La « Red Team » interne de Binance mènerait chaque mois des tests de phishing visant les propres employés de la plateforme, et les membres du personnel qui échouent à plusieurs reprises à ces attaques simulées pourraient à terme être licenciés, selon des informations sur le programme de sécurité interne de l’entreprise rapportées par crypto.news.

Comment fonctionnent les tests internes de la Red Team de Binance

Une red team est une unité de sécurité interne qui imite les méthodes utilisées par de véritables attaquants afin de tester les défenses d’une organisation. Dans le cas de Binance, le programme rapporté consiste à envoyer de faux e-mails de phishing aux employés afin d’évaluer leur réaction face à des liens, pièces jointes ou tentatives de collecte d’identifiants suspects.

Ces tests auraient lieu tous les mois, offrant à Binance un moyen récurrent de mesurer combien d’employés interagissent avec des messages ressemblant à des tentatives de phishing malveillantes. Le programme a une portée interne et vise le personnel de Binance plutôt que les utilisateurs externes ou des attaquants extérieurs.

L’objectif rapporté du programme est d’évaluer la résilience des employés face au phishing, qui reste un vecteur majeur de compromission de comptes, de vol d’identifiants et d’accès non autorisé. Sa fréquence mensuelle fait de ces tests un élément continu du processus de sécurité interne de Binance, plutôt qu’un exercice de formation ponctuel. Pour les plateformes d’échange et autres entreprises crypto, cette dimension humaine est importante, car les attaquants tentent souvent de contourner les protections techniques en persuadant un employé ou un utilisateur d’approuver un accès, de révéler des identifiants ou d’ouvrir des fichiers malveillants.

Binance publie également des conseils de sécurité destinés au public pour aider les utilisateurs à identifier le phishing et les messages frauduleux via son canal officiel Binance Square. Ces recommandations reflètent l’accent plus large mis par la plateforme sur la sensibilisation aux risques d’ingénierie sociale dans l’ensemble de son écosystème.

Les échecs répétés traités comme une question de responsabilité

L’élément le plus notable du programme rapporté concerne ses conséquences potentielles pour les employés. Les membres du personnel qui échouent à plusieurs reprises aux simulations de phishing pourraient à terme être licenciés, selon le rapport. Cette approche considère la résistance au phishing comme une exigence de sécurité professionnelle, et non simplement comme le résultat facultatif d’une formation.

Pour une plateforme d’échange crypto, le comportement des employés peut représenter un risque opérationnel direct. Si un membre du personnel est amené à divulguer ses identifiants ou à interagir avec un fichier malveillant, des systèmes internes pourraient être exposés. Le risque ne se limite pas à l’employé concerné, car un accès compromis peut affecter une infrastructure d’entreprise plus large ainsi que les contrôles de sécurité.

Le phishing demeure l’une des tactiques les plus courantes utilisées contre les utilisateurs et les entreprises crypto, notamment dans des campagnes ayant exploité de fausses réunions Zoom et Microsoft Teams pour cibler des utilisateurs crypto. Ces attaques reposent sur l’ingénierie sociale plutôt que seulement sur des failles techniques, ce qui fait de la sensibilisation des employés et des tests répétés un élément clé des programmes de défense.

Les enjeux pour Binance sont également influencés par son historique réglementaire. La plateforme avait précédemment conclu un accord avec le U.S. Department of Justice dans l’affaire United States v. Binance Holdings Limited, ce qui a placé sa conformité et ses contrôles internes sous une surveillance continue.

Les informations disponibles ne confirment pas le nombre exact de tests échoués qui pourrait déclencher un licenciement, les éventuelles exceptions à la politique, l’existence d’une procédure d’appel pour les employés, ni le libellé complet de la politique interne. Le rapport doit donc être lu comme une description de l’intention et des conséquences rapportées du programme, et non comme un compte rendu exhaustif de toutes les règles encadrant les mesures disciplinaires à l’égard du personnel.

La communication publique de Binance en matière de sécurité, y compris les avis publiés sur Binance Square, a constamment mis l’accent sur la vigilance des utilisateurs et du personnel comme élément de protection des fonds et des opérations de la plateforme.