Erreurs et questions fréquentes
Sensibiliser ses collaborateurs au phishing : méthode, fréquence, simulations et coût
Comment organiser une sensibilisation au phishing en entreprise : contenu, simulations, fréquence, indicateurs, coût et erreurs à éviter pour obtenir un effet durable.
Une sensibilisation efficace au phishing repose sur des messages courts, répétés, concrets et sans culpabilisation, associés à un moyen simple de signaler un message suspect. Une grande formation annuelle est vite oubliée ; des rappels de quelques minutes tout au long de l'année, des exemples issus de votre propre activité et une culture du signalement donnent de bien meilleurs résultats. Les outils de simulation d'hameçonnage peuvent aider, à condition d'être utilisés pour former et non pour punir. Le coût est généralement faible comparé à l'impact d'un compte compromis ou d'une fraude au virement.
Pourquoi le phishing reste la porte d'entrée n°1
Le courriel, le SMS, l'appel téléphonique ou le message sur une messagerie instantanée sont des moyens bon marché de piéger une personne. L'attaquant cherche à obtenir un mot de passe, à faire ouvrir une pièce jointe piégée ou à déclencher un virement. Les techniques évoluent : messages très bien rédigés, usurpation de la direction, faux fournisseurs, fausses pages de connexion à la messagerie, codes de validation demandés par téléphone. Les outils techniques filtrent une grande partie des tentatives, mais pas toutes : le collaborateur reste un dernier rempart.
Les types de messages à connaître
| Type d'attaque | Principe | Indice à enseigner |
|---|---|---|
| Hameçonnage classique | Faux message d'un service connu invitant à se connecter | Adresse de l'expéditeur, lien différent du texte affiché, urgence |
| Fraude au président | Faux message de la direction demandant un virement confidentiel | Demande inhabituelle, pression, contournement des procédures |
| Fraude au changement de RIB | Faux message d'un fournisseur annonçant de nouvelles coordonnées | Aucune vérification par un second canal |
| Pièce jointe piégée | Facture, bon de commande ou document à ouvrir | Format inhabituel, demande d'activer les macros |
| Hameçonnage par SMS ou téléphone | Faux livreur, faux conseiller bancaire, faux support technique | Demande de codes, de mots de passe ou d'installation d'un logiciel |
| Faux support technique | Appel ou fenêtre alarmiste demandant une prise de contrôle à distance | Contact non sollicité |
Le contenu d'une bonne sensibilisation
Tenez-vous à cinq messages clairs, que chacun peut retenir :
- Prendre le temps : l'urgence est le principal levier de l'attaquant.
- Vérifier l'expéditeur et le lien avant de cliquer, en survolant l'adresse sans cliquer.
- Ne jamais communiquer un mot de passe ou un code de validation, quel que soit le demandeur.
- Vérifier par un autre canal toute demande de virement ou de changement de coordonnées bancaires, en appelant un numéro déjà connu.
- Signaler un message suspect ou une erreur, immédiatement et sans crainte de reproche.
Complétez par des cas concrets : un faux message de livraison, une fausse alerte de messagerie, une fausse demande de la direction qui imite le style habituel de votre dirigeant.
Mettre en place un dispositif de signalement
La sensibilisation n'a de valeur que si les gens savent quoi faire ensuite. Prévoyez :
- Un bouton ou une adresse de signalement : par exemple une adresse dédiée ou un bouton dans le client de messagerie.
- Une réponse rapide : l'équipe informatique ou le prestataire confirme en quelques heures si le message est frauduleux. Sans retour, les gens cessent de signaler.
- Un message de remerciement, même en cas de fausse alerte.
- Une consigne claire en cas de clic : prévenir tout de suite, changer le mot de passe depuis un autre appareil, déconnecter la machine.
Les simulations d'hameçonnage : utiles, mais à manier avec soin
Des outils envoient de faux messages d'hameçonnage à vos collaborateurs pour mesurer le taux de clic et déclencher une mini-formation. Utilisés intelligemment, ils maintiennent la vigilance. Quelques règles :
- Prévenez que des simulations auront lieu, sans en donner les dates.
- Ne sanctionnez jamais les personnes qui cliquent : une personne punie se cachera la prochaine fois. Remplacez la sanction par une explication immédiate.
- Évitez les scénarios humiliants ou trompeurs sur la rémunération, qui détruisent la confiance et peuvent poser problème avec les représentants du personnel.
- Variez les niveaux de difficulté et suivez le taux de signalement autant que le taux de clic.
- Informez les représentants du personnel et respectez les règles sur les données personnelles si les résultats sont individualisés : consultez la CNIL et vos instances représentatives avant de lancer un dispositif nominatif.
Fréquence et format
| Format | Durée | Fréquence indicative |
|---|---|---|
| Accueil d'un nouvel arrivant | 20 à 30 minutes | À l'arrivée |
| Session collective avec exemples | 45 à 60 minutes | Une fois par an |
| Rappel court (courriel, affiche, minute de réunion) | 2 à 5 minutes | Chaque mois ou trimestre |
| Exercice de simulation | Automatique | Plusieurs fois par an |
| Formation renforcée pour la direction, la finance et les assistants | Une demi-journée | Chaque année |
Ciblez en priorité les personnes les plus exposées : comptabilité, direction, assistantes, ressources humaines, service achats.
Coût indicatif
Une session interne ne coûte que du temps. Les plateformes de formation en ligne et de simulation se facturent généralement par utilisateur et par an. À titre purement illustratif, pour 40 utilisateurs et une hypothèse de 20 euros par utilisateur et par an, le coût est de 800 euros par an, auquel s'ajoute le temps de pilotage. Une intervention d'une demi-journée d'un formateur peut représenter quelques centaines d'euros à quelques milliers d'euros selon l'intervenant : ce sont des ordres de grandeur d'illustration à confirmer par devis. Comparez-les au coût d'un seul virement frauduleux de plusieurs dizaines de milliers d'euros. Pour intégrer ces postes dans un budget, utilisez l'estimateur de budget.
Mesurer les résultats
Quelques indicateurs simples suffisent :
- taux de signalement des messages suspects, que vous voulez voir augmenter ;
- taux de clic sur les simulations, à voir baisser ;
- délai moyen de signalement, à raccourcir ;
- nombre d'incidents réels causés par un clic, suivi sur plusieurs mois.
N'interprétez pas une baisse du taux de clic isolée comme une victoire : elle peut refléter des simulations devenues trop faciles.
Ce que la sensibilisation ne fait pas
Les mesures techniques doivent donc compenser l'erreur humaine : authentification multifacteur, filtrage de messagerie, protection des postes, droits limités, procédure de double validation des virements. Pour la suite d'une erreur de clic, voir que faire après une cyberattaque.
Erreurs fréquentes
- Une seule formation par an, vite oubliée.
- La culpabilisation : elle réduit les signalements et aggrave les dégâts.
- Des contenus génériques sans lien avec le métier réel des participants.
- L'absence de retour après un signalement.
- Oublier la direction, pourtant la cible privilégiée des fraudes à l'ordre de virement.
Questions fréquentes
Les simulations sont-elles légales ?
Elles sont courantes, mais leur mise en œuvre doit respecter les règles du droit du travail et de la protection des données, notamment l'information des représentants du personnel si nécessaire et la proportionnalité du suivi individuel. Vérifiez auprès de la CNIL et d'un juriste.
Faut-il former aussi les intérimaires et prestataires ?
Oui : ils ont souvent accès à des systèmes ou à des informations sensibles. Prévoyez un module d'accueil adapté.
Quel est l'indicateur le plus utile ?
Le taux de signalement : il montre que les collaborateurs détectent et osent alerter, ce qui compte plus que l'absence de clic.
Sources et références
- Cybermalveillance.gouv.fr — kit de sensibilisation et fiches sur l'hameçonnage.
- ANSSI — guides de bonnes pratiques et de sensibilisation.
- CNIL — encadrement des dispositifs impliquant des données personnelles de salariés.
