❶ Qu'est-ce que Slash ?

Slash est la solution de Riot qui protège vos collaborateurs contre les attaques de phishing sophistiquées et ciblées qui passent au travers des filtres natifs de Google ou Microsoft.

Slash s'installe en complément de votre messagerie (Gmail ou Outlook) et s'appuie sur des modèles de langage (LLMs) pour analyser le contexte et l'intention de chaque email entrant. Lorsqu'un email est jugé suspicieux, une bannière de détection est injectée directement dans le corps du message pour alerter le collaborateur.

👉 Les trois fonctionnalités clés :

Protection des emails : analyse en temps réel de tous les emails entrants.
Alerte in-situ : la bannière s'affiche directement dans la boîte mail du collaborateur, sans changement de contexte.
Protection contre l'usurpation d'identité : lorsque Slash soupçonne qu'un collaborateur est usurpé, Albert demande automatiquement confirmation à la personne concernée via un canal sécurisé (Slack, Teams ou Google Chat).

👍 Bon à savoir : Slash complète vos défenses existantes sans interférer avec elles. Il fonctionne aux côtés de Microsoft Defender, Mimecast, Proofpoint ou tout autre filtre amont, car il s'appuie sur les API Gmail/Outlook et agit directement dans la boîte mail de l'utilisateur.

❷ Comment fonctionne la détection ?

Slash repose sur un modèle hybride qui combine deux approches complémentaires :

Analyse contextuelle des métadonnées : évaluation de la sécurité des domaines, des URLs et des en-têtes, et estimation de la fiabilité des expéditeurs externes en fonction de la fréquence des échanges passés.
Analyse sémantique : basée sur des modèles de langage (LLMs), elle identifie les scénarios de phishing typiques à partir du contexte et du ton du message.

👉 Les scénarios de phishing détectés :

Usurpation de collaborateur — l'expéditeur se fait passer pour un collaborateur interne pour manipuler le destinataire et l'inciter à effectuer une action sensible.
Imitation de service — l'email imite un service en ligne connu (DocuSign, Microsoft, etc.) pour dérober des identifiants.
Tentative d'extorsion — message menaçant exigeant un paiement, sous prétexte de détenir des informations compromettantes.
Fraude au paiement partenaire (avertissement) — tentative d'usurpation d'un partenaire commercial pour demander un paiement ou un changement de coordonnées bancaires.
Indicateurs suspects (avertissement) — l'email présente des signaux techniques associés au phishing, sans correspondre à un scénario précis.

👍 Bon à savoir : contrairement à beaucoup de solutions, Slash ne déclenche pas d'alerte automatique à chaque nouvel expéditeur. Seuls les emails jugés potentiellement malveillants génèrent une bannière, ce qui évite de saturer les collaborateurs d'alertes inutiles et préserve la valeur du signal.

❸ La bannière de détection

Du point de vue du collaborateur, les alertes Slash apparaissent directement dans le corps de l'email sous forme de bannière interactive.

Chaque bannière contient :

Une explication contextuelle : une courte description du motif de l'alerte (ton suspect, sentiment d'urgence, incohérence de domaine, URL douteuse, service imité…). Cela aide le collaborateur à comprendre le risque et développe progressivement ses réflexes de sécurité.
Trois actions possibles directement depuis la bannière.

❹ Les trois actions disponibles depuis la bannière

👉 Signaler (Report)

L'email est immédiatement déplacé vers les spams du collaborateur qui le signale.
Un ticket est créé dans Inbox (ou mis à jour si un autre collaborateur a déjà signalé le même email).
Si l'option Block Threat est activée dans Inbox et que le ticket est confirmé comme malveillant, l'email est déplacé vers les spams de tous les collaborateurs qui l'ont reçu, et les futurs emails issus de la même attaque sont bloqués à l'arrivée.

👉 Je fais confiance à cet expéditeur (looks safe)

La bannière disparaît et le collaborateur peut répondre normalement à l'email.
Slash mémorise que le domaine de l'expéditeur est considéré comme sûr pour ce collaborateur uniquement — les autres collaborateurs continueront de voir la bannière si l'expéditeur les contacte.

👉 En savoir plus (Ask Albert)

Une conversation avec Albert s'ouvre dans une nouvelle fenêtre.
Albert explique pourquoi l'email semble suspect et pourquoi le collaborateur ne doit pas y répondre ni cliquer sur les liens.

❺ Le workflow de protection contre l'usurpation interne

Slash propose un workflow de vérification automatique lorsqu'une usurpation de l'identité d'un collaborateur interne est détectée. Cette fonctionnalité s'active dans les paramètres de Slash (option Auto Impersonation Protection).

👉 Comment ça fonctionne ?

Lorsqu'une usurpation interne est suspectée, Albert contacte automatiquement le collaborateur usurpé via un canal sécurisé (Slack, Teams ou Google Chat) pour vérifier la légitimité de l'email :

Si le collaborateur confirme l'usurpation (« No, I'm being impersonated ») : l'email est immédiatement déplacé vers les spams de toutes les boîtes mail concernées, et un ticket clos est créé dans Inbox pour suivi.
Si le collaborateur confirme la légitimité (« Yep, that was me ») : la bannière est retirée et l'email reste dans la boîte de réception. Aucun ticket n'est créé.

👍 Bon à savoir : contrairement aux autres scénarios où le collaborateur doit signaler manuellement l'email depuis la bannière, le workflow d'usurpation est entièrement automatique. Albert déclenche la vérification sans attendre d'action de la part de l'utilisateur.

❻ L'analyse des liens et des QR codes

Une partie de la détection porte sur ce que contient l'e-mail plutôt que sur la manière dont il est écrit.

👉 Les liens sont confrontés aux bases de menaces connues

Chaque lien présent dans un e-mail est vérifié auprès de Google Safe Browsing, la base de données de sites de phishing et de logiciels malveillants que vous connaissez déjà pour les avertissements affichés par Chrome sur les sites dangereux.

En cas de correspondance, l'e-mail est signalé par une bannière Slash ou classé comme malveillant par Inbox.

👍 Bon à savoir : cette vérification s'applique à tous les e-mails, y compris les échanges avec vos collègues ou vos partenaires de confiance. C'est précisément ce qui permet de détecter une boîte mail compromise : un expéditeur légitime dont le compte a été piraté envoie de vrais liens malveillants depuis une adresse dont personne ne se méfie.

👉 Les QR codes sont décodés

Slash extrait l'URL cachée derrière un QR code, qu'il se trouve dans le corps de l'e-mail ou dans une pièce jointe de type image, puis lui applique la même analyse qu'à n'importe quel autre lien.

C'est une réponse directe au quishing : cette technique consiste à remplacer le lien par une image, précisément pour échapper aux filtres qui n'analysent que du texte.

👍 Bon à savoir : vous pouvez survoler chaque explication affichée dans une bannière pour voir l'extrait exact de l'e-mail qui l'a déclenchée. Utile quand un employé vous demande pourquoi son message a été signalé.

❼ Compatibilité

Slash nécessite que la boîte mail soit hébergée par Gmail ou Outlook, car nous utilisons leurs API pour injecter les bannières. Une fois injectée, la bannière s'affiche correctement sur tous les clients mail, y compris :

Apple Mail (macOS, iOS)
Outlook desktop, web et mobile
Gmail web et mobile (Android, iOS)
Tout autre client desktop ou mobile

Il n'y a aucun délai ajouté à la réception de l'email pendant l'analyse Slash.

À retenir

Slash est une couche complémentaire qui s'ajoute à vos défenses existantes (Defender, Mimecast, Proofpoint, etc.).
L'analyse repose sur un modèle hybride : métadonnées + sémantique (LLMs).
La bannière propose trois actions claires : Signaler, Faire confiance, En savoir plus.
Le workflow d'usurpation interne est automatique et déclenche une vérification via Slack, Teams ou Google Chat.

Comprendre Slash : les bannières de détection