Les attaques par rappel téléphonique (callback)

👍 Bon à savoir : la fonctionnalité de "callback" est disponible sur l'offre Simulation Premium, contenant notamment la fonctionnalité Smishing.

Une attaque par rappel téléphonique ne contient aucun lien. L'e-mail ou le SMS invite l'employé à appeler un numéro de téléphone ; c'est un serveur vocal de Riot qui décroche. Les attaquants réels utilisent ce schéma parce que la confiance s'installe plus vite à l'oral, et parce qu'un message sans lien passe les filtres qui analysent les URL.

1️⃣ Ajouter un modèle callback à une campagne

Dans le catalogue de modèles, filtrez sur le type Callback, puis ajoutez le modèle à votre campagne. Vous pouvez mélanger des modèles callback avec des modèles classiques dans une même campagne.

Un modèle callback ressemble à un modèle habituel, à deux différences : l'appel à l'action est un numéro de téléphone au lieu d'un lien, et les modèles par e-mail comportent un code de vérification à 6 chiffres.

👍 Bon à savoir : le code de vérification n'existe que pour les modèles par e-mail. En SMS, Riot connaît déjà le numéro de mobile de l'employé et l'identifie automatiquement quand il rappelle.

2️⃣ Ce qui se passe quand l'employé rappelle

👉 Depuis un SMS

Le numéro appelant est reconnu : l'employé est immédiatement considéré comme piégé, et la remédiation d'Albert est diffusée pendant l'appel.

👉 Depuis un e-mail

Si le numéro appelant correspond à celui connu pour l'employé, il est piégé immédiatement et la remédiation démarre.
Si le numéro n'est pas reconnu, l'employé doit saisir le code à 6 chiffres. Code correct : il est piégé, la remédiation démarre.

👉 Après trois codes erronés

L'appel se termine et l'attaque reste comptée comme non réussie. L'employé n'apparaît pas comme piégé.

3️⃣ La remédiation pendant l'appel

La formation de remédiation est diffusée automatiquement au téléphone. Elle est considérée comme terminée si l'employé reste en ligne plus de 30 secondes. S'il raccroche avant, ou s'il n'a pas été piégé, il repart dans le parcours de remédiation habituel.

4️⃣ Ce que vous voyez dans le suivi

Quatre événements apparaissent dans l'onglet d'activité d'une attaque callback :

le numéro a été appelé ;
le code de vérification a été saisi ;
la remédiation a démarré ;
la remédiation est terminée.

👍 Bon à savoir : les appels ne sont ni enregistrés ni retranscrits. Vous disposez uniquement de l'horodatage de ces événements — il n'est pas possible de réécouter un appel. C'est une contrainte à connaître si vous imaginiez utiliser les appels comme support de revue, mais c'est aussi ce qui rend la fonctionnalité acceptable vis-à-vis de vos instances représentatives du personnel.

5️⃣ Quel numéro appelle vos employés

Riot choisit un numéro local automatiquement, à partir du profil de l'employé, dans cet ordre : l'indicatif de son numéro de téléphone, puis son fuseau horaire, puis sa langue.

Pour les modèles imitant une marque précise, un numéro dédié est utilisé par marque, afin que le serveur vocal annonce le bon nom de service avant d'identifier l'employé.

Quand un employé est visé par plusieurs attaques callback, Riot fait tourner les numéros disponibles pour son pays, afin que chaque attaque reste identifiable séparément.

💡 Notre recommandation : synchronisez les numéros de téléphone de vos employés dans un format propre avant de lancer une campagne callback. C'est ce qui améliore le plus la précision du routage, et ce qui permet à l'employé d'être identifié sans avoir à saisir de code.

6️⃣ Disponibilité et couverture

Les attaques par rappel téléphonique sont activées automatiquement pour les clients disposant du module Smishing.

Des numéros locaux existent aujourd'hui en France et au Royaume-Uni :

Belgique, Luxembourg, Monaco et les DOM/TOM français reçoivent un appel depuis un numéro français ;
tous les autres pays reçoivent un appel depuis un numéro britannique.

⚠️ Important : hors des pays couverts par un numéro local, l'indicatif étranger est un indice que certains employés repéreront. Tenez-en compte au moment d'interpréter les résultats d'une campagne callback sur ces populations.

7️⃣ Ce qui n'est pas personnalisable

Le script audio est commun à un service donné, et non propre à chaque modèle.
Les numéros de téléphone appartiennent à Riot : vous ne pouvez pas utiliser les vôtres.
Le nombre de tentatives de code (3) et le seuil de remédiation terminée (30 secondes) sont fixes.

8️⃣ Une limite à garder en tête

Après deux ou trois campagnes, vos employés reconnaissent la voix et le déroulé de l'appel. La difficulté réelle baisse avec le temps. Alternez les modèles et espacez les campagnes callback pour conserver leur intérêt.

À retenir

Aucun lien : l'employé est invité à appeler un numéro, et un serveur vocal décroche.
En e-mail, un code à 6 chiffres identifie l'employé si son numéro n'est pas reconnu ; trois erreurs et l'attaque reste non réussie.
La remédiation est diffusée pendant l'appel, validée au-delà de 30 secondes en ligne.
Aucun appel n'est enregistré ni retranscrit.
Inclus avec le module Smishing ; numéros locaux en France et au Royaume-Uni.