Simulations de Phishing chez Binance
Binance effectue chaque mois des simulations d’attaques de phishing à l’encontre de ses employés afin de réduire les risques liés à l’ingénierie sociale. Jimmy Su, le directeur de la sécurité, a expliqué que l’équipe rouge de l’échange conçoit de fausses attaques pour évaluer la capacité du personnel à reconnaître les messages, liens et demandes suspects. Les employés qui échouent à ces tests doivent suivre une formation complémentaire, et des échecs répétés peuvent également avoir un impact sur leurs évaluations de performance, pouvant aller jusqu’à un licenciement.
Ce programme vise à cibler les erreurs humaines que les attaquants exploitent pour infiltrer les entreprises de cryptomonnaie. Selon Su, Binance mène ces exercices depuis trois à quatre ans, période durant laquelle les habitudes de sécurité de l’entreprise se sont considérablement améliorées. Actuellement, Binance compte 323 millions d’utilisateurs enregistrés, tandis que DefiLlama suit environ 137,5 milliards de dollars d’actifs liés à l’échange.
Méthodes de Simulation
Les simulations mensuelles de phishing révèlent que l’équipe rouge utilise des méthodes ressemblant à de véritables attaques. Par exemple, un test peut simuler un faux recruteur proposant un emploi, tandis qu’un autre peut promettre un accès gratuit à une conférence tout en demandant des informations personnelles. L’équipe enregistre si les employés ouvrent le message, suivent un lien ou partagent des informations susceptibles d’exposer les systèmes de l’entreprise.
Su a précisé que les employés qui échouent reçoivent une formation corrective, et un échec répété peut avoir un impact négatif sur leur évaluation. Dans les cas les plus graves, cela peut entraîner une évaluation au niveau le plus bas et un licenciement.
Cette politique incite les employés à vérifier les messages inattendus avant de répondre. Binance décrit son équipe rouge comme un groupe interne de hackers éthiques qui teste les systèmes du point de vue d’un attaquant. L’échange collabore également avec des chercheurs externes à travers des programmes de récompense pour bugs.
Impact de l’Ingénierie Sociale
Ces exercices surviennent alors que l’ingénierie sociale représente une part importante des pertes de cryptomonnaies signalées. AMLBot a examiné plus de 2 500 enquêtes et a constaté que 65 % des cas traités en 2025 ont débuté par de l’ingénierie sociale plutôt que par des exploits logiciels directs. Le phishing représentait 18 % de ces cas, tandis que la compromission d’appareils en représentait 13 %.
Les attaquants passent souvent des jours ou des mois à établir la confiance avant de demander à une cible d’ouvrir un fichier, d’approuver une demande de portefeuille ou d’exécuter une commande. Cette méthode peut contourner les contrôles techniques lorsque le travailleur a accès à des clés privées, des comptes administrateurs ou des systèmes internes.
Exemples d’Attaques
Comme l’a rapporté crypto.news, l’attaque d’avril 2026 contre Drift Protocol a drainé environ 285 millions de dollars après que les attaquants ont compromis une clé d’administrateur. Les chercheurs ont lié cette violation à des échecs d’ingénierie sociale et de sécurité opérationnelle plutôt qu’à des contrats intelligents défectueux.
Su a identifié de faux entretiens d’embauche comme un scénario utilisé dans les tests de Binance. De véritables attaquants utilisent la même approche contre les développeurs, les cadres et les équipes d’investissement. Ils peuvent déplacer une conversation de LinkedIn, Telegram ou email vers une réunion vidéo, puis prétendre que la caméra ou le microphone de la victime nécessite une mise à jour.
Conclusion
Les simulations mensuelles permettent à Binance de comparer les taux d’échec et de mettre à jour la formation lorsque les attaquants changent leurs méthodes. Un seul cours annuel peut ne pas préparer le personnel aux nouvelles tentations construites autour des événements actuels, des contacts de confiance ou des offres d’emploi.
Su a déclaré que les premières habitudes de sécurité de Binance « laissaient beaucoup à désirer », mais que des tests répétés avaient apporté des améliorations. L’échange considère la sensibilisation du personnel comme une partie intégrante de son système de défense plus large, plutôt qu’une simple tâche de conformité ponctuelle.
