La couleur d'un statut ne dépend pas seulement de la dernière action réalisée par le collaborateur (par exemple « Identifiants soumis »). Elle indique surtout si le collaborateur est, au final, comptabilisé comme vulnérable (compromis) ou non.
Deux collaborateurs peuvent donc afficher le même statut « Identifiants soumis » avec deux couleurs différentes :
Orange : une action a bien été détectée (clic sur le lien, voire saisie d'identifiants), mais le collaborateur n'est pas comptabilisé comme vulnérable.
Rouge : le collaborateur est comptabilisé comme vulnérable / compromis.
Pourquoi un collaborateur qui a soumis ses identifiants n'est-il pas toujours compté comme vulnérable ?
1. Il a signalé l'email de phishing. C'est le cas le plus fréquent. Si un collaborateur signale l'email simulé comme étant du phishing, il n'est pas comptabilisé comme vulnérable — même s'il a soumis ses identifiants avant ou après ce signalement. Le signalement est le bon réflexe que l'on cherche à valoriser : il est donc prioritaire sur la soumission d'identifiants. Le collaborateur apparaît alors en orange.
2. Le modèle utilisait une étape MFA (double authentification) non franchie. Lorsqu'un modèle de phishing inclut une étape de connexion MFA / 2FA, le collaborateur n'est considéré comme compromis que s'il va jusqu'au bout, c'est-à-dire jusqu'à saisir son code 2FA. S'il s'arrête au mot de passe sans renseigner le code, il n'est pas comptabilisé comme vulnérable.
💡 Bon à savoir : l'indicateur de vulnérabilité ne compte que les collaborateurs qui se sont fait piéger et qui n'ont pas signalé l'email. Un collaborateur qui signale est volontairement exclu de ce décompte, même si un clic ou une saisie a été enregistré par ailleurs.
Comment vérifier ce qui s'est passé pour un collaborateur précis ?
Depuis la campagne, ouvrez le détail du collaborateur concerné : vous y verrez la chronologie horodatée de ses actions (email ouvert, lien cliqué, identifiants soumis, email signalé). Si un signalement y figure, c'est lui qui explique l'exclusion du décompte de vulnérabilité.
À retenir
La couleur reflète le statut de vulnérabilité final, pas seulement la dernière action enregistrée.
Un collaborateur qui signale l'email n'est jamais compté comme vulnérable, même s'il a aussi soumis ses identifiants — le signalement est prioritaire.
Avec un modèle MFA, seul le collaborateur qui saisit son code 2FA est considéré comme compromis.
Décompte « vulnérables » = collaborateurs piégés qui n'ont pas signalé.