Il arrive qu'un employé apparaisse compromis dans une campagne de Simulation alors qu'il n'a pas été piégé. Le cas le plus fréquent : l'employé a bien repéré l'e-mail et l'a transmis à votre équipe sécurité, qui l'a ensuite analysé dans un outil automatique. C'est cet outil qui a cliqué sur le lien et saisi des identifiants, et Riot a attribué ces actions à l'employé.
Cet article explique pourquoi ce statut ne peut pas être modifié, et comment retirer l'attaque des résultats de votre campagne.
1️⃣ Pourquoi le statut « compromis » ne peut pas être modifié
Dès qu'un employé est marqué compromis sur une attaque, ce statut est définitif. Il n'est pas possible de le retirer, ni de transformer l'attaque en signalement :
un signalement fait après la compromission ne change pas le statut ;
l'action « Marquer comme signalé » est refusée sur une attaque déjà compromise.
Cette règle garantit que vos statistiques reflètent ce qui s'est réellement passé au moment de l'attaque.
👍 Bon à savoir : un e-mail transmis à votre équipe sécurité par un autre canal que Riot (une adresse interne, un ticket…) n'est pas comptabilisé comme un signalement. Pour que le bon réflexe de l'employé soit reconnu, le signalement doit passer par Riot.
2️⃣ Retirer l'attaque des résultats de la campagne
Si vous êtes certain que ce n'est pas l'employé qui a agi, vous pouvez ignorer le résultat de son attaque. L'attaque est alors exclue des statistiques de la campagne et du calcul des Groupes Intelligents.
👉 Étape 1 : ouvrez la campagne concernée, puis l'attaque de l'employé.
👉 Étape 2 : cliquez sur le menu « … » de l'attaque.
👉 Étape 3 : sélectionnez « Ignorer le résultat de l'attaque ».
⚠️ Important : une attaque ignorée n'est comptée ni comme compromise, ni comme signalée. Elle disparaît simplement des résultats. Elle reste en revanche visible dans l'export CSV de la campagne, ce qui explique un éventuel écart entre l'export et le tableau de bord.
👉 Avant d'ignorer une attaque, vérifiez ce qui s'est passé
Ouvrez le détail de l'activité de l'employé : la chronologie horodatée et la localisation des actions permettent souvent de reconnaître un outil automatique (actions en quelques secondes, depuis un pays ou un réseau inhabituel). Les signaux à repérer sont détaillés dans L'activité des employés sur les mails de phishing sur Riot ne semble pas bonne, pourquoi ?
En cas de doute, contactez-nous via le chat en précisant la campagne et l'employé concernés : nous pouvons vous aider à vérifier l'origine des actions.
3️⃣ Éviter que cela se reproduise
Riot reconnaît et ignore automatiquement les scanners de sécurité les plus courants, mais certains outils se comportent exactement comme un vrai navigateur et ne peuvent pas être distingués d'un employé. C'est notamment le cas des sandbox d'analyse, qui ouvrent la page et remplissent les formulaires.
Demandez à vos employés de signaler via Riot (bouton de signalement ou transfert à l'adresse dédiée) plutôt que par un canal interne : le signalement est alors reconnu.
Prévenez votre SOC ou votre équipe sécurité : un e-mail de simulation n'a pas besoin d'être analysé dans une sandbox. Si l'outil ouvre le lien ou saisit des identifiants, c'est l'employé ciblé qui est marqué compromis.
Autorisez Riot dans vos outils de sécurité. Pour Microsoft 365, suivez Configurer Microsoft 365.
À retenir
Le statut compromis est définitif : il ne peut être ni retiré, ni remplacé par un signalement.
Si ce n'est pas l'employé qui a agi, ignorez le résultat de l'attaque depuis le menu « … » : elle sort des statistiques de la campagne.
Une attaque ignorée ne compte ni comme compromise, ni comme signalée.
Pour que le bon réflexe soit reconnu, le signalement doit passer par Riot, et les e-mails de simulation ne doivent pas être analysés dans une sandbox.