Ce qu'il faut savoir
Les campagnes de phishing sont par définition sensible : pour être efficaces, elles doivent être réalistes, tout en restant entièrement maîtrisées afin de protéger vos collaborateurs et votre environnement IT.
Chez Kamaé, la sécurité est au cœur de notre démarche.
C’est pourquoi tout notre dispositif est pensé pour :
Limiter les risques
Prévenir les abus
Assurer une traçabilité complète des actions menées
Audits de sécurité réguliers
Kamaé fait régulièrement l’objet d’audits réalisés par des experts externes en cybersécurité, comprenant des tests de pénétration sur plusieurs scénarios critiques, tels que :
Compromission des adresses IP utilisées par Kamaé
Compromission des domaines détenus par Kamaé
Compromission des comptes administrateurs de nos clients
Ces tests nous permettent d’anticiper les risques et d’adapter en permanence nos mesures de protection.
Peut-on faire confiance aux mails envoyés par Kamaé ?
Oui, absolument. Les emails de simulation de phishing envoyés par Kamaé sont strictement sécurisés et contrôlés :
Ils proviennent uniquement d’adresses IP et de domaines exclusivement détenus par Kamaé.
Ils respectent les standards de sécurité mail :
SPF : seules les IP autorisées peuvent envoyer des mails.
DKIM : chaque mail est signé, empêchant toute altération.
DMARC (p=reject) : toute tentative d’usurpation est automatiquement bloquée.
DNSSEC : protection contre la falsification des enregistrements DNS.
Pour garantir la meilleure délivrabilité tout en assurant la sécurité, nous recommandons de mettre en place un whitelisting des IP et domaines utilisés par Kamaé.
Enfin, même en cas de compromission interne, un administrateur malveillant ne peut pas insérer de liens dangereux dans les emails de simulation.
Peut-on faire confiance aux fausses pages de phishing ?
Oui, complètement. Les pages de phishing simulées hébergées par Kamaé bénéficient d’un cadre de sécurité strict :
Elles sont hébergées sur une IP fixe et sécurisée, appartenant à Kamaé.
Les échanges sont entièrement chiffrés via HTTPS, avec des certificats wildcard valides délivrés par Let’s Encrypt.
Aucune donnée sensible n’est collectée : par exemple, les mots de passe éventuellement saisis par vos collaborateurs ne sont jamais transmis aux serveurs de Kamaé.
Comme pour les mails, un administrateur malveillant ne peut pas intégrer de contenu ou de lien dangereux dans ces pages simulées.
Bonnes pratiques et points de vigilance
Kamaé réalise des audits externes réguliers avec tests de pénétration pour garantir la sécurité des IP, domaines et comptes.
Les emails sont envoyés depuis des domaines et IP sécurisés, protégés par SPF, DKIM, DMARC et DNSSEC. Le whitelisting est recommandé.
Les pages de phishing simulées sont hébergées de façon sécurisée, chiffrées, sans collecte de données sensibles, et contrôlées pour éviter tout contenu malveillant.