Community Trust ScoreVérifié
Binance effectue des simulations de phishing mensuelles. Échouez trop souvent, et vous êtes dehors.
La plus grande plateforme d’échange de cryptomonnaies au monde a discrètement mis en place l’un des programmes de sécurité interne les plus agressifs de l’industrie, utilisant de fausses attaques pour tester si son propre personnel peut repérer une arnaque avant qu’un véritable pirate ne le fasse. Les employés qui échouent doivent suivre une formation de remédiation. Les échecs répétés affectent leurs évaluations de performance. Et dans les pires cas, cela peut leur coûter leur emploi. Jimmy Su, le responsable de la sécurité chez Binance, a expliqué comment fonctionne le programme — et pourquoi les enjeux sont si élevés.
Trois à quatre ans d’exercices de l’équipe rouge
Su a déclaré que l’équipe rouge mène ces exercices depuis trois à quatre ans. Pas un programme pilote. Pas une expérience. Un effort constant, sur plusieurs années, pour renforcer la couche humaine de la pile de sécurité de Binance — qui, étant donné que la plateforme détient environ 137,7 milliards de dollars d’actifs et sert 323 millions d’utilisateurs enregistrés, est probablement la couche la plus exposée de toutes.
Les simulations sont conçues pour refléter de véritables attaques. Pas des tests génériques du type « cliquez sur ce lien suspect », mais de véritables manuels de manipulation sociale tirés des renseignements sur les menaces actuelles. Une tactique utilisée par l’équipe rouge : se faire passer pour des recruteurs. Les attaquants dans la nature font la même chose — ils contactent les employés des entreprises ciblées avec de fausses offres, établissent une relation, puis poussent des liens malveillants ou de collecte de données d’identification. L’équipe rouge de Binance utilise la même stratégie, observant qui mord à l’hameçon.
Un autre scénario implique de fausses invitations à des conférences. Les employés sont invités à un événement fictif, et le test mesure s’ils fournissent des informations personnelles pour réserver leur place. C’est un leurre assez basique, mais ça fonctionne — c’est exactement pourquoi cela continue d’apparaître dans les attaques du monde réel.
Ensuite, il y a l’attaque de la réunion Zoom. Su l’a qualifiée de l’une des méthodes les plus sophistiquées en circulation actuellement. Le montage : un attaquant trompe quelqu’un pour qu’il télécharge ce qui semble être une mise à jour Zoom de routine. C’est un logiciel malveillant. La victime l’installe elle-même, pensant simplement mettre à jour son logiciel. L’équipe rouge de Binance simule cela aussi, testant si les employés marquent une pause avant de cliquer sur « installer » sur une invite non sollicitée.
Les échecs ont de vraies conséquences
Su a été direct sur ce qui se passe lorsque quelqu’un ne performe pas. De mauvais résultats dans les simulations de phishing alimentent directement les évaluations de performance. Un schéma d’échecs peut faire baisser la note d’un employé. Et une note suffisamment basse peut signifier un licenciement. Ce n’est pas une menace vague — c’est la politique.
La logique n’est pas punitive pour le plaisir. C’est que l’ingénierie sociale est devenue le vecteur d’attaque dominant dans l’industrie de la cryptomonnaie. Selon AMLBot, l’ingénierie sociale représentait 65 % des violations de sécurité crypto en 2025. Ce chiffre est difficile à ignorer lorsque vous gérez une plateforme à l’échelle de Binance.
Les incidents le confirment. Drift Protocol a été touché pour 285 millions de dollars lors d’une campagne d’ingénierie sociale. Un utilisateur de Venus Protocol a perdu environ 13 millions de dollars après que des attaquants ont compromis un client Zoom — Venus a interrompu ses opérations et a récupéré la plupart des actifs, mais « la plupart » n’est pas tout. Ce ne sont plus des cas isolés. Ils sont essentiellement le modèle de menace standard.
Et le problème avec l’ingénierie sociale, c’est qu’aucun pare-feu ne l’arrête. Vous pouvez avoir la meilleure infrastructure technique de l’industrie et vous faire tout de même vider parce qu’un employé a cliqué sur un mauvais lien un mardi après-midi. C’est pourquoi Binance parie que la bonne réponse est culturelle — faire de la sensibilisation à la sécurité une partie de la façon dont les gens sont évalués, rémunérés et retenus.
La sensibilisation à la sécurité comme exigence professionnelle
Le cadre de Su est assez clair : réussir ces tests n’est pas optionnel, et ce n’est pas séparé des responsabilités principales d’un employé. C’est intégré à la façon dont Binance mesure la performance. Les employés qui excellent sont reconnus pour cela. Ceux qui échouent constamment font face à de réelles conséquences professionnelles.
Le travail de l’équipe rouge est de rester en avance sur ce que les attaquants font réellement — pas le manuel de l’année dernière, mais les tactiques actuelles. Faux recruteurs, fausses conférences, fausses mises à jour de logiciels. Les simulations tournent pour refléter l’évolution des menaces, ce qui signifie que les employés ne peuvent pas simplement mémoriser un ensemble de signaux d’alerte et se reposer sur leurs lauriers.
Il n’est pas clair si d’autres plateformes d’échange adopteront un programme similaire. La plupart n’ont pas communiqué publiquement. Mais avec 137,7 milliards de dollars en jeu et 323 millions d’utilisateurs faisant confiance à la plateforme avec leurs fonds, la réponse de Binance au problème de l’ingénierie sociale est apparemment : faire en sorte que ce soit le travail de quelqu’un de s’en soucier, puis s’assurer qu’il sait que son emploi en dépend.
Su a déclaré que les échecs répétés peuvent entraîner un ajustement à la baisse des évaluations des employés — pouvant potentiellement mener à un licenciement.
Questions Fréquentes
Quelles tactiques de phishing l’équipe rouge de Binance simule-t-elle ?
L’équipe rouge de Binance se fait passer pour des recruteurs, envoie de fausses invitations à des conférences et simule des attaques de réunions Zoom où des logiciels malveillants sont déguisés en mise à jour logicielle.
Que se passe-t-il pour les employés de Binance qui échouent à plusieurs reprises aux tests de phishing ?
Selon Jimmy Su, les échecs répétés entraînent un ajustement à la baisse des évaluations de performance, ce qui peut finalement conduire à un licenciement.
