Sensibilisation et simulation au phishing : une mesure d’hygiène essentielle face aux cyberattaques

Trois cyberattaques sur cinq recensées en France en 2024 ont débuté par une tentative de phishing, révèle le 10ᵉ baromètre annuel du CESIN. Derrière des e-mails, SMS ou appels en apparence anodins se cachent en réalité des tentatives d’usurpation d’identité capables d’ouvrir la porte à un ransomware ou à un vol massif de données. Un phénomène décuplé par l’utilisation massive de l’IA dans la génération de scénarios d’attaque hyper-réalistes difficiles à repérer. Dans ce contexte, la sensibilisation et la simulation au phishing ne sont plus une option pour les entreprises.

En 2025, un constat s’impose : 60 % des incidents de cybersécurité impliquent un facteur humain selon le rapport Data Breach Investigations 2025 publié par Verizon. Autre fait inquiétant : la part de compromissions impliquant un tiers a doublé en un an, passant de 15 à 30 %.

Clic sur un lien corrompu, scan d’un QR code compromis, partage d’identifiants involontaire ou comportement imprudent d’un utilisateur… Les entreprises sont confrontées à un défi de taille : protéger efficacement leur organisation face à l’hameçonnage alors qu’aucune solution technique ne peut garantir le risque zéro ! Il est alors indispensable d’impliquer les collaborateurs dans la stratégie de cybersécurité à travers la mise en place d’un programme de sensibilisation et de simulation au phishing.

Phishing : une menace amplifiée par l’IA

Désormais omniprésente, l’IA générative a considérablement transformé la cybersécurité. Pourquoi ? La raison est double. D’une part, toujours selon Verizon, 15 % des collaborateurs accèdent régulièrement à ces plateformes d’IA générative depuis leurs appareils professionnels, augmentant de fait le risque de fuite de données. D’autre part, parce que les cybercriminels ont eux aussi perçu le potentiel de cette technologie.

Résultat, ils s’appuient aujourd’hui sur l’intelligence artificielle pour concevoir des messages plus vrais que nature. Des modèles comme WormGPT ou FraudGPT, développés pour faciliter la création d’attaques sophistiquées, produisent des e-mails de phishing convaincants, bien rédigés, exempts de fautes d’orthographe et adaptés à chaque cible. Autre cas d’usage : l’usurpation d’identité considérablement facilitée par la prolifération de deepfakes vocaux et vidéo via des outils open source tels que DeepFaceLab.

En parallèle, les techniques d’authentification multifacteur (MFA), longtemps considérées comme infaillibles, sont aujourd’hui elles aussi contournées. Des kits de phishing comme EvilProxy, Salty2FA et Evilginx, ou des bots OTP (One-Time Password), programmes automatisés conçus pour contourner les protections MFA, interceptent les codes temporaires de validation.

Par conséquent, le phishing évolue, se sophistique et exploite toujours la même faille : la vulnérabilité humaine.

L’impact du phishing sur les organisations

Un clic malheureux de la part d’un utilisateur peut vite arriver mais il peut surtout coûter très cher, et pas que d’un point de vue financier. Si certains groupes cybercriminels comme Lockbit sont spécialisés dans les attaques de phishing par rançongiciel, paralysant l’activité de l’entreprise pendant une durée indéterminée – en avril 2025, le géant britannique Marks & Spencer a ainsi enregistré des pertes de plus de 355 millions d’euros –, l’impact humain est loin d’être négligeable : stress intense pour les collaborateurs engagés dans la gestion de crise, perte de confiance au niveau des partenaires, image de marque dégradée auprès des clients, etc.

Sans oublier le risque de sanctions financières et pénales lié au non-respect des réglementations RGPD, NIS 2 et DORA.

La sensibilisation : arme indispensable contre le phishing

À l’heure de l’intelligence artificielle, les approches classiques en matière de sécurité cyber ne sont plus adaptées. Face au phishing, la seule réponse technologique ne suffit plus. La sensibilisation est devenue une exigence légale, réglementaire, contractuelle et assurantielle. Avec un enjeu critique pour les entreprises : modifier durablement les comportements pour transformer chaque collaborateur en acteur de la cybersécurité.

Se pose alors une question : comment embarquer les utilisateurs sur un sujet souvent éloigné de leurs préoccupations opérationnelles ? En associant théorie (modules e-learning, etc.) et mise en pratique ludique, gamifiée (quiz, ateliers, vidéos, escape games, etc.) et personnalisée. Cette approche permet de transformer un sujet perçu comme contraignant en une expérience engageante.

Les facteurs clés de succès d’une campagne de sensibilisation de cybersécurité

Première étape d’une campagne de sensibilisation et de simulation au phishing efficace : identifier la cible que l’on souhaite sensibiliser – des contenus ciblés et personnalisés permettent d’apporter des réponses concrètes et adaptées aux besoins opérationnels des profils concernés. Des contenus courts et interactifs facilitent, quant à eux, l’adhésion des collaborateurs. De la même manière, plus les formats sont variés, plus les utilisateurs sont impliqués. Par exemple : des modules e-learning mensuels couplés à des événements spéciaux tels que le cybermois, la journée mondiale du mot de passe ou de la protection des données, les soldes ou le Black Friday.

Deuxième mesure : il importe de définir les thématiques majeures à aborder autour des attaques de phishing (email frauduleux, protection des mots de passe, usages pro / perso, télétravail, données personnelles, intelligence artificielle, etc.). À noter : pour embarquer les utilisateurs, il importe de communiquer régulièrement et de monter progressivement en complexité, que ce soit au niveau du sujet présenté, du message que l’on souhaite véhiculer ou des techniques de phishing abordées (quishing, smishing, etc.).

Enfin, le soutien de la direction est un préambule indispensable à la diffusion d’une culture interne de la sécurité cyber.

Une fois ces trois étapes réalisées, les éléments sont réunis pour lancer une campagne de sensibilisation. Toutefois, pour construire une culture cyber dans la durée, le plan de sensibilisation ne doit pas se limiter à une session annuelle. Au contraire ! L’allocation de ressources à une animation pluriannuelle et continue du programme est un gage d’efficacité avéré.

Pour y parvenir, il est nécessaire d’identifier des relais parmi les collaborateurs. La constitution d’une équipe chargée du suivi des indicateurs (conformité, engagement, impact) et de l’amélioration continue permet également de faire face aux nouvelles menaces, et de répondre à l’évolution des usages et des obligations réglementaires.

En complément, à l’image de toute campagne, la communication autour de l’hameçonnage est essentielle. Une communication régulière, claire et multicanale permet de mieux diffuser les comportements souhaités et favorise une prise de conscience en alertant sur les sanctions éventuelles en cas de non-respect.

Sensibilisation et simulation au phishing : l’approche de Linkt

Chez Linkt, notre offre vise à bâtir une culture de cybersécurité durable à travers l’ancrage de nouvelles habitudes chez les collaborateurs. C’est pourquoi nous nous inspirons de modèles éprouvés de gestion des habitudes comme la boucle des habitudes décrite par Charles Duhigg (The Power of Habit) :

Signal / déclencheur (message incitant à suivre un module de sensibilisation…)

Routine / comportement (appliquer les bonnes pratiques…)

Récompense (cadeau, sécurité des données pro et perso…).

Selon le cône de l’apprentissage d’Edgar Dale, le moyen le plus efficace d’ancrer une connaissance est de faire vivre directement la situation. En ce sens, les campagnes de simulation de phishing permettent de confronter les collaborateurs à des attaques réalistes dans un cadre maîtrisé. En variant les scénarios – e-mails, SMS, QR codes frauduleux –, les utilisateurs apprennent à reconnaître les multiples facettes de l’ingénierie sociale. Le passage de la théorie à la pratique favorise alors la mémorisation et renforce la réactivité en cas de véritable attaque.

En tant qu’acteur MSSP proposant un service de SOC souverain, nous capitalisons sur les observations terrain pour adapter le programme de sensibilisation aux menaces réelles et aux exigences réglementaires. Notre approche sur mesure inclut donc des mises en situation pratiques – campagnes de phishing, exercices de simulation de crise, ateliers interactifs personnalisés selon le niveau de maturité et au contexte de l’entreprise – et combine plusieurs éléments complémentaires :

Construction et déploiement d’un programme de sensibilisation au phishing autour de thématiques clés (cyberattaque, télétravail, protection des données personnelles) ;

Conseil (plan de sensibilisation, animation, pilotage) pour assurer un suivi et proposer des recommandations d’amélioration continue ;

Solutions techniques (MFA, gestionnaire de mots de passe, plateforme e-learning, protection de la messagerie et de la navigation, empreinte numérique des collaborateurs, etc.) ;

Animations pratiques (cyberchasse au trésor, cyberchallenge, organisation d’événements spéciaux autour de dates clés…) ;

Prise en compte de la protection des données personnelles : nous proposons une offre de service souveraine garantissant l’immunité contre les lois extraterritoriales.

Dans un monde où l’intelligence artificielle démultiplie les capacités d’usurpation, chaque collaborateur doit devenir un maillon fort de la chaîne de sécurité. La sensibilisation, associée à des campagnes régulières de simulation de phishing, devient alors un investissement stratégique pour protéger les données sensibles, préserver la réputation de l’entreprise et garantir la continuité de l’activité.

Face au phishing et aux attaques cyber, vos collaborateurs doivent être impliqués dans la stratégie de défense en profondeur comme la dernière ligne de défense.