.
03Boîte noire ou boîte grise : que choisir ?
Pour une première mission, la boîte grise : vous nous fournissez la liste des adresses ciblées, l’échantillon est maîtrisé et deux campagnes successives deviennent comparables — la seule façon de démontrer un progrès. La boîte noire répond à une autre question, qu’est-ce qui est trouvable sur nous ?, au prix d’une reconnaissance supplémentaire et d’un échantillon potentiellement partiel. La boîte blanche s’adresse aux organisations déjà rodées qui veulent comprendre pourquoi un message est passé, et pas seulement qu’il est passé.
04Les collaborateurs sont-ils nommés, notés ou sanctionnés ?
Non. Nous testons des procédures, des mesures techniques et une chaîne de signalement — pas des personnes. Les résultats sont restitués exclusivement de façon agrégée : par service, par site ou par rôle, avec un effectif minimal par groupe pour rester non identifiant. Ni noms, ni classement, et aucune sanction individuelle possible à partir de nos livrables. C’est aussi ce qui rend la démarche utile : un salarié qui n’a pas peur signale.
05Une simulation de phishing est-elle conforme au RGPD, et faut-il consulter le CSE ?
Oui, à condition d’en respecter le cadre. La base légale est l’intérêt légitime du responsable de traitement, au titre de l’article 6, paragraphe 1, point f) du RGPD. Trois conditions : informer les salariés au préalable (charte informatique, note de service, intranet), inscrire le traitement au registre en associant le délégué à la protection des données, et ne restituer que des résultats agrégés. Le CSE est consulté dès 50 salariés : cette démarche relève de l’employeur, et nous fournissons la description technique qui l’alimente.
06Le contre-audit est-il inclus ?
Oui, sans surcoût. Dans les 90 jours suivant la remise du rapport, nous rejouons une campagne équivalente sur le même périmètre : même volumétrie, scénarios de difficulté comparable, mêmes indicateurs. Vous obtenez un écart chiffré entre l’avant et l’après, utilisable devant une direction générale ou un auditeur. Le marché français facture généralement ce contre-audit en journées supplémentaires ; chez nous, il est dans le prix.
07Faut-il un prestataire qualifié pour ce type de test ?
Non. Aucune qualification délivrée par une autorité publique n’est exigée pour une simulation d’ingénierie sociale commandée par une entreprise privée : les dispositifs français de qualification relèvent d’une démarche volontaire. Haxoris n’en détient aucun et ne soumissionne pas sur les contrôles réservés aux opérateurs d’importance vitale. Ce que vous pouvez vérifier à la place : la méthodologie annoncée, les certifications individuelles des consultants, un exemple de rapport anonymisé, le mandat écrit, l’assurance responsabilité civile professionnelle et le traitement des données. Nous fournissons les six.
08Quel taux de clic observer lors d’une première campagne, et à quelle fréquence recommencer ?
Méfiez-vous des chiffres de référence : un taux de clic dépend entièrement du scénario, du secteur et du moment d’envoi, et un prestataire qui promet un résultat à l’avance choisit surtout un scénario facile. Le seul repère utile est votre propre base de référence ; l’indicateur à suivre est le couple taux de signalement / délai du premier signalement. Deux à quatre campagnes par an suffisent à maintenir le réflexe ; au-delà, l’exercice s’use. Entre deux campagnes, PhishGun permet de conduire vos propres envois en interne.
Testez le facteur humain avant qu’un attaquant ne s’en charge
Décrivez-nous votre périmètre et votre volumétrie : nous revenons vers vous avec un devis chiffré en jours-homme, contre-audit inclus, sans engagement. Vous préférez d’abord juger du livrable ? Demandez un exemple de rapport anonymisé.
Nous utilisons des cookies et autres traceurs pour personnaliser le contenu, proposer des fonctionnalités sociales et mesurer l’audience. Vous définissez vos choix ci-dessous.
