Secteur · Tech

Sensibilisation cybersécurité
pour les équipes tech

Typosquat npm, secret dans un commit, faux recruteur : un dev piégé ouvre tout le SI. ROOMCA® entraîne vos équipes tech avec leurs vrais outils.

Tester une immersion

SaaS
Éditeurs logiciels
ESN
Opérateurs télécoms
Startups
MSP / MSSP

23,8 Mde secrets (clés, jetons) exposés sur GitHub public en 2024

23,8 Mde secrets (clés, jetons) exposés sur GitHub public en 2024Source : GitGuardian, State of Secrets Sprawl 2025
+18 %de vulnérabilités publiées chaque année depuis 2020, selon l’ANSSISource : ANSSI · CERT-FR, Panorama de la cybermenace 2025 (publié en mars 2026)
9 %des incidents traités par l’ANSSI en 2025 touchaient les télécommunicationsSource : ANSSI · CERT-FR, Panorama de la cybermenace 2025 (publié en mars 2026)

Sur le terrain

Là où vos équipes travaillent, le piège arrive.

Du bureau au terrain, chaque métier du secteur reçoit son propre piège. Exemples tirés des immersions du secteur.

Open space dev
Dev back-end reçoit : « Clone le take-home et lance npm install, on en parle demain. »
Salle technique
Technicien réseau reçoit : « Basculez ma MFA sur mon nouveau numéro, c’est urgent. »
Équipe produit
Product manager reçoit : « Autorisez l’accès à tout votre Drive pour résumer vos réunions. »

Une journée type · Tech

Vos devs trouvent un bug en trois lignes. Un faux recruteur, moins vite.

Supply chain, secrets dans Git, faux recruteurs, accès CI/CD : les équipes tech sont visées pour leurs accès, pas pour leur naïveté. Les immersions ROOMCA parlent leur langue et montrent leurs outils.

09:10Dev back-end
Le piègeUn recruteur sans historique envoie un exercice technique : « clone et lance npm install ».
Lire le package.json et les scripts avant d’installer.
11:45Ingénieur fiabilité
Le piègeUne alerte « clé cloud exposée, cliquez pour la révoquer ».
Révoquer depuis la console, jamais depuis le lien.
15:00Product manager
Le piègeUn « nouvel outil IA » demande l’accès OAuth à tout le Drive.
Refuser et passer par la liste d’outils validés par l’IT.
18:20Admin IT
Le piègeUn faux ticket : « réinitialisez la MFA de ce compte VIP, il est bloqué en rendez-vous ».
Vérifier l’identité par un autre canal avant toute réinitialisation.

Les pièges du métier

5 pièges qui visent la tech.

Développeurs, DevOps, SRE, admin sys, CTO, techniciens réseaux et télécoms

Typosquat npm / pip / cargo
Un paquet proche du vrai, installé sur un poste dev.
Fuite de secrets dans un commit
.env, clé API ou token pushé sur un repo public.
Faux recruteur GitHub / LinkedIn
Invitation à cloner un repo piégé pour un « test technique ».
Supply chain compromise
Un package légitime racheté puis vérolé.
SIM swap d’un client
Faux client en boutique ou au téléphone qui récupère la ligne mobile et ses codes de validation.

Ce que vos équipes reçoivent en immersion

« Un collègue partage un repo suspect »
« Nouveau test technique d’un recruteur via GitHub »
« Package npm soi-disant mis à jour »
« Mise à jour urgente de votre badge technicien sur le portail »

À vous de jouer

Ce message vous arrive. Que faites-vous ?

Vous êtes développeur, un recruteur vient de vous écrire.

Votre réflexe ?

3 indices se cachent dans ce message.

Le piège, décortiqué

Ce que vos équipes reçoivent, et ce qu’elles apprennent à voir.

3 pièges du secteur, sur leur vrai support. Chaque pastille est un indice que l’apprenant retrouve au débrief.

Un expéditeur qui n’est pas votre forge de code
Un compte à rebours d’une heure
On révoque une clé depuis la console, jamais depuis un lien reçu

Dans les immersions

Des situations vécues,et des jeux pour ancrer le réflexe.

Les immersions ROOMCA alternent mises en situation réalistes et jeux sur un sujet de cybersécurité. Quelques exemples du catalogue, tous secteurs confondus.

Mises en situation

Boîte mail
Virement
Porte badgée
Assistant IA

Jeux

Salle d'évasionChaque porte est verrouillée par un réflexe cyber : trouvez le bon pour avancer vers la sortie.
Chasse aux mails piégésTapez les mails suspects, laissez passer les légitimes.
Machine à pincePilotez la pince et rangez chaque capsule dans le bon tube.
Objection !Confrontez un faux témoin aux pièces du dossier.

Le catalogue complet, secteur par secteur, se découvre en démo ou depuis votre espace.

Jouer une immersion

Déjà arrivé

Dans la tech, le piège a déjà marché.

Des cas publics, chacun avec sa source : ANSSI, communiqués officiels, presse.

Identifiants volés par infostealer, comptes sans MFA

Le groupe UNC5537 se connecte aux instances Snowflake de clients avec des identifiants dérobés, parfois des années plus tôt, par des infostealers. Les comptes visés n'avaient pas de MFA. Les données sont exfiltrées, puis revendues ou utilisées pour faire chanter les victimes.

Mai-juin 2024 · Clients de Snowflake (AT&T, Ticketmaster, Santander…)
Environ 165 organisations notifiées comme potentiellement exposées

Source : Mandiant (Google Cloud), juin 2024

Incidents publics du secteur

2026VercelCompromission via un outil tiers (Context.ai)
Avril 2026 : du compte Google Workspace d’un salarié à un environnement Vercel ; variables d’environnement non sensibles exposées pour une partie des clients.
Vercel, 2026
2026VimeoVol de données via un prestataire analytique
Avril 2026 : données volées chez le prestataire Anodot puis chantage ; ni vidéos, ni mots de passe, ni paiements selon Vimeo.
The Record, 2026
2025Salesloft Drift → Salesforce (UNC6395)Vol de jetons OAuth
Août 2025 : de nombreuses instances Salesforce clientes siphonnées via les jetons de l’intégration Drift.
Google Cloud, 2025
2024Snowflake (clients)Identifiants volés, comptes sans MFA
Mai-juin 2024 : environ 165 organisations notifiées comme potentiellement exposées, dont AT&T et Ticketmaster.
Mandiant, 2024
2024XZ Utils (Linux)Porte dérobée dans la chaîne logicielle
Mars 2024 : un contributeur devenu co-mainteneur glisse une porte dérobée (CVE-2024-3094), repérée avant une diffusion large.
NIST NVD, 2024

Ce que vous obtenez

Six modules concrets, taillés pour la tech.

Ce qui se trouve dans la plateforme, ce que ça contient, et le résultat attendu.

1 / 6

Immersions devs

Supply chain (npm, pip, Docker Hub)
Phishing recruteur GitHub / LinkedIn
OSINT secrets Git exposés
Compromission CI/CD
Vishing helpdesk dev

Vos devs jouent les angles dev, pas un quiz « cliquez prudemment »

2 / 6

Quishing tech

Templates Slack admin, GitHub Actions, AWS support (bientôt)
Posters QR code Wi-Fi salles de réu / cafétéria
Variants A/B par équipe (back, front, SRE) (bientôt)
Add-in Outlook + Slack signalement (bientôt)

Comparez les équipes back / front / SRE sur les scans de QR code ; les templates e-mail arrivent bientôt.

3 / 6

Cadres réglementaires tech

ISO 27001 (recoupe en partie les critères SOC 2)
RGPD données clients
NIS2 fournisseur de service numérique
CRA (produits avec éléments numériques)

Une preuve d’actions de sensibilisation, datée et nominative, à verser à votre dossier pour votre auditeur.

4 / 6

Affiches dev

Affiches A4 anti-secrets-Git en open space
Pack « 5 réflexes pull-request »
Affiches MFA et SSH key hygiene

Le mur fait passer les bons réflexes en revue de code.

5 / 6

Veille cyber tech

Alertes CVE filtrées par stack
Supply-chain attacks live feed
Breach timeline éditeurs
Rapport mensuel CTO

Le CTO ne lit que ce qui touche votre stack et vos dépendances.

6 / 6

Pilotage CTO / RSSI

Score risque par équipe
Tableau de bord par tech stack
Export PDF Executive
Comparaison cohortes
API REST + webhooks GitHub

Vous prouvez à votre Comex que la formation réduit le rayon d'impact.

Le verdict secteur

ROOMCA coche 4/6 critères.

6 critères qu’un CTO ou un RSSI tech retient pour évaluer une plateforme de sensibilisation. Sa grille, pas la nôtre.

ROOMCATaillé pour la tech

4/6

Immersions supply-chain dev (npm, pip, Docker, CI/CD)Bibliothèque dédiée dev
Preuve d’actions de sensibilisation dans un contexte ISO 27001 (recoupe en partie les critères SOC 2)Rapport de sensibilisation exportable, par équipe et dans le temps
Audit ISO 27001 / SOC 2 propre de l’éditeurAudit propre prévu 2027, hébergeur ISO 27001
API REST + webhooks pour CI/CD et observabilitéAPI + webhooks GitHub possibles
SSO Okta / Entra ID + SCIM provisioningSAML / OIDC + SCIM
Variant A/B phishing par équipe (back / front / SRE)⏳ Bientôt, avec le module phishing

Outils génériquesPensés pour tous les secteurs

2/6

Immersions supply-chain dev (npm, pip, Docker, CI/CD)Bureautique générique
Preuve d’actions de sensibilisation dans un contexte ISO 27001 (recoupe en partie les critères SOC 2)Template seul ou partiel
Audit ISO 27001 / SOC 2 propre de l’éditeurActeurs établis avec ISO 27001 + SOC 2 propres
API REST + webhooks pour CI/CD et observabilitéVariable selon les acteurs
SSO Okta / Entra ID + SCIM provisioningMaturité chez les acteurs établis
Variant A/B phishing par équipe (back / front / SRE)Limité ou non mis en avant

Mise en route

5 étapes, et vous êtes autonome.

Plateforme self-serve, calibrée pour les contraintes tech : SOC 2, ISO 27001, vélocité produit, intégration GitHub, sensibilité face aux interruptions.

Provisionnez via SSO SAML/OIDC
SSO Okta / Azure AD ou SSO. Provisioning auto par équipe (back, front, SRE, IT). Webhook GitHub possible.
Choisissez vos immersions devs
Bibliothèque tech : supply chain, recruteur GitHub, secrets Git, CI/CD. Vous assignez par équipe sans réécrire.
Planifiez en évitant les sprints critiques
Étalement automatique. Apprenants jouent en 5 à 15 min, mobile ou navigateur, sans casser le flow.
Pilotez par tech stack
Tableau de bord live : score sur 100 par dev, taux de scan QR par équipe, comparaison stacks.
Sortez votre rapport de sensibilisation
Participation, taux de réussite et progression par équipe. Export PDF qui documente vos actions de sensibilisation, à verser à votre dossier ISO 27001 et NIS2.

Nos atouts

Pourquoi ROOMCA pour la tech.

⌨️Écrit par des techs

Pas de bonhomme en costume qui explique le phishing. Des immersions sur Git, npm, IDE, container.

Secrets et supply chain

Exercices OSINT sur faux recruteurs, détection de typosquats, analyse de dépendances.

Intégration DevSecOps

SSO SAML/OIDC (Azure AD, Google, Okta), API REST publique et webhooks signés HMAC. Compte créé auto au premier login.

Référentiels couverts

RGPD, NIS2, ISO 27001, SOC 2, secure SDLC.

Les autres secteurs

Finance & AssuranceComptables, DAF, trésoriers, gestionnaires de paie

SantéSecrétaires médicales, soignants, médecins, DSI santé, chercheurs et techniciens de laboratoire

Commerce et distributionResponsables magasin, caissiers, conseillers boutique luxe, logistique et dispatch, réception hôtelière

IndustrieResponsables production, maintenance, automaticiens, bureau d’études, conducteurs de travaux, qualité agroalimentaire, achats

Secteur publicAgents administratifs, élus, fonctionnaires, enseignants et vie scolaire, DSI publiques

JuridiqueAvocats, notaires, juristes, paralegals, assistantes juridiques

ConseilConsultants, marketeurs, community managers, équipes médias, agents immobiliers et syndics

ÉnergieTechniciens SCADA, opérateurs OT, ingénieurs contrôle-commande, sous-traitants

🛍️

E-commerceResponsables marketplace, e-merchandisers, customer care, équipes paiement

Vie quotidienneTout collaborateur, et les équipes RH, paie et administratives

Vos questions sur la tech.

La sensibilisation cybersécurité pour la tech forme développeurs, DevOps et IT internes à reconnaître les attaques par supply chain (npm, pip, Docker Hub), phishing recruteur GitHub, OSINT secrets exposés et compromission éditeur. Selon l'ANSSI, le nombre de vulnérabilités publiées augmente en moyenne de 18 % par an depuis 2020. ROOMCA combine immersions devs, une preuve de sensibilisation exploitable dans un contexte ISO 27001 et NIS2 pour réduire le risque humain sans casser le flow. Les opérateurs télécoms en font partie : SIM swap client, faux portail technicien, faux prestataire d’astreinte.

Couverts. SIM swap d’un client, faux portail technicien, faux prestataire d’astreinte sur un site d’antenne, vishing de la hotline : techniciens réseaux, conseillers boutique et équipes de supervision réseau ont leurs mises en situation.

Les immersions tech sont des puzzles : repérer un typosquat dans un package.json, analyser un faux recruteur sur LinkedIn, débusquer une clé AWS leakée. Pas de slides.

Oui, SSO SAML 2.0 et OIDC : Azure AD/Entra ID, Google Workspace, Okta. Le compte ROOMCA est créé automatiquement au premier login. Notifications Slack et Teams via webhooks signés HMAC.

Immersions dédiées sur les fuites IAM, les buckets S3 publics, les clés d’API exposées et les attaques sur les métadonnées EC2.

Une immersion de votre secteur, jouée en démo.

Vous jouez d’abord, on parle ensuite : vos équipes, vos métiers, ce que vous avez déjà tenté.Échange par emailHébergé en France, RGPDRéponse sous 48 h

Voir les tarifs