PhishDojo

Vérifier, s'entraîner, signaler, observer : le phishing vu depuis la Blue Team. PhishDojo réunit un classifieur d'URL évalué comme en SOC, un site où l'on signale des arnaques sans exposer personne, et un entraînement pour reconnaître les pièges, du grand public à l'analyste.

La première édition vise le Sénégal : les arnaques au mobile money par SMS, WhatsApp et appels, en français et en wolof. Le message est masqué sur le téléphone avant d'être envoyé, puis une seconde fois par la base de données. Des jeux de données publics de SMS d'arnaque au mobile money existent pour le Mozambique, la Tanzanie ou le Malawi ; aucun, à ma connaissance, en français ou en wolof pour le Sénégal.

Pilier	Ce qui existe	Ce qui vient
Vérifier	Le classifieur d'URL LightGBM (ml/) tourne dans le navigateur : verdict, propriétaire réel du lien, raisons (SHAP), sans aucune requête réseau. Calculs identiques à Python au bit près, vérifiés en CI	Messages et fichiers (phase D). Pack Sénégal et correctif www. faits : faux positifs au seuil « 90 % » de 42 % à 3 % sur les pages .sn légitimes et de 94 % à 1,7 % sur les pages d'accueil en www. (avant / après) ; en contrepartie, de 1,4 % à 8,3 % sur les pages profondes de sites français ; angle mort : le phishing hébergé en .sn
S'entraîner	12 situations locales ; premier jeu de défis URL et duel contre l'IA (archives)	Un Dojo à deux parcours, grand public et analyste (phase C)
Signaler	Collecte anonymisée, masquage sur l'appareil, base verrouillée (V1, en mode test)	Ouverture au public après la checklist d'ouverture
Observer	—	Tendances, flux STIX 2.1 pour MISP, règle Sigma pour Wazuh (phase E)

Le résultat le plus important du modèle : sur les mêmes URL datées, une découpe aléatoire surestime le rappel à 0,1 % de faux positifs de 35 à 50 points par rapport à une découpe temporelle, selon la version du corpus (34,7 points sur le corpus actuel). En octobre 2026, un audit du modèle a aussi révélé un artefact de collecte qui gonflait en partie ses propres métriques : les pages d'accueil légitimes étaient toutes sans www., et https://www.lemonde.fr/ passait pour du phishing (avant / après). La plupart des scores publiés sur ce sujet mesurent la mémoire du modèle, pas sa capacité à généraliser. Détail dans ml/README.md.

Les pages du site

Page	Rôle
index.html · Accueil	Les quatre piliers, le « lequel est le vrai ? », les chiffres du modèle, l'accès au signalement et au Dojo
verifier.html · Vérifier	Coller un lien ou un message : chaque lien est analysé sur le téléphone par le modèle, avec ses raisons et des détails pour analyste
signaler.html · Signaler	Coller un message ou une capture, vérifier l'aperçu masqué, envoyer
apprendre.html · S'entraîner	12 situations locales (faux code d'annulation, faux agent, faux gain, QR code détourné…) : choisir le bon réflexe
ou-signaler.html · Où signaler	Que faire dans l'heure, plateforme de la Police nationale, dépôt de plainte
modele.html · Le modèle	Le détecteur de liens : l'audit de départ, la méthode, les résultats en alertes par jour, l'audit de mon propre modèle et ses limites

Ce que fait la V1

Étape	Où	Ce qui se passe
Lecture d'une capture	Navigateur	OCR local (Tesseract.js servi par le site) : l'image n'est jamais envoyée
Masquage automatique	Navigateur	Numéros, montants, références de transaction, codes, e-mails, noms reconnus, paramètres d'URL
Masquage manuel	Navigateur	La personne sélectionne ce qui reste et le masque elle-même
Remasquage	Base (déclencheur)	Les identifiants déterministes sont remasqués même si le client est contourné
Expéditeur	Base (déclencheur)	Jamais stocké : empreinte HMAC-SHA256 avec une clé interne, pour compter les récidives
Droits	Base (RLS)	Le public peut insérer, rien d'autre : ni lire, ni modifier
Suppression	Navigateur + base	Un identifiant aléatoire remis à la personne suffit pour supprimer son signalement
Conservation	Base	Purge automatique au-delà de 24 mois

Interface en français, thème clair ou sombre, utilisable sur un téléphone d'entrée de gamme. Les messages signalés peuvent être en français, en wolof ou mélangés. Le wolof écrit de l'interface a été retiré en octobre 2026 : il touchait peu le public visé, qui lit le français ; de courts audios en wolof, enregistrés par un locuteur natif, sont envisagés.

Porte de sortie V1 : zéro fuite

tests/fuite.test.js génère 100 messages ordinaires remplis de données personnelles fictives et vérifie qu'aucune ne survit au masquage :

Catégorie	Résultat
Numéros, montants, références, codes, e-mails	0 fuite (bloquant en CI)
Noms connus ou précédés d'un marqueur (« de », « M. », « Madame »…)	0 fuite (bloquant en CI)
Noms inconnus sans marqueur	Non masqués automatiquement : couverts par le masquage manuel et la relecture avant publication

La dernière ligne est une limite assumée : un masquage automatique ne peut pas reconnaître tous les prénoms. Elle est mesurée à chaque exécution plutôt que cachée.

This is the beginning of the README. Read the rest at the original. Read the full README ↗