Secteur · Tech

Sensibilisation cybersécurité
pour les équipes tech

Typosquat npm, secret dans un commit, faux recruteur : un dev piégé ouvre tout le SI. ROOMCA® entraîne vos équipes tech avec leurs vrais outils.

Jouer une immersion

SaaS
Éditeurs logiciels
ESN
Opérateurs télécoms
Startups
MSP / MSSP

Mise en situationVous êtes développeur, un recruteur vient de vous écrire.

Tech en chiffres

23,8 Mde secrets (clés, jetons) exposés sur GitHub public en 2024Source : GitGuardian, State of Secrets Sprawl 2025
+18 %de vulnérabilités publiées chaque année depuis 2020, selon l’ANSSISource : ANSSI · CERT-FR, Panorama de la cybermenace 2025 (publié en mars 2026)
9 %des incidents traités par l’ANSSI en 2025 touchaient les télécommunicationsSource : ANSSI · CERT-FR, Panorama de la cybermenace 2025 (publié en mars 2026)

L’essentiel en 30 secondes · Tech

La sensibilisation à la cybersécurité dans la tech forme développeurs, DevOps, administrateurs, support et équipes télécoms aux attaques qui visent leurs outils : faux recruteur avec un dépôt piégé, paquet npm typosquatté, secret poussé dans un commit, faux ticket de support qui demande un accès. L’ANSSI relève une hausse de 18 % par an des vulnérabilités publiées depuis 2020, et les télécommunications représentaient 9 % des incidents qu’elle a traités en 2025. Un compte technique piégé ouvre tout le système d’information.

+18 % de vulnérabilités publiées par an depuis 2020 (ANSSI)
Télécoms : 9 % des incidents ANSSI en 2025
Immersions dans un terminal, un dépôt de code, un chat d’équipe
Tech et télécoms dans le périmètre NIS2

Le bon outil pour le bon problème

Le bon outil pour chaque problème de la tech

Chaque menace du secteur, et l’outil ROOMCA qui la traite.

Problème
Le faux recruteur et son take-home
Un message LinkedIn, un dépôt à cloner, un npm install à lancer « avant demain ». L’immersion fait lire le dépôt avant de l’exécuter.
Outil ROOMCAImmersions
Problème
Le ticket qui demande un accès
Un client premium veut basculer sa MFA sur un nouveau numéro, un collègue réclame un jeton en urgence : des immersions écrites pour le support et l’exploitation.
Outil ROOMCAImmersions
Problème
Le point d’équipe du sprint
Un quiz de 15 minutes en visio ou en salle : secrets dans le code, dépendances, droits. Sans compte à créer, on rejoint avec un code.
Outil ROOMCAKelca, le quiz en direct
Problème
Les fuites qui touchent votre stack
Roomy Watch suit les fuites de données publiées, filtrées sur votre secteur et vos outils, pour réagir avant qu’on vous usurpe.
Outil ROOMCARoomy Watch (veille cyber)
Problème
Les règles sous les yeux
Affiches A4 en open space et en salle technique : clé USB inconnue, session verrouillée, secret jamais dans un commit.
Outil ROOMCAAffiches de prévention
Problème
Rendre compte à un client ou à NIS2
Rapports PDF et attestations par personne, export via API et webhooks vers vos propres outils.
Outil ROOMCAAnalytics & rapports

20 minutes, on part de vos métiers et de ce que vous avez déjà tenté.

Sur le terrain

Là où vos équipes travaillent, le piège arrive.

Du bureau au terrain, chaque métier du secteur reçoit son propre piège. Exemples tirés des immersions du secteur.

Open space dev
Dev back-end reçoit : « Clone le take-home et lance npm install, on en parle demain. »
Salle technique
Technicien réseau reçoit : « Basculez ma MFA sur mon nouveau numéro, c’est urgent. »
Équipe produit
Product manager reçoit : « Autorisez l’accès à tout votre Drive pour résumer vos réunions. »

Du produit sectoriel, pas un module générique

Des immersions écrites pour la tech, puis mises à vos couleurs.

Chaque immersion du secteur est écrite à partir d’un cas réel, avec les mots, les outils et les interlocuteurs de la tech. Elle se personnalise ensuite à votre organisation : plus le décor ressemble au quotidien de vos équipes, plus la simulation est juste, et plus le réflexe tient le jour où le vrai message arrive.

Votre entreprise dans le décorLe nom de votre organisation, vos services et vos prénoms s’insèrent dans les messages piégés.
Vos outils et vos interlocuteursLes logiciels, portails et fournisseurs que la tech utilise vraiment, pas une messagerie anonyme.
Vos cas, écrits avec vousUn incident vécu, un process propre à votre maison : on en fait une immersion pour vos équipes.

Une immersion du secteur · 8 min

Faux recruteur GitHub, take-home piégé

Un dev reçoit sur LinkedIn une offre attrayante. Le recruteur envoie un repo GitHub privé pour un take-home : « Clone ce repo et lance npm install »

L’apprenant choisit

Npm install direct
Audit du package.json avant
Refus poli

Indices : recruteur sans historique, repo récent avec script post-install obscur, dépendance typo-squattée. Score, badge supply-chain, immersion rejouable.

Jouer une immersion

Sans compte ni email, sur ordinateur ou téléphone. Choix, réflexes et progression suivis par équipe dans votre tableau de bord

Un ticket de support dans l’outil simulé d’une immersion ROOMCA. — ImmersionLe ticket de support qui demande un accès

Les pièges du métier

5 pièges qui visent la tech.

Développeurs, DevOps, SRE, admin sys, CTO, techniciens réseaux et télécoms

Typosquat npm / pip / cargo
Un paquet proche du vrai, installé sur un poste dev.
Fuite de secrets dans un commit
.env, clé API ou token pushé sur un repo public.
Faux recruteur GitHub / LinkedIn
Invitation à cloner un repo piégé pour un « test technique ».
Supply chain compromise
Un package légitime racheté puis vérolé.
SIM swap d’un client
Faux client en boutique ou au téléphone qui récupère la ligne mobile et ses codes de validation.

Ce que vos équipes reçoivent en immersion

« Un collègue partage un repo suspect »
« Nouveau test technique d’un recruteur via GitHub »
« Package npm soi-disant mis à jour »
« Mise à jour urgente de votre badge technicien sur le portail »

À vous de jouer

Ce message vous arrive. Que faites-vous ?

C’est le principe d’une immersion ROOMCA : une interface simulée, une décision, un verdict. Et comme c’est un jeu, on y revient.

Une interface simuléeMessagerie, SMS, portail, terminal : l’apprenant agit dans une copie de son outil, pas devant une vidéo.
Une décision sous pressionIl choisit comme au travail, avec l’urgence et le ton du vrai message. Puis les indices s’allument sur le support.
Un jeu, avec un scorePoints, badges, ScoreCyber par personne : on rejoue, on progresse, et le manager voit la courbe.

Vous êtes développeur, un recruteur vient de vous écrire.

Votre réflexe ?

3 indices se cachent dans ce message.

Et à côté des immersions

Deux autres solutions que la tech utilise.

Apprendre, vivre, ancrer, mesurer.Toutes les solutions ROOMCA tiennent dans une seule plateforme, hébergée en France.

Voir toutes les solutions

Déjà arrivé

Dans la tech, le piège a déjà marché.

Des cas publics, chacun avec sa source : ANSSI, communiqués officiels, presse.

Identifiants volés par infostealer, comptes sans MFA

Le groupe UNC5537 se connecte aux instances Snowflake de clients avec des identifiants dérobés, parfois des années plus tôt, par des infostealers. Les comptes visés n'avaient pas de MFA. Les données sont exfiltrées, puis revendues ou utilisées pour faire chanter les victimes.

Mai-juin 2024 · Clients de Snowflake (AT&T, Ticketmaster, Santander…)
Environ 165 organisations notifiées comme potentiellement exposées

Source : Mandiant (Google Cloud), juin 2024

Incidents publics du secteur

2026VercelCompromission via un outil tiers (Context.ai)
Avril 2026 : du compte Google Workspace d’un salarié à un environnement Vercel ; variables d’environnement non sensibles exposées pour une partie des clients.
Vercel, 2026
2026VimeoVol de données via un prestataire analytique
Avril 2026 : données volées chez le prestataire Anodot puis chantage ; ni vidéos, ni mots de passe, ni paiements selon Vimeo.
The Record, 2026
2025Salesloft Drift → Salesforce (UNC6395)Vol de jetons OAuth
Août 2025 : de nombreuses instances Salesforce clientes siphonnées via les jetons de l’intégration Drift.
Google Cloud, 2025
2024Snowflake (clients)Identifiants volés, comptes sans MFA
Mai-juin 2024 : environ 165 organisations notifiées comme potentiellement exposées, dont AT&T et Ticketmaster.
Mandiant, 2024
2024XZ Utils (Linux)Porte dérobée dans la chaîne logicielle
Mars 2024 : un contributeur devenu co-mainteneur glisse une porte dérobée (CVE-2024-3094), repérée avant une diffusion large.
NIST NVD, 2024

Ce que vous obtenez

Six modules concrets, taillés pour la tech.

Ce qui se trouve dans la plateforme, ce que ça contient, et le résultat attendu.

1 / 6

Immersions devs

Supply chain (npm, pip, Docker Hub)
Phishing recruteur GitHub / LinkedIn
OSINT secrets Git exposés
Compromission CI/CD
Vishing helpdesk dev

Vos devs jouent les angles dev, pas un quiz « cliquez prudemment »

2 / 6

Quishing tech

Templates Slack admin, GitHub Actions, AWS support (bientôt)
Posters QR code Wi-Fi salles de réu / cafétéria
Variants A/B par équipe (back, front, SRE) (bientôt)
Add-in Outlook + Slack signalement (bientôt)

Comparez les équipes back / front / SRE sur les scans de QR code ; les templates e-mail arrivent bientôt.

3 / 6

Cadres réglementaires tech

ISO 27001 (recoupe en partie les critères SOC 2)
RGPD données clients
NIS2 fournisseur de service numérique
CRA (produits avec éléments numériques)

Une preuve d’actions de sensibilisation, datée et nominative, à verser à votre dossier pour votre auditeur.

4 / 6

Affiches dev

Affiches A4 anti-secrets-Git en open space
Pack « 5 réflexes pull-request »
Affiches MFA et SSH key hygiene

Le mur fait passer les bons réflexes en revue de code.

5 / 6

Veille cyber tech

Alertes CVE filtrées par stack
Supply-chain attacks live feed
Breach timeline éditeurs
Rapport mensuel CTO

Le CTO ne lit que ce qui touche votre stack et vos dépendances.

6 / 6

Pilotage CTO / RSSI

Score risque par équipe
Tableau de bord par tech stack
Export PDF Executive
Comparaison cohortes
API REST + webhooks GitHub

Vous prouvez à votre Comex que la formation réduit le rayon d'impact.

Le verdict secteur

ROOMCA coche 4/6 critères.

6 critères qu’un CTO ou un RSSI tech retient pour évaluer une plateforme de sensibilisation. Sa grille, pas la nôtre.

ROOMCATaillé pour la tech

4/6

Immersions supply-chain dev (npm, pip, Docker, CI/CD)Bibliothèque dédiée dev
Preuve d’actions de sensibilisation dans un contexte ISO 27001 (recoupe en partie les critères SOC 2)Rapport de sensibilisation exportable, par équipe et dans le temps
Audit ISO 27001 / SOC 2 propre de l’éditeurAudit propre prévu 2027, hébergeur ISO 27001
API REST + webhooks pour CI/CD et observabilitéAPI + webhooks GitHub possibles
SSO Okta / Entra ID + SCIM provisioningSAML / OIDC + SCIM
Variant A/B phishing par équipe (back / front / SRE)⏳ Bientôt, avec le module phishing

Outils génériquesPensés pour tous les secteurs

2/6

Immersions supply-chain dev (npm, pip, Docker, CI/CD)Bureautique générique
Preuve d’actions de sensibilisation dans un contexte ISO 27001 (recoupe en partie les critères SOC 2)Template seul ou partiel
Audit ISO 27001 / SOC 2 propre de l’éditeurActeurs établis avec ISO 27001 + SOC 2 propres
API REST + webhooks pour CI/CD et observabilitéVariable selon les acteurs
SSO Okta / Entra ID + SCIM provisioningMaturité chez les acteurs établis
Variant A/B phishing par équipe (back / front / SRE)Limité ou non mis en avant

Vérifiez la grille sur vos propres critères.Un rendez-vous de 20 minutes : vos métiers, vos obligations, une immersion du secteur jouée en direct.

Mise en route

5 étapes, et vous êtes autonome.

Plateforme self-serve, calibrée pour les contraintes tech : SOC 2, ISO 27001, vélocité produit, intégration GitHub, sensibilité face aux interruptions.

Provisionnez via SSO SAML/OIDC
SSO Okta / Azure AD ou SSO. Provisioning auto par équipe (back, front, SRE, IT). Webhook GitHub possible.
Choisissez vos immersions devs
Bibliothèque tech : supply chain, recruteur GitHub, secrets Git, CI/CD. Vous assignez par équipe sans réécrire.
Planifiez en évitant les sprints critiques
Étalement automatique. Apprenants jouent en 5 à 15 min, mobile ou navigateur, sans casser le flow.
Pilotez par tech stack
Tableau de bord live : score sur 100 par dev, taux de scan QR par équipe, comparaison stacks.
Sortez votre rapport de sensibilisation
Participation, taux de réussite et progression par équipe. Export PDF qui documente vos actions de sensibilisation, à verser à votre dossier ISO 27001 et NIS2.

La première étape se fait avec nous : réserver un échange, et vous repartez avec un plan de déploiement.

Nos atouts

Pourquoi ROOMCA pour la tech.

Écrit par des techs

Pas de bonhomme en costume qui explique le phishing. Des immersions sur Git, npm, IDE, container.

Secrets et supply chain

Exercices OSINT sur faux recruteurs, détection de typosquats, analyse de dépendances.

Intégration DevSecOps

SSO SAML/OIDC (Azure AD, Google, Okta), API REST publique et webhooks signés HMAC. Compte créé auto au premier login.

Référentiels couverts

RGPD, NIS2, ISO 27001, SOC 2, secure SDLC.

Vos questions sur la tech.

La formation des équipes techniques (développement, exploitation, support, télécoms) aux attaques qui passent par leurs outils et leurs accès : dépôt piégé, paquet malveillant, secret exposé, ticket de support usurpé. ROOMCA la propose en immersions jouées dans un terminal, un dépôt ou un chat simulés.

Oui : ce sont les comptes les plus puissants de l’entreprise. Un dépôt cloné sans lecture, un jeton collé dans un ticket ou un paquet mal orthographié suffisent. Les immersions utilisent leurs vrais outils, pas un module générique.

Couverts. SIM swap d’un client, faux portail technicien, faux prestataire d’astreinte sur un site d’antenne, vishing de la hotline : techniciens réseaux, conseillers boutique et équipes de supervision réseau ont leurs mises en situation.

Les immersions tech sont des puzzles : repérer un typosquat dans un package.json, analyser un faux recruteur sur LinkedIn, débusquer une clé AWS leakée. Pas de slides.

Oui, SSO SAML 2.0 et OIDC : Azure AD/Entra ID, Google Workspace, Okta. Le compte ROOMCA est créé automatiquement au premier login. Notifications Slack et Teams via webhooks signés HMAC.

Immersions dédiées sur les fuites IAM, les buckets S3 publics, les clés d’API exposées et les attaques sur les métadonnées EC2.

Une immersion de votre secteur, jouée en démo.

Vous jouez d’abord, on parle ensuite : vos équipes, vos métiers, ce que vous avez déjà tenté.Échange par emailHébergé en France, RGPDRéponse sous 48 h

Voir les tarifs