La difficulté des modèles : Facile, Moyen, Difficile

1️⃣ Ce que mesure la difficulté

Chaque modèle de simulation porte une note : Facile, Moyen ou Difficile. Elle indique à quel point il est ardu, pour un employé ordinaire, de repérer qu'il s'agit d'un phishing.

La note est calculée automatiquement à partir du contenu du modèle : objet, corps du message, nom et domaine de l'expéditeur, liens et pièces jointes. Elle s'appuie sur la Phish Scale du NIST, le cadre de référence publié par l'institut américain de normalisation pour évaluer le réalisme d'un phishing. Riot en applique un sous-ensemble de 7 indices, calibré sur son propre catalogue et son historique d'attaques.

Tous les modèles ont une difficulté : il n'existe pas d'état « non évalué ».

2️⃣ Les 7 indices analysés

Certains indices facilitent la détection et tirent la note vers Facile, d'autres la rendent plus difficile et tirent vers Difficile. Ils ne pèsent pas tous le même poids.

Le domaine de l'expéditeur — une faute grossière dans le domaine se repère d'un coup d'œil ; une lettre subtilement substituée passe inaperçue.
L'orthographe et la grammaire — un texte truffé de fautes est un signal classique ; un texte professionnel supprime cet indice.
La pertinence du prétexte — un sujet qui ne concerne qu'une poignée de métiers est écarté sans réfléchir ; un prétexte qui imite une tâche quotidienne (signer un document, mot de passe expiré) déclenche une réaction rapide.
L'urgence ou l'autorité invoquée — une échéance explicite, une menace de suspension ou une prétendue demande de la direction poussent à cliquer avant de vérifier.
La personnalisation — un « Cher client » s'ignore facilement ; citer nommément un collègue déclenche une confiance sociale rarement remise en question.
La marque imitée — une marque inconnue éveille immédiatement la méfiance ; un outil de travail utilisé tous les jours ne peut pas être ignoré sans conséquence.
Le lien ou la pièce jointe — un fichier exécutable ou une URL qui ne correspond pas à la marque sont des signaux connus ; un document anodin ou un lien derrière un bouton ne présentent rien de visiblement risqué.

👍 Bon à savoir : vous pouvez consulter le détail des indices sur la fiche d'un modèle. C'est la réponse à la question « pourquoi ce modèle est-il noté Difficile ? » : la fiche liste les indices qu'un employé pourrait — ou ne pourrait pas — remarquer.

3️⃣ Un même modèle peut avoir deux difficultés

La difficulté est calculée pour chaque combinaison modèle + service, et non pour le modèle seul.

Le même message envoyé au nom de deux services différents n'obtient donc pas forcément la même note : le domaine de l'expéditeur change, la notoriété de la marque aussi. La note reflète l'attaque telle qu'elle sera réellement envoyée, contenu et expéditeur compris.

Si deux modèles vous semblent identiques mais affichent des notes différentes, regardez le service et le domaine de l'expéditeur : c'est presque toujours de là que vient l'écart.

4️⃣ Où la note apparaît

Dans le catalogue de modèles, au moment de composer une campagne : un filtre latéral vous permet de ne montrer que les modèles Faciles, Moyens ou Difficiles, avec le nombre disponible pour chacun.
Sur la fiche de chaque modèle.
Dans le rapport de campagne, où le taux de vulnérabilité est ventilé par niveau de difficulté.

5️⃣ La note n'est pas modifiable

La difficulté est calculée automatiquement et ne peut pas être forcée. C'est volontaire : une note sur laquelle deux administrateurs pourraient ne pas être d'accord ne serait pas une note. C'est cette contrainte qui rend les comparaisons possibles d'une campagne à l'autre, et entre le catalogue Riot et vos modèles personnalisés.

Vos modèles personnalisés sont notés eux aussi, automatiquement, à chaque enregistrement. Modifier le contenu, les Smart Variables ou le domaine d'expéditeur d'un modèle peut donc en faire évoluer la note.

6️⃣ Ce que la difficulté ne dit pas

La note évalue le contenu d'un modèle. C'est un indicateur solide, mais ce n'est pas une prédiction de résultat : un modèle Difficile peut très bien être repéré par tout le monde, et un modèle Moyen piéger largement.

Les principaux écarts viennent de :

La maturité de vos équipes. Une population entraînée depuis deux ans a intériorisé les indices évidents : son taux d'échec sur les modèles Faciles tend vers zéro.
Le contexte du destinataire. Un service comptable reçoit des factures tous les jours : une fausse facture lui est plus facile à repérer qu'à une équipe technique.
Les outils réellement utilisés. Un modèle Difficile imitant un outil que votre entreprise n'utilise pas ne piégera personne.
L'exposition répétée. Après plusieurs campagnes, vos employés reconnaissent les schémas. La note, elle, reste statique.
La langue. Le cadre du NIST a été élaboré principalement sur des contenus en anglais ; certains indices propres à d'autres langues ou cultures sont moins bien pris en compte.
Le moment de l'envoi. La difficulté ne juge que le contenu. Un modèle Facile bien synchronisé peut faire plus de dégâts qu'un modèle Difficile mal placé.

⚠️ Important : lisez toujours la note de difficulté avec le taux de vulnérabilité par difficulté de votre rapport de campagne. La note sert à choisir les modèles ; le rapport dit comment vos équipes ont réellement réagi. Voir Analyser les indicateurs de ma campagne.

À retenir

Trois niveaux — Facile, Moyen, Difficile — calculés automatiquement sur 7 indices issus de la Phish Scale du NIST.
La note porte sur la combinaison modèle + service, pas sur le modèle seul.
Elle n'est pas modifiable, et vos modèles personnalisés sont notés de la même façon.
Elle qualifie le contenu, pas vos équipes : à croiser systématiquement avec le taux de vulnérabilité par difficulté.