Simulateur de Survie aux Cyberarnaques : Système de Certification & de Progression

# Simulateur de survie aux arnaques en ligne Extension de certification et de progression Version : 1.3.1 – Polissage visuel orienté consommateur ## Objectif de la v1.3.1 S'appuyer sur le plaisir autonome du consommateur de la v1.3.0 : fun sans stress, habitude quotidienne porteuse d'espoir, rejouable sans pression. Ajouter des éléments visuels éducatifs et sûrs (captures d'écran d'exemples d'arnaques réelles provenant de sources réputées) pour renforcer le réalisme, la reconnaissance des schémas et l'engagement - en particulier pour les scénarios en réalité mixte, multi-tours et en mode sans fin. Maintenir l'accent sur la croissance personnelle, la chaleur/l'humour léger (désactivable), les modes famille/invités et le mode sans fin après maîtrise. Éviter strictement les fonctionnalités d'entreprise (pas de scores de risque, de classements, de quotas obligatoires, de suivi de conformité). ## Règles de base – Conservées et renforcées ### Persistance et suivi - Toute progression est enregistrée par compte utilisateur et persiste entre les sessions/appareils. - Les scénarios incomplets ne comptent pas. - Mode invité local optionnel (sans sauvegarde, sessions rapides en famille/amis ; certifications provisoires marquées jusqu'à liaison au compte). ### Règles de comptage des scénarios - Les scénarios doivent être uniques au sein de l'ensemble d'exigences d'un niveau, sauf s'ils sont étiquetés « Rejouable pour s'entraîner » (max 20 % du nombre requis par niveau). - Un même scénario peut compter pour plusieurs niveaux s'il répond aux critères de chacun. - Un indicateur interne « utilisé pour le niveau X » empêche le double comptage au sein du même niveau. - Au moins 70 % des scénarios de tout niveau proviennent de modèles/ensembles différents (anti-écrémage). ### Intégration des éléments visuels (nouveau en v1.3.1) - Afficher des captures d'écran éducatives sûres et anonymisées (e-mails, SMS, sites web) provenant de sources réputées (pages informatiques/sécurité universitaires, FTC, CISA, rapports d'arnaque de l'IRS, etc.). - Les images doivent être : - Partagées publiquement à des fins de sensibilisation/éducation - Expurgées (informations personnelles floutées, domaines faux/inactifs) - Non cliquables (affichage statique uniquement) - Présentées comme des exemples d'entraînement sûrs - Directives d'utilisation : - 50 à 80 % des scénarios des niveaux 2 à 5 et du mode sans fin incluent un visuel - Niveau 1 : facultatif / plus léger (accent sur la sensibilisation de base) - Niveaux supérieurs : obligatoire pour les scénarios en réalité mixte et multi-tours - Mode sans fin : tirages visuels aléatoires pour la variété - Présentation UI : cartes contextuelles ou images en ligne à contraste élevé et zoomables ; des points chauds « Inspecter » révèlent des indices de signaux d'alerte (ex. : URL incohérente, langage d'urgence). - Accessibilité : texte alternatif, descriptions adaptées à la synthèse vocale ; option de bascule en mode texte uniquement. - Repli hors ligne : petit ensemble en cache d'images d'exemples statiques. - Aucune récupération dynamique de contenu malveillant en direct ; aucun pixel de suivi. ### Définitions des termes clés (glossaire) – Inchangées - Échec catastrophique : partage d'identifiants, téléchargement/clic sur une charge utile malveillante, envoi d'argent, octroi d'un accès à distance. - Se fier aveuglément à la marque : procéder uniquement sur la base du logo/domaine/expéditeur sans vérification secondaire. - Vérification via un canal connu : utiliser une seconde méthode pré-approuvée (appeler un numéro connu, connexion séparée à une application/site, vérification par un collègue sur un autre canal). - Résister explicitement à l'escalade : choisir l'option de désescalade/question/sortie sous pression. - Comportement de coûts irrécupérables : continuer après des signaux d'alerte en raison d'un investissement antérieur. - Scénarios en réalité mixte : inclure des messages légitimes et frauduleux (le joueur fait la distinction). - Invite (évitement de vérification) : indice/encart dans le jeu (ex. : « Cela semble urgent - voulez-vous vérifier ? ») après une action/inaction suspecte. ### Réinitialisation des disqualifiants et pardon – Inchangés - Les disqualifiants se réinitialisent après l'obtention du niveau en cours. - La sur-évitement du niveau 5 se réinitialise après 2 gestions réussies de messages légitimes. - Une « grâce d'apprentissage » par niveau : le premier disqualifiant déclenche une réflexion douce (pas de blocage). ### Garde-fous anti-triche et anti-paranoïa – Inchangés - Exigence minimale de scénarios uniques (diversité de 70 %). - Chemin de sur-prudence : ≥3 blocages/signalements légitimes débloque des mini-scénarios « Rééquilibrage » (interactions légitimes à faible enjeu) ; 2 succès réduisent de moitié le compteur de sur-évitement. - Pas de certification si <50 % du bassin de scénarios disponibles est complété. ## Niveaux de certification – Notes d'intégration visuelle ajoutées ### 🟢 Niveau 1 : Sensibilisation numérique (prise de conscience et pause) - Compléter ≥4 scénarios uniques. - ≥3 scénarios : ≥1 pause/inspection avant clic/réponse/transfert. - Éviter l'échec catastrophique dans ≥3/4. - Aucun disqualifiant (début indulgent). - Visuels : facultatifs / d'introduction (exemples simples d'e-mails/SMS). ### 🔵 Niveau 2 : Prêt à vérifier (vérifier sans se figer) - Compléter ≥5 scénarios uniques après le niveau 1. - ≥3 scénarios : vérification indépendante (canal connu/recherche séparée). - Se fier aveuglément à la marque dans ≤1 scénario. - Disqualifiant : 3+ invites de vérification ignorées (réinitialisation au déblocage). - Visuels : requis pour la plupart ; accent sur la marque/les liens (ex. : faux PayPal/Amazon). ### 🟡 Niveau 3 : Sensibilisé à l'ingénierie sociale (intelligence émotionnelle) - Compléter ≥5 scénarios uniques à déclencheur émotionnel (urgence/peur/autorité/avidité/pitié). - ≥3 scénarios : retarder la réponse ET éviter la sur-divulgation. - Résister explicitement à l'escalade ≥1 fois. - Disqualifiant : escalade d'une interaction émotionnelle sans vérification ≥3 fois (réinitialisation). - Visuels : requis ; montrer les déclencheurs d'urgence/peur (ex. : « compte verrouillé », « frais de colis »). ### 🟠 Niveau 4 : Résistant au long jeu (reconnaissance des schémas) - Compléter ≥2 scénarios uniques multi-interactions (≥3 tours). - ≥1 : identifier la dérive OU sortir en toute sécurité avant le risque élevé. - Éviter la continuation par coûts irrécupérables ≥1 fois. - Disqualifiant : continuer après une dérive claire ≥2 fois. - Visuels : obligatoires ; messages en fil montrant l'escalade progressive. ### 🔴 Niveau 5 : Sceptique équilibré (jugement, pas peur) - Compléter ≥5 scénarios uniques en réalité mixte. - Gérer correctement ≥2 légitimes (réponse appropriée) + ≥2 arnaques (pause/vérification/sortie). - Compteur de sur-évitement <3. - Disqualifiant : sur-évitement persistant ≥3 (atténué par le Rééquilibrage). - Visuels : obligatoires ; mélange d'exemples légitimes et frauduleux côte à côte ou en fil. ## Moments de révélation de certification – Inchangés (Courts, valorisants, 2 à 3 phrases ; réplique facultative en mode détente) ## Après la maîtrise : mode sans fin – enrichi de visuels - Sessions « Scam Surf » : 3 à 5 scénarios rapides aléatoires avec visuels (aucune nouvelle certification). - Séries et badges cosmétiques inchangés. - « Journal des arnaques » privé inchangé. ## Couche d'humour et de chaleur (option facultative : mode détente) – Inchangée (Narration pleine d'esprit, taquineries douces, niveau blague de papa) ## Moments de « victoire » dans la vie réelle – Inchangés ## Ambiances familiales / jeu partagé – Inchangées ## Polissage visuel/audio minimal – élargi - Audio : lo-fi calme pendant les pauses ; sonnerie « aha ! » enthousiaste sur les bons choix (désactivable). - UI : mascottes sympathiques de méchants d'arnaques (loufoques, pas effrayantes) ; coches vertes. - Nouveau : affichage de captures d'écran éducatives (contraste élevé, zoom, points chauds d'inspection). - Accessibilité : contraste élevé, texte plus grand, adapté à la synthèse vocale, bascule de repli en texte uniquement. ## Éviter les pièges d'entreprise – Inchangé ## Règles de visibilité de la progression – Inchangées ## Résumé de fin de session – Inchangé ## Notes d'accessibilité et de localisation – Inchangées ## Annexe : exemples d'indices visuels (référence d'implémentation) Ce sont des exemples éducatifs sûrs tirés de sources publiques (FTC, pages informatiques universitaires, sites de sensibilisation). À utiliser comme images statiques expurgées avec points chauds « Inspecter » révélant les signaux d'alerte. À associer à la narration du mode détente pour la chaleur. ### Exemples du niveau 1 - E-mail de phishing Netflix : « Compte en attente – mettez à jour le paiement » urgent avec domaine d'expéditeur incohérent (ex. : netf1ix-support.com). Point chaud : « L'expéditeur ne correspond pas à netflix.com ! » - E-mail d'alerte de sécurité générique : texte brut prétendant « Vérifiez la connexion » depuis un domaine usurpé. ### Exemples du niveau 2 - E-mail PayPal : imite la mise en page/le logo mais le lien survole un domaine non PayPal (ex. : paypal-secure-random.com). Point chaud : « La marque semble bonne, mais le domaine est faux - vérifiez séparément ! » - Alerte bancaire usurpée : « Activité suspecte – cliquez pour vérifier » avec pieds de page incohérents. ### Exemples du niveau 3 - SMS de smishing de colis urgent : « Votre colis est en attente – payez les frais maintenant » avec lien court (ex. : variante tinyurl). Point chaud : « Urgence + frais non sollicités = tactique de pression classique ! » - Déclencheur d'autorité/avidité : « Remboursement IRS » ou « Vous avez gagné un prix ! » poussant à une action rapide. ### Exemples du niveau 4 - Dérive en fil : 3 à 4 messages commençant légitimement (ex. : offre d'emploi), escaladant vers « Envoyez des cartes cadeaux » ou des liens risqués. Point chaud sur les tours suivants : « Dérive détectée - commencé normalement, maintenant à haut risque ! » ### Exemples du niveau 5 - Côte à côte légitime vs faux : confirmation réelle Netflix à côté d'un clone de phishing (subtile différence de domaine ou urgence ajoutée). Aide à pratiquer un jugement équilibré. - Combo mixte légitime/faux : mise à jour de livraison normale dérivant vers une demande de paiement. ### Mode sans fin - Tirages aléatoires des exemples ci-dessus (ex. : SMS IRS, phishing Amazon, alerte bancaire) pour une variété rapide. Tous les visuels sont légèrement crédités (ex. : « Inspiré des conseils aux consommateurs de la FTC ») et présentés uniquement comme des simulations sûres. ## Journal des modifications - v1.3.1 : ajout de l'intégration visuelle éducative sûre (captures d'écran de sources réputées), directives d'utilisation visuelle par niveau, polissage UI pour les images, repli hors ligne, bascule texte uniquement, plus annexe avec exemples d'indices visuels. - v1.3.0 : ajout du mode sans fin, humour mode détente, victoires réelles, jeu invités/famille, polissage audio/visuel ; renforcement des limites consommateur. - v1.2.1 : persistance, unicité/chevauchements, glossaire, pardon, anti-triche, Rééquilibrage. - v1.2.0 : système de certification initial. - v1.1.0 / v1.0.0 : fondations du cycle de base.