NOUSEC fournit aux entités financières la preuve que demande DORA et les simulations qu'utilise réellement la fraude actuelle. L'article 13(6) de DORA fait des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique des modules obligatoires pour l'ensemble du personnel et la direction, et l'article 5(4) oblige l'organe de direction à tenir à jour ses propres connaissances du risque informatique. NOUSEC simule les attaques sur huit canaux, dont la voix et la vidéo deepfake dans l'offre Enterprise, vérifie l'achèvement côté serveur au lieu de croire le navigateur sur parole, et mesure l'efficacité de chaque module par sa corrélation avec le taux de clic réel.
Votre secteur, en ses propres chiffres.
Le contrôle a fonctionné. C’était bien le problème.
Toutes les fraudes au deepfake rendues publiques ces deux dernières années ont été arrêtées, ou non, par une étape de procédure, jamais par l’oreille de quelqu’un.
| Affaire | Canal | Ce qui était demandé | Issue |
|---|---|---|---|
| Arup, février 2024 | Appel vidéo à plusieurs participants | 15 virements | Environ 25,6 millions de dollars versés[7] |
| Ferrari, juillet 2024 | Appel vocal usurpant l’identité du PDG | Une opération urgente et confidentielle | Stoppée : le salarié a posé une question à laquelle seul le vrai PDG pouvait répondre[8] |
| LastPass, avril 2024 | Deepfake vocal par WhatsApp | Un contact hors des canaux habituels | Stoppée : le salarié l'a signalée[9] |
Les deux tentatives stoppées n'ont rien à voir avec la détection. Personne n'a entendu d'artefact synthétique. Un salarié a appliqué une étape de vérification que l'attaquant ne pouvait pas franchir ; l'autre a remarqué que le canal n'était pas le bon et l'a signalé au lieu de répondre.
C'est un contrôle de procédure et une culture du signalement, et les deux s'apprennent. Aucun des deux ne progresse quand on demande aux gens d'écouter plus attentivement : la position honnête, celle que nous enseignons, est que sur les paires audio les plus difficiles, l'oreille ne suffit pas.
L'objectif de formation n'est donc pas la perception. C'est la vérification par un canal que vous détenez déjà, une procédure d'escalade pour tout changement de coordonnées bancaires d'un fournisseur, et une organisation où dire « non » au PDG ne présente aucun risque.
La finance, la trésorerie, et ceux qui peuvent faire partir l’argent.
Dans ce secteur, la portée n’est pas un problème de couverture : presque tout le monde a une boîte mail. C’est un problème de ciblage. Les populations les plus réduites portent le plus gros risque par transaction, et elles ont besoin d’une autre campagne que le reste du personnel.
Paiements et trésorerie
La cible la plus rentable et la population la plus réduite. Elle mérite des simulations de spear phishing et de rappel téléphonique (TOAD), pas le même module annuel que tout le monde.
Conseillers et équipes en contact client
Formés à être réactifs et serviables, c’est-à-dire exactement le comportement qu’exploite un prétexte. Le parcours adaptatif affecte la formation selon l’échec mesuré, pas selon une hypothèse liée au poste.
L’organe de direction
L’article 5(4) de DORA est une obligation personnelle pour ses membres, et l’article 20(2) de NIS2 rend la formation des dirigeants obligatoire lorsque l’entité relève des deux textes. La preuve d’achèvement du conseil doit être aussi défendable que celle de tous les autres.
L’article, et la pièce qui y répond.
La quatrième colonne est la seule qui parle du produit, et elle nomme un mécanisme plutôt qu’une intention.
| Texte | Article | Ce qu’il exige | Comment NOUSEC en apporte la preuve |
|---|---|---|---|
| DORA (UE) 2022/2554, applicable depuis le 17 janvier 2025[4] | Art. 13(6) | Programmes de sensibilisation à la sécurité des TIC et formations à la résilience opérationnelle numérique, modules obligatoires pour tout le personnel et la direction, d’une complexité proportionnée à la fonction. | Affectation adaptative selon l’échec mesuré ; tableau de conformité ajusté pour l’audit ; campagnes ciblées par fonction. |
| DORA | Art. 5(4) | L’organe de direction tient activement à jour ses connaissances du risque informatique par une formation régulière et proportionnée. | Une cohorte dédiée au conseil, avec ses propres preuves d’achèvement et certificats. |
| NIS2 (UE) 2022/2555[3] | Art. 21(2)(g) | Pratiques de base en matière de cyberhygiène et formation à la cybersécurité, au titre des mesures minimales obligatoires. | Contrôle d’achèvement côté serveur : la preuve d’une formation suivie, pas d’une formation affectée. |
| RGPD (UE) 2016/679 | Art. 39(1)(b) | Sensibilisation et formation du personnel, dans le périmètre de contrôle du DPO. | Accusé de lecture des politiques avec suivi des versions ; export SIEM. |
| ISO/IEC 27001:2022[5] | Cl. 7.2 / 7.3, A 6.3 | Compétences, sensibilisation, et sensibilisation, enseignement et formation en sécurité de l’information. | Page de vérification publique des certificats ; journal d’audit. |
Ces résumés réglementaires sont donnés à titre indicatif et ne constituent pas un avis juridique. Le champ d’application et la classification dépendent de la transposition dans votre État membre. Le contrôle d’achèvement et le tableau de conformité sont inclus dès l’offre Essentials ; l’accusé de lecture des politiques, la vérification publique des certificats et le Human Risk Score à partir de Professional ; le journal d’audit et l’export SIEM dans Enterprise.
Les quatre mécanismes sur lesquels repose cette page.
Contrôle d’achèvement côté serveur
Huit canaux de simulation
Un score qui montre son calcul
Synchronisation de l’annuaire et de la messagerie
À lire aussi : les attaques par deepfake vocal contre les équipes financières, et les entrées du glossaire sur la fraude au président, la fraude à la facture et la compromission de messagerie professionnelle. Notre propre posture est décrite sur les pages Confiance et Sécurité.
Questions
Ce que demandent d’abord le RSSI ou le DPO d’une entité financière.
Chaque chiffre de cette page, et sa provenance
Dernière vérification : 21 octobre 2026. Les références réglementaires sont vérifiées sur le texte consolidé d’EUR-Lex à chaque révision.
- 2026 Data Breach Investigations ReportVerizon Business — section sectorielle, p. 84 pour la finance et l’assurance (NAICS 52). Corpus : plus de 31 000 incidents, plus de 22 000 violations confirmées, 145 pays, oct. 2024 – nov. 2025 · 2026Utilisé pour : Finance et assurance (52) : 3 809 incidents dont 1 300 avec divulgation confirmée ; 65 % d’élément humain ; 20 % de phishing contre 22 % d’exploitation de vulnérabilités ; 88 % d’acteurs externes et 98 % de motivation financière.
- Directive (EU) 2022/2555 (NIS2)Journal officiel de l’Union européenne, JO L 333, 27.12.2022 · 2022Utilisé pour : Articles 20(2) et 21(2)(g).
- Regulation (EU) 2022/2554 (DORA)Journal officiel de l’Union européenne — applicable depuis le 17 janvier 2025 · 2022Utilisé pour : Article 13(6) sur les modules obligatoires de sensibilisation et de formation à la résilience, et article 5(4) sur les connaissances de l’organe de direction.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organisation internationale de normalisation — 3ᵉ édition · 2022Utilisé pour : Clauses 7.2 et 7.3 ; intitulé de la mesure 6.3 de l’annexe A.
- Internet Crime Report 2025FBI Internet Crime Complaint Center (IC3) · 2026Utilisé pour : Fraude au président et compromission de messagerie (BEC) : 24 768 plaintes et 3 046 598 558 dollars US de pertes déclarées.
- Arup confirms it was the victim of a $25 million deepfake fraudCNN — article sur l’affaire Arup, février 2024 · 2024Utilisé pour : 25,6 millions de dollars US versés en 15 virements après un appel vidéo deepfake.
- Ferrari executive foils deepfake attempt by asking the caller a questionFortune — article sur la tentative visant Ferrari, juillet 2024 · 2024Utilisé pour : La tentative stoppée par une question de vérification à laquelle seul le vrai dirigeant pouvait répondre.
- Attempted audio deepfake call targets LastPass employeeBlog de l’entreprise LastPass · 2024Utilisé pour : Un deepfake vocal du PDG envoyé par WhatsApp, que le salarié a signalé au lieu d’y donner suite.