Contexte et déroulement du test
Fin septembre, l’organisation des New York Knicks a diffusé un courriel de phishing interne promettant aux salariés une bague de championnat gratuite. Le message, intitulé « Congratulations, your Employee Championship Ring is here », invitait les destinataires à choisir l’un des deux modèles via un lien. Les employés qui ont cliqué ont ensuite été inscrits à une formation obligatoire de cybersécurité, décision attribuée aux préoccupations croissantes du propriétaire James Dolan en matière de sécurité.
Mécanismes de l’ingénierie sociale
Le courriel exploite deux leviers classiques du phishing : l’émotion positive et la rareté. La promesse d’un objet symbolique – une bague commémorant le premier titre NBA depuis 1973 – crée un sentiment d’appartenance et de récompense immédiate. Le texte ne comporte pas d’erreur de domaine évidente, ce qui rend la détection plus difficile que les tests habituels où l’expéditeur utilise une adresse légèrement erronée (ex. « condenest.com »). L’absence d’indicateurs de fraude visibles augmente le taux de clic, comme le montre le fait que plusieurs salariés ont effectivement suivi le lien.
Analyse de l’efficacité et des limites
Le résultat du test est double : d’une part, il a permis d’identifier les employés vulnérables, d’autre part, il a généré une contrainte organisationnelle – la formation obligatoire – qui peut être perçue comme punitive. Le rapport indique que les coachs adjoints, qui n’ont pas reçu de bagues physiques lors de la remise du premier drapeau de championnat, ont reçu des boîtes vides, soulignant que même les cadres supérieurs peuvent être exposés à des attentes non satisfaites. Cette ambiguïté renforce la difficulté d’évaluer la portée réelle du test, car le nombre exact de clics n’est pas communiqué.
Implications pour la sécurité des entités sportives
Les équipes sportives, en raison de leur visibilité médiatique et de la valeur symbolique de leurs trophées, constituent des cibles attractives pour les attaques de phishing. Le cas des Knicks montre que les organisations doivent calibrer leurs simulations pour éviter de créer un climat de méfiance excessive tout en maintenant une vigilance opérationnelle. L’obligation de suivre une formation après le clic constitue une réponse corrective, mais elle ne remplace pas une sensibilisation continue, notamment sur la reconnaissance de signaux subtils (URL, adresse d’expéditeur, incohérences de contenu). Enfin, l’absence de transparence sur les indicateurs de phishing dans le courriel limite la capacité des analystes externes à mesurer la robustesse des filtres anti‑phishing internes.
