❶ Qu'est-ce que Slash ?
Slash est la solution de Riot qui protège vos collaborateurs contre les attaques de phishing sophistiquées et ciblées qui passent au travers des filtres natifs de Google ou Microsoft.
Slash s'installe en complément de votre messagerie (Gmail ou Outlook) et s'appuie sur des modèles de langage (LLM) pour analyser le contexte et l'intention de chaque e-mail entrant. Lorsqu'un e-mail est jugé suspect, une bannière de détection est injectée directement dans le corps du message pour alerter le collaborateur.
👉 Les trois fonctionnalités clés :
Protection des e-mails : analyse en temps réel de tous les e-mails entrants.
Alerte in situ : la bannière s'affiche directement dans la boîte mail du collaborateur, sans changement de contexte.
Protection contre l'usurpation d'identité : lorsque Slash soupçonne qu'un collaborateur est usurpé, Albert demande automatiquement confirmation à la personne concernée via un canal sécurisé (Slack, Teams ou Google Chat).
👍 Bon à savoir : Slash complète vos défenses existantes sans interférer avec elles. Il fonctionne aux côtés de Microsoft Defender, Mimecast, Proofpoint ou tout autre filtre amont, car il s'appuie sur les API Gmail et Outlook et agit directement dans la boîte mail de l'utilisateur.
❷ Comment fonctionne la détection ?
Slash repose sur un modèle hybride qui combine deux approches complémentaires :
Analyse contextuelle des métadonnées : évaluation de la sécurité des domaines, des URL et des headers, et estimation de la fiabilité des expéditeurs externes en fonction de la fréquence des échanges passés.
Analyse sémantique : basée sur des modèles de langage (LLM), elle identifie les scénarios de phishing typiques à partir du contexte et du ton du message.
👉 Les scénarios de phishing détectés :
Usurpation de collaborateur : l'expéditeur se fait passer pour un collaborateur interne pour manipuler le destinataire et l'inciter à effectuer une action sensible.
Imitation de service : l'e-mail imite un service en ligne connu (DocuSign, Microsoft, etc.) pour dérober des identifiants.
Tentative d'extorsion : message menaçant exigeant un paiement, sous prétexte de détenir des informations compromettantes.
Fraude au paiement partenaire (avertissement) : tentative d'usurpation d'un partenaire commercial pour demander un paiement ou un changement de coordonnées bancaires.
Indicateurs suspects (avertissement) : l'e-mail présente des signaux techniques associés au phishing, sans correspondre à un scénario précis.
👍 Bon à savoir : contrairement à beaucoup de solutions, Slash ne déclenche pas d'alerte automatique à chaque nouvel expéditeur. Seuls les e-mails jugés potentiellement malveillants génèrent une bannière, ce qui évite de saturer les collaborateurs d'alertes inutiles et préserve la valeur du signal.
❸ La bannière de détection
Du point de vue du collaborateur, les alertes Slash apparaissent directement dans le corps de l'e-mail sous forme de bannière interactive.
Chaque bannière contient :
Une explication contextuelle : une courte description du motif de l'alerte (ton suspect, sentiment d'urgence, incohérence de domaine, URL douteuse, service imité…). Elle aide le collaborateur à comprendre le risque et développe progressivement ses réflexes de sécurité.
Trois actions possibles directement depuis la bannière.
❹ Les modes de protection et Inbox
Le mode de protection de Slash se règle dans Inbox > Paramètres > Slash. Il détermine ce que Slash fait d'un e-mail détecté :
Warning : une bannière est affichée dans chaque e-mail détecté, qu'il soit malveillant ou suspect. Aucun e-mail n'est bloqué automatiquement. C'est le mode décrit dans la suite de cet article.
Auto-remediation : les e-mails malveillants évidents sont retirés de la boîte du collaborateur dès leur détection, avant qu'il ne les voie : aucun risque de clic ou de réponse. Slash ne bloque que les e-mails dont il est extrêmement sûr, pour éviter de bloquer par erreur un e-mail légitime. Les e-mails qui appellent seulement à la prudence, comme une demande de changement de coordonnées bancaires, gardent leur bannière. Sur Microsoft 365, l'e-mail bloqué est placé dans un dossier masqué aux collaborateurs ; sur Gmail, il est placé dans les spams. Chaque e-mail bloqué apparaît dans Inbox : vous gardez le contrôle.
Audit : Slash analyse tous les e-mails entrants mais n'entreprend aucune action : pas de bannière, aucun e-mail déplacé, vos collaborateurs ne voient rien. Il permet de tester Slash sans les perturber. Pour le détail, consultez l'article Slash : le mode Audit.
👉 Les e-mails détectés remontent dans Inbox
Chaque e-mail détecté par Slash apparaît automatiquement dans Inbox, sans attendre qu'un collaborateur le signale. Il reçoit le statut Flagged : détecté par Slash et pas encore examiné par un administrateur. Le filtre Flagged by Slash permet de les afficher tous, et un administrateur peut agir sur un e-mail avant même qu'il soit signalé.
👍 Bon à savoir : Inbox n'affiche que les e-mails détectés par Slash depuis la mise en place de cette fonctionnalité : il n'y a pas de reprise de l'historique.
❺ Les trois actions disponibles depuis la bannière
👉 Signaler (Report)
L'e-mail est immédiatement retiré de la boîte de réception du collaborateur qui le signale (dossier masqué sur Microsoft 365, spams sur Gmail).
Un ticket est créé dans Inbox (ou mis à jour si un autre collaborateur a déjà signalé le même e-mail).
Si l'option Block Threat est activée dans Inbox et que le ticket est confirmé comme malveillant, l'e-mail est retiré de la boîte de tous les collaborateurs qui l'ont reçu, et les futurs e-mails issus de la même attaque sont bloqués à l'arrivée.
👍 Bon à savoir : sur Microsoft 365, les e-mails retirés sont placés dans un dossier masqué à vos collaborateurs : ils ne peuvent plus y accéder depuis leur messagerie. Sur Gmail, ce n'est pas possible : les e-mails retirés sont placés dans les spams. Les e-mails de simulation Riot font exception : ils sont toujours déplacés vers la corbeille.
👉 Je fais confiance à cet expéditeur (Looks safe)
La bannière disparaît et le collaborateur peut répondre normalement à l'e-mail.
Slash mémorise que le domaine de l'expéditeur est considéré comme sûr pour ce collaborateur uniquement : les autres collaborateurs continuent de voir la bannière si l'expéditeur les contacte.
👉 En savoir plus (Ask Albert)
Le collaborateur ouvre l'e-mail signalé, avec Albert à ses côtés.
Les éléments repérés par Slash sont surlignés dans l'e-mail : l'expéditeur, un lien, une phrase. En cliquant sur l'un d'eux, le collaborateur demande à Albert ce qui ne va pas, et Albert le lui explique.
Le collaborateur peut continuer à poser des questions, en choisissant parmi les questions suggérées ou en écrivant les siennes.
La conversation est sauvegardée : le collaborateur peut la reprendre plus tard.
👍 Bon à savoir : le collaborateur ne voit plus seulement ce que Slash a détecté, il peut montrer du doigt la partie suspecte et demander pourquoi. C'est ce qui fait de chaque alerte un moment d'apprentissage.
❻ Le workflow de protection contre l'usurpation interne
Slash propose un workflow de vérification automatique lorsqu'une usurpation de l'identité d'un collaborateur interne est détectée. Cette fonctionnalité s'active dans les paramètres de Slash (option Auto Impersonation Protection).
👉 Comment ça fonctionne ?
Lorsqu'une usurpation interne est suspectée, Albert contacte automatiquement le collaborateur usurpé via un canal sécurisé (Slack, Teams ou Google Chat) pour vérifier la légitimité de l'e-mail :
Si le collaborateur confirme l'usurpation (« No, I'm being impersonated ») : l'e-mail est immédiatement retiré de toutes les boîtes mail concernées (dossier masqué sur Microsoft 365, spams sur Gmail), et un ticket clos est créé dans Inbox pour suivi.
Si le collaborateur confirme la légitimité (« Yep, that was me ») : la bannière est retirée et l'e-mail reste dans la boîte de réception. Aucun ticket n'est créé.
👍 Bon à savoir : contrairement aux autres scénarios où le collaborateur doit signaler manuellement l'e-mail depuis la bannière, le workflow d'usurpation est entièrement automatique. Albert déclenche la vérification sans attendre d'action de la part de l'utilisateur.
❼ L'analyse des liens et des QR codes
Une partie de la détection porte sur ce que contient l'e-mail plutôt que sur la manière dont il est écrit.
👉 Les liens sont confrontés aux bases de menaces connues
Chaque lien présent dans un e-mail est vérifié auprès de Google Safe Browsing, la base de données de sites de phishing et de logiciels malveillants que vous connaissez déjà pour les avertissements affichés par Chrome sur les sites dangereux.
En cas de correspondance, l'e-mail est signalé par une bannière Slash ou classé comme malveillant par Inbox.
👍 Bon à savoir : cette vérification s'applique à tous les e-mails, y compris les échanges avec vos collègues ou vos partenaires de confiance. C'est précisément ce qui permet de détecter une boîte mail compromise : un expéditeur légitime dont le compte a été piraté envoie de vrais liens malveillants depuis une adresse dont personne ne se méfie.
👉 Les QR codes sont décodés
Slash extrait l'URL cachée derrière un QR code, qu'il se trouve dans le corps de l'e-mail ou dans une pièce jointe de type image, puis lui applique la même analyse qu'à n'importe quel autre lien.
C'est une réponse directe au quishing : cette technique consiste à remplacer le lien par une image, précisément pour échapper aux filtres qui n'analysent que du texte.
👍 Bon à savoir : vous pouvez survoler chaque explication affichée dans une bannière pour voir l'extrait exact de l'e-mail qui l'a déclenchée. Utile quand un employé vous demande pourquoi son message a été signalé.
❽ Compatibilité
Slash nécessite que la boîte mail soit hébergée par Gmail ou Outlook, car il utilise leurs API pour injecter les bannières. Une fois injectée, la bannière s'affiche correctement sur tous les clients mail, y compris :
Apple Mail (macOS, iOS) ;
Outlook desktop, web et mobile ;
Gmail web et mobile (Android, iOS) ;
tout autre client desktop ou mobile.
L'analyse Slash n'ajoute aucun délai à la réception de l'e-mail.
À retenir
Slash est une couche complémentaire qui s'ajoute à vos défenses existantes (Defender, Mimecast, Proofpoint, etc.).
L'analyse repose sur un modèle hybride : métadonnées et analyse sémantique (LLM).
Le mode de protection se règle dans Inbox > Paramètres > Slash : Warning (bannières), Auto-remediation (blocage des e-mails malveillants évidents) ou Audit (analyse sans aucune action visible par les collaborateurs).
Tous les e-mails détectés remontent dans Inbox avec le statut Flagged.
La bannière propose trois actions : Signaler, Faire confiance, En savoir plus.
« En savoir plus » ouvre l'e-mail avec les éléments suspects surlignés : le collaborateur peut interroger Albert sur chacun d'eux.
Le workflow d'usurpation interne est automatique et déclenche une vérification via Slack, Teams ou Google Chat.