Sensibilisation au phishing : former vos équipes sans les piéger.

1. Qu’est-ce que le phishing, et pourquoi les cybercriminels visent les entreprises ?

Le phishing, ou hameçonnage, est une technique d’attaque qui consiste à imiter un interlocuteur de confiance — une banque, un fournisseur, un service en ligne, un collègue ou le dirigeant — pour obtenir une action de la victime : saisir ses identifiants sur une fausse page, ouvrir une pièce jointe piégée, modifier un RIB ou valider un paiement. Le message arrive le plus souvent par e-mail, mais aussi par SMS (smishing), par téléphone (vishing) ou via un QR code (quishing).

Les entreprises sont des cibles de choix pour les cybercriminels : leurs collaborateurs reçoivent beaucoup de messages, manipulent des factures et des accès à des outils sensibles, et un seul compte compromis peut servir de point d’entrée vers le reste du système d’information. Les attaques ciblées, préparées à partir d’informations publiques sur l’entreprise — et désormais rédigées avec l’aide des outils d’IA —, sont les plus difficiles à repérer.

2. Reconnaître un e-mail de phishing : les signaux d’alerte

Une bonne formation commence par des bons réflexes de sécurité, applicables à chaque message reçu :

• L’urgence ou la pression : compte bloqué, paiement en retard, demande « confidentielle » du dirigeant.
• Une demande inhabituelle : changement de coordonnées bancaires, achat de cartes cadeaux, envoi de documents.
• Un expéditeur qui ne correspond pas : nom affiché familier, mais adresse ou domaine différent.
• Un lien dont l’adresse réelle, visible au survol, ne correspond pas au site annoncé.
• Une pièce jointe inattendue, en particulier un fichier compressé, un document qui demande d’activer les macros ou un faux document à « débloquer ».
• Une page de connexion qui redemande vos identifiants alors que vous étiez déjà connecté.
• Un QR code dans un e-mail qui invite à se connecter ou à payer.

3. Pourquoi sensibiliser vos équipes au phishing

Les filtres bloquent la majorité des messages malveillants, mais pas tous : les attaquants adaptent en permanence leurs tentatives pour passer à travers. La vulnérabilité qui reste est humaine, et c’est la personne qui reçoit l’e-mail qui forme alors la dernière ligne de défense. Une équipe sensibilisée hésite avant de cliquer, vérifie par un autre canal et, surtout, alerte rapidement — ce qui permet aux équipes de sécurité de bloquer l’attaque pour tous les autres destinataires.

La sensibilisation n’a pas pour objet de culpabiliser. Son but est de rendre le doute normal et le signalement facile. Une culture où l’on peut dire « je me suis fait avoir » sans crainte limite les dégâts des cyberattaques bien plus sûrement qu’une culture du silence.

4. Comment mener une campagne de simulation de phishing, étape par étape

Une simulation de phishing envoie aux collaborateurs de faux messages, réalistes mais inoffensifs, pour mesurer les réactions face aux cybermenaces et entraîner les bons réflexes. Pour qu’elle soit utile, elle se prépare :

• Fixer l’objectif : mesurer un point de départ, entraîner les équipes ou vérifier la procédure d’alerte.
• Informer en amont la direction, les représentants du personnel et, le cas échéant, votre délégué à la protection des données : l’usage des résultats doit être cadré.
• Personnaliser des scénarios crédibles et proches de votre quotidien : faux partage de document, fausse facture fournisseur, fausse alerte de sécurité Microsoft 365.
• Prévoir ce que voit la personne qui se fait piéger : une page pédagogique qui explique immédiatement les indices qu’elle aurait pu repérer.
• Mesurer plusieurs indicateurs : ouvertures, taux de clic, saisie d’identifiants, mais aussi — et surtout — taux de signalement.
• Restituer les résultats de façon collective et anonymisée, puis compléter par une courte formation sur les points faibles constatés.
• Répéter régulièrement les simulations de phishing avec des scénarios variés : un exercice isolé s’oublie vite.

5. Former les salariés au phishing : quel format choisir ?

Les formats courts et réguliers fonctionnent mieux qu’une longue session annuelle. Un atelier d’une heure à l’arrivée d’un collaborateur, des modules e-learning de quelques minutes, des exemples tirés des tentatives de phishing réellement reçues par l’entreprise et des exercices de simulation forment une base solide. Les fonctions les plus exposées — comptabilité, direction, assistanat, RH — méritent un module dédié à la fraude au président et aux faux changements de RIB. C’est la répétition qui fait l’efficacité de la formation.

Des ressources publiques existent pour démarrer : le dispositif cybermalveillance.gouv.fr met à disposition un kit de sensibilisation aux risques numériques, utilisable gratuitement en interne. Un prestataire apporte ensuite la régularité, un programme de sensibilisation adapté à vos outils et le suivi des résultats dans le temps. Le phishing n’est d’ailleurs qu’un volet de la sensibilisation cybersécurité : mots de passe, mises à jour, mobilité et partages de fichiers relèvent du même effort.

6. Que faire en cas de clic sur un lien piégé ?

La rapidité compte plus que tout. La procédure doit être connue de tous, affichée et testée :

• Ne pas paniquer et ne pas effacer le message : il servira à l’analyse.
• Prévenir immédiatement le support informatique ou le référent sécurité, par téléphone si possible.
• Si des identifiants ont été saisis : changer le mot de passe depuis un autre appareil et vérifier que l’authentification multifacteur est active.
• Si une pièce jointe a été ouverte : déconnecter le poste du réseau, sans l’éteindre, puis suivre les consignes du support.
• Si un virement est en jeu : contacter la banque sans délai.
• Signaler le message : à l’équipe informatique, puis sur la plateforme Signal Spam pour un e-mail, ou au 33700 pour un SMS.

7. Les solutions contre les attaques de phishing : former et protéger

Aucune mesure ne suffit seule. La protection combine le filtrage anti-spam et anti-phishing des e-mails, l’authentification multifacteur sur tous les comptes, la protection des postes par un EDR, des mises à jour régulières, des sauvegardes et la diffusion des bonnes pratiques auprès des collaborateurs. Ces couches se renforcent : quand l’une échoue, la suivante limite les conséquences.

Chez Dalena & Co, à Romainville, la sensibilisation des collaborateurs au phishing fait partie de notre accompagnement en matière de cybersécurité, aux côtés du filtrage de la messagerie et de l’EDR managé : campagnes de sensibilisation, retours d’expérience et ajustement des règles au fil des tentatives réellement reçues. Nous intervenons auprès des entreprises de Paris et de la petite couronne.