Simulation de vishing par jeu de rôle IA : construire un scénario

Une simulation de vishing en jeu de rôle IA consiste à faire parler le salarié avec un persona attaquant, joué par une IA, qui monte la pression par paliers. Pour la construire, le formateur définit un persona, une suite de leviers, quelques informations piégées et une liste de critères de débriefing. Voici la méthode, étape par étape.

L'objectif n'est pas de piéger les salariés, mais de leur faire dire, à voix haute, les phrases qui arrêtent une attaque. Pour le cadre général, voyez notre guide de la sensibilisation cybersécurité et du vishing.

Pourquoi passer par un jeu de rôle plutôt que par un module ?

Un module explique ce qu'est un vishing. Il ne place pas le salarié devant quelqu'un qui insiste. Or le vishing se joue dans la relation : une voix aimable, une urgence, une autorité qui s'impatiente.

Le jeu de rôle recrée cette tension dans un cadre sûr. L'apprenant parle, l'interlocuteur réagit, et le débriefing montre ce qui a été dit. Il peut ensuite recommencer.

Étape 1 : choisir un cas réel et un métier

Partez d'un incident vécu, d'un signalement ou d'un scénario que votre équipe sécurité redoute. Un seul métier et une seule demande par scénario. Par exemple : un conseiller à qui l'on réclame un code, un service desk sollicité pour un reset de mot de passe, ou un comptable à qui l'on annonce un changement d'IBAN.

Plus le cas est proche du quotidien, plus l'apprenant reconnaît la situation. Évitez les scénarios spectaculaires et privilégiez les demandes banales, car ce sont elles qui passent.

Étape 2 : écrire le persona attaquant

Le persona est une fiche, pas un monologue. Elle décrit qui il prétend être, ce qu'il veut obtenir et comment il parle.

• Identité affichée : « Marc, du service sécurité de votre banque », « Julie, de l'assistance informatique ».
• But réel : obtenir un code reçu par SMS, un accès, un virement, une information sur un tiers.
• Ton : courtois au début, de plus en plus pressant, jamais caricatural.
• Connaissances : ce qu'il sait déjà (nom du salarié, nom d'un fournisseur) et ce qu'il ignore.

Un persona crédible vaut mieux qu'un persona agressif. Les vrais attaquants restent aimables tant qu'ils obtiennent ce qu'ils veulent.

Étape 3 : programmer des leviers qui montent

Le scénario est plus utile quand la pression augmente par paliers, comme dans un vrai appel. Chaque palier active un levier psychologique : urgence, autorité, culpabilité, réciprocité, demande réduite, isolement. Notre article sur les leviers de l'ingénierie sociale les détaille.

Exemple d'escalade pour un faux conseiller bancaire :

1. Mise en confiance : « Bonjour, je vous appelle pour une opération inhabituelle sur votre compte. »
2. Urgence : « Il faut agir dans les dix minutes, sinon le virement part. »
3. Autorité : « Je suis le responsable de la cellule fraude, voici mon matricule. »
4. Demande réduite : « Je n'ai besoin que du code que vous allez recevoir, rien d'autre. »
5. Culpabilité : « Si vous refusez, c'est vous qui serez responsable de la perte. »

Le persona ne passe au palier suivant que si l'apprenant n'a pas refusé. S'il vérifie correctement, le persona change de tactique ou abandonne.

Étape 4 : semer des informations piégées

Une information piégée est un détail qui doit alerter. Le formateur en place trois ou quatre dans le scénario, sans les signaler.

• Un numéro de dossier qui n'existe pas ou qui ne correspond à rien.
• Un prénom de collègue exact, mais un nom de service inexact.
• Un numéro de rappel fourni par l'appelant, différent du numéro officiel.
• Une demande de code à usage unique présentée comme « une simple formalité ».

L'apprenant doit les repérer et les exploiter : demander le numéro de dossier, comparer, proposer de rappeler. Ces détails servent ensuite de base au débriefing. Pour la liste des questions qui prouvent quelque chose, voyez comment vérifier l'identité d'un appelant.

Étape 5 : définir des critères de débriefing observables

Un critère utile se vérifie dans la transcription : il est vrai ou faux, sans interprétation. Le débriefing s'appuie sur des formulations comme :

• « A demandé un numéro de dossier. »
• « A proposé de rappeler par le numéro officiel. »
• « N'a donné aucun code. »
• « N'a pas confirmé d'information personnelle avant d'avoir vérifié l'appelant. »
• « A noté le nom, le service et le numéro donnés. »
• « A signalé l'appel à la bonne personne à la fin de l'échange. »

Avec Face Up, le formateur écrit lui-même ces critères dans son scénario, aidé d'un assistant de conception. Après la session, l'apprenant reçoit un débriefing : objectifs atteints ou non, points forts, points à améliorer, plan d'action et citations de ce qu'il a dit. Il peut rejouer.

Étape 6 : prévoir la restitution animée par le formateur

Un appel réel ne s'arrête pas au raccrochage. Il faut en rendre compte : qui a appelé, ce qui a été demandé, ce qui a été dit. La restitution est donc un exercice à part entière, que le formateur anime après la session, en petit groupe ou en binôme.

Chaque participant raconte son appel comme s'il le signalait à l'équipe sécurité : nom donné, service, numéro, demandes, leviers repérés, ce qu'il a donné ou refusé. Le formateur reprend avec la grille de signalement d'un incident de sécurité et corrige les oublis.

Cet exercice est une activité de formation, pas une fonction de l'outil. Il transforme l'expérience vécue en habitude de signalement, ce qui est souvent le maillon le plus faible.

Les erreurs fréquentes à éviter

• Un persona trop agressif. L'apprenant se défend au lieu de vérifier, et le scénario ne ressemble plus à un vrai appel.
• Trop de pièges. Au-delà de quatre informations piégées, le débriefing devient illisible.
• Des critères flous. « A été prudent » ne se vérifie pas. « A proposé de rappeler » se vérifie.
• Un exercice unique. Un réflexe s'ancre par la répétition. Prévoyez plusieurs scénarios espacés dans l'année.
• Une sanction implicite. Précisez que l'exercice n'est pas noté pour l'évaluation individuelle de carrière.

Exemple : un extrait de bonne réponse face à un faux service sécurité

Imaginons un appel à un conseiller. Le persona se présente comme « Marc, de la cellule fraude » et réclame un code reçu par SMS pour « annuler un virement frauduleux ». Voici ce que peut dire un apprenant qui réussit les paliers :

« Je ne communique jamais de code par téléphone, quelle que soit la raison. Donnez-moi votre nom, votre service et le numéro de dossier. Je raccroche et je vous rappelle sur le numéro officiel du service. »

Cette réponse ne se justifie pas, n'accuse pas et ne laisse pas de prise au levier suivant. Elle contient trois critères observables : demande de numéro de dossier, proposition de rappel, aucun code donné. C'est exactement ce que le débriefing doit pouvoir citer.

Si l'apprenant cède au palier de culpabilité, le débriefing peut citer sa phrase et proposer une alternative. L'écart entre ce qu'il a dit et ce qu'il aurait pu dire est le cœur de l'apprentissage. Pour tenir un refus quand l'appelant insiste, voyez les phrases pour dire non sous pression au téléphone.

Une grille pour relire votre scénario avant de le proposer

Avant de lancer l'exercice, passez votre scénario au crible de ces questions. Chacune doit recevoir un « oui ».

1. Le persona poursuit-il un seul but, clair, que l'on peut décrire en une phrase ?
2. Les leviers montent-ils par paliers, avec une sortie à chaque palier si l'apprenant vérifie ?
3. Trois ou quatre informations piégées sont-elles présentes, sans être signalées ?
4. Chaque critère de débriefing se vérifie-t-il dans la transcription, sans interprétation ?
5. La situation correspond-elle à un appel que ce métier reçoit réellement ?
6. La restitution animée par le formateur est-elle prévue, avec la grille de signalement ?

Faites tester le scénario par un collègue avant de le proposer à l'équipe. Un test à blanc révèle vite un piège trop évident ou un critère ambigu. Ajustez, puis déployez, et revoyez le scénario quand un nouveau mode opératoire apparaît dans les signalements.

Questions fréquentes

Faut-il prévenir les salariés qu'ils vont parler à une IA ?

Oui. L'exercice est annoncé, cadré et débriefé. Il ne s'agit pas d'un appel surprise sur leur téléphone, mais d'une mise en situation dans laquelle ils savent qu'ils s'entraînent.

Combien de temps dure un scénario ?

Quelques minutes suffisent pour un appel complet, puis le débriefing et une éventuelle seconde tentative. Mieux vaut des scénarios courts et fréquents qu'une longue séance annuelle.

Comment mesurer les progrès ?

Comparez les critères atteints d'une session à l'autre, par exemple la proportion de salariés qui proposent un rappel. Notre article sur la mesure de l'efficacité d'une sensibilisation propose des indicateurs.

Quel lien avec les campagnes de phishing ?

Les deux se complètent : la campagne mesure le clic, le jeu de rôle entraîne la conversation. Voyez les limites de la simulation de phishing face à la voix.

Pour construire votre premier scénario de vishing avec vos propres cas, réservez une démonstration de Face Up.