❶ À quoi sert le module Inbox ?
Inbox est le module Riot qui centralise tous les emails signalés par vos collaborateurs et permet à votre équipe sécurité de les traiter rapidement, avec ou sans l'aide de l'IA.
👉 Trois objectifs principaux :
Faciliter et accélérer le traitement des emails suspects signalés par les collaborateurs.
Envoyer automatiquement une notification de suivi au collaborateur après traitement du ticket (sûr, spam ou frauduleux).
Centraliser tous vos emails malveillants à un seul endroit, avec un historique complet et des indicateurs d'usage.
Avec l'option Block Threat activée (voir section 5), Inbox permet en plus de neutraliser une attaque sur toute l'organisation à partir d'un seul signalement.
❷ Comment un email arrive dans Inbox ?
Il existe trois méthodes pour qu'un email signalé remonte dans Inbox :
👉 1. Le Phishing Reporter Riot (recommandé)
Un add-in Outlook ou un bouton Gmail qui permet à vos collaborateurs de signaler un email en un seul clic depuis leur boîte mail. Compatible avec Outlook desktop, web et mobile, et Gmail web et mobile.
👉 2. Le bouton natif Outlook
Si vous préférez utiliser le bouton "Report" natif de Microsoft, nous pouvons l'intercepter pour que les emails signalés arrivent automatiquement dans Inbox.
👉 3. Le transfert d'email (forwarding)
Le collaborateur transfère l'email suspect à une adresse de réception dédiée (ou à un alias plus simple à mémoriser, par exemple [email protected]). Cette méthode est la seule qui fonctionne sur tous les clients mail, y compris Apple Mail.
👍 Bon à savoir : contrairement à Outlook, Gmail ne permet pas aux outils tiers d'intercepter les signalements faits via son bouton natif "Signaler un phishing". Les emails signalés ainsi partent directement chez Google et n'arrivent jamais dans Inbox. Pour Gmail, utilisez impérativement le Phishing Reporter Riot ou la méthode par transfert.
👉 Que se passe-t-il quand un collaborateur signale un email ?
Le collaborateur reçoit une confirmation immédiate (un message in-product avec le Phishing Reporter, ou un email de confirmation avec le bouton natif ou le transfert).
Un ticket est créé dans Inbox.
Si plusieurs collaborateurs signalent le même email, leurs signalements sont fusionnés dans un même ticket : un seul ticket à traiter par l'admin.
Le ticket est ensuite traité selon le mode de traitement configuré (voir section 4).
Une fois le ticket traité, le collaborateur reçoit une notification de suivi par email lui indiquant l'issue (sûr, spam ou frauduleux).
👉 Le statut « Flagged by »
Un ticket n'attend plus forcément qu'un employé signale un e-mail. Tous les e-mails que Slash détecte remontent désormais dans Inbox d'eux-mêmes, avec un statut dédié : Flagged by
Deux conséquences concrètes :
vous voyez les attaques que Slash a réellement interceptées, et pas seulement un compteur ;
vous pouvez filtrer un e-mail avant qu'un employé ne l'ait signalé.
⚠️ Important : il n'y a pas de reprise de l'historique. Inbox n'affiche que les e-mails signalés par Slash à partir de la mise en service de cette remontée : les détections antérieures n'apparaissent pas rétroactivement.
❸ La boîte de réception et le traitement d'un ticket
Lorsque vous ouvrez le module, vous arrivez directement dans votre boîte de réception.
👉 Naviguer dans la liste
Rechercher un email par mot-clé depuis la barre de recherche.
Filtrer par tickets ouverts ou par tickets assignés à vous-même.
Trier sur les derniers emails signalés ou la dernière activité dans Inbox.
Chaque ligne de la liste affiche : le titre de l'email, le nombre de signalements, les étiquettes appliquées, le délai depuis le signalement, et un indicateur de statut :
🔵 Bulle bleue : l'email n'a pas encore été traité.
✅ Check bleu : l'email a été traité (« marqué comme »).
👉 Traiter un email
En cliquant sur la prévisualisation, vous accédez au contenu de l'email signalé. Depuis le menu « … » en haut à droite, vous pouvez :
Marquer l'email comme Sûr, Spam ou Frauduleux.
Afficher les en-têtes en cliquant sur le texte bleu.
Télécharger l'email au format
.eml.Retirer l'email de la vue Inbox.
Lorsque l'IA est activée, les emails marqués comme frauduleux sont catégorisés en 3 types de menaces :
Usurpation d'employé
Paiement partenaire
Imitation de service
Si l'IA est désactivée, l'email est simplement marqué comme frauduleux, sans répartition par type de menace.
❹ Choisir son mode de traitement
Inbox propose trois modes de traitement, à configurer dans Paramètres > Analyse des menaces :
👉 Manuel
Tous les tickets doivent être passés en revue et décidés par les administrateurs. L'IA n'intervient pas.
👉 Manuel avec suggestions IA (mode recommandé pour démarrer)
Les tickets sont toujours traités manuellement, mais l'IA propose une pré-étiquette (sûr, spam ou frauduleux). Vous gardez la main pour valider ou modifier la suggestion. Ce mode permet à l'IA de s'entraîner sur vos cas réels avant un éventuel passage en automatique.
👉 Automatique
Tous les tickets sont traités automatiquement par l'IA. Aucune action humaine n'est requise : vous n'avez jamais de tickets en attente.
👍 Bon à savoir : l'IA d'Inbox sait analyser les emails dans toutes les langues. Elle s'appuie sur un grand modèle de langage (LLM) via Azure OpenAI, ce qui rend l'analyse multilingue native et fiable.
👉 Comment l'IA analyse-t-elle un email ?
Pour étiqueter un email comme sûr, spam ou frauduleux, l'IA combine plusieurs signaux :
Signes de phishing : fautes d'orthographe, demandes d'informations personnelles, incitations à agir rapidement.
Examen technique : expéditeur, destinataire, objet, contenu, DKIM, DMARC, SPF, SCL.
Adresse IP et domaine de l'expéditeur, comparés à des listes d'IP et de domaines malveillants connus.
Activité suspecte : adresse d'expéditeur falsifiée, adresse de réponse différente, etc.
En-têtes de l'email comparés à ceux d'emails frauduleux connus.
Plateforme de renseignement sur les menaces pour les IP malveillantes associées.
Corps de l'email et liens : langage suspect, demandes urgentes, liens douteux et certificats de sécurité.
❺ Démultiplier l'effet : Block Threat, allowlist & blocklist
Trois paramètres permettent d'aller plus loin qu'un simple traitement ticket par ticket.
👉 Block Threat
Lorsque cette option est activée, un seul signalement protège toute l'organisation :
L'email signalé est immédiatement retiré de la boîte de réception du collaborateur qui le signale.
Une fois le ticket confirmé comme malveillant (manuellement ou par l'IA), l'email est retiré de la boîte de tous les collaborateurs qui l'ont reçu.
Les futurs emails issus de la même attaque sont automatiquement retirés à l'arrivée, en temps réel.
Si un admin reclasse l'email comme sûr, les emails sont restaurés dans les boîtes de réception.
👍 Bon à savoir : sur Microsoft 365, les emails retirés sont placés dans un dossier masqué à vos collaborateurs : ils ne peuvent plus y accéder depuis leur messagerie. Sur Gmail, ce n'est pas possible : les emails retirés sont placés dans les spams. Les emails de simulation Riot font exception : ils sont toujours déplacés vers la corbeille.
👍 Bon à savoir : une attaque est identifiée par la combinaison adresse de l'expéditeur + objet. Le système gère les variations aléatoires (noms, identifiants, chaînes aléatoires) que les attaquants insèrent dans l'objet pour contourner les filtres classiques. L'activation de Block Threat nécessite les permissions de lecture/écriture sur les boîtes mail.
👉 Expéditeurs autorisés (allowlist)
Les expéditeurs ou domaines ajoutés à cette liste sont toujours considérés comme sûrs. Si un collaborateur signale un email d'un expéditeur autorisé, le Phishing Reporter lui indique immédiatement que l'expéditeur est considéré comme fiable par votre organisation.
👉 Expéditeurs bloqués (blocklist)
Les expéditeurs ou domaines ajoutés à cette liste sont toujours considérés comme malveillants. Si un collaborateur signale un email d'un expéditeur bloqué, le Phishing Reporter lui indique immédiatement que l'expéditeur est connu comme malveillant. Avec Block Threat activé, les emails d'expéditeurs bloqués sont automatiquement retirés dès leur réception (dossier masqué sur Microsoft 365, spams sur Gmail), sans création de ticket ni revue manuelle.
❻ Détails et activité d'un ticket
Le panneau situé à droite de l'écran vous donne tout le contexte autour du ticket :
👉 Détails
Le ou les collaborateur(s) ayant signalé l'email.
👉 Activité
L'historique complet du traitement de l'email, particulièrement utile pour fournir un second avis ou suivre l'évolution depuis le signalement. Vous y retrouvez également le commentaire laissé par le collaborateur au moment du signalement.
❼ Configurer ses notifications admin
Chaque administrateur peut configurer ses notifications dans son profil (cliquer sur son nom en bas à gauche de son compte Riot) :
Envoi immédiat (Send right away) : un email dès qu'un ticket est créé, qu'un ticket lui est assigné, ou (selon la configuration) qu'il y a une activité de signalement importante sur un email.
Envoi groupé (Send in digest) : un email récapitulatif mensuel.
👉 Distribution automatique (option supplémentaire)
Si votre équipe n'a pas de process interne défini, les tickets peuvent être assignés automatiquement et aléatoirement à un groupe d'administrateurs (par exemple, tous les admins sécurité). Chaque admin peut ensuite choisir de ne recevoir des notifications que lorsqu'un ticket lui est effectivement assigné, utile pour répartir la charge sans saturer tout le monde.
👍 Bon à savoir : aujourd'hui, les notifications admin se font uniquement par email. Slack, Teams et Google Chat ne sont pas encore disponibles comme canaux de notification admin.
❽ Les aperçus (Insights)
Depuis l'onglet Insights, vous visualisez les données clés extraites du traitement des emails signalés :
Notion de période : les données se mettent automatiquement à jour selon la période sélectionnée.
Tickets ouverts : nombre de tickets non encore traités.
Utilisation : pourcentage de collaborateurs ayant utilisé le Phishing Reporter et/ou le transfert d'email sur la période.
Précision du signalement : pourcentage d'emails signalés effectivement considérés comme une menace (marqués comme frauduleux par un admin ou par l'IA).
Répartition par type de menace : pour les emails frauduleux, visibilité sur la répartition des menaces en pourcentage.
Top reporters : les collaborateurs qui ont signalé le plus d'emails effectivement identifiés comme malveillants.
Les statistiques sont téléchargeables au format CSV directement dans Inbox, et accessibles via notre API publique.
À retenir
Inbox centralise tous les emails signalés par vos collaborateurs, quelle que soit la méthode utilisée (Phishing Reporter, bouton natif Outlook, ou transfert).
Trois modes de traitement disponibles : Manuel, Manuel avec suggestions IA, ou Automatique.
L'IA analyse les emails dans toutes les langues et catégorise les emails frauduleux en 3 types de menaces.
Block Threat démultiplie l'effet : à partir d'un seul signalement, l'attaque est neutralisée sur toute l'organisation.
Les allowlists/blocklists permettent de fiabiliser et accélérer le traitement de certains expéditeurs.