Le phishing : 91% des cyberattaques commencent par un email
Le constat est sans appel : la quasi-totalité des cyberattaques réussies débutent par un email de phishing. Et malgré les filtres anti-spam de plus en plus performants, certains messages passent toujours entre les mailles du filet.
La raison est simple : les attaquants ne ciblent plus la technologie, ils ciblent l'humain. Un email bien rédigé, envoyé au bon moment, avec le bon prétexte, peut tromper n'importe qui.
Pourquoi les formations classiques ne suffisent pas
Les présentations PowerPoint annuelles sur la sécurité informatique ont un impact limité. Les études montrent que :
- 60% des collaborateurs oublient les consignes en moins de 6 mois
- Les formations théoriques ne changent pas les comportements
- Sans mise en pratique, les réflexes ne s'ancrent pas
Comment fonctionne une campagne de simulation
Phase 1 : Préparation (1 semaine)
Nous concevons des emails de phishing réalistes adaptés à votre contexte :
- Fausse notification de votre banque
- Faux email du service RH (bulletin de paie, congés)
- Fausse alerte de sécurité Microsoft/Google
- Faux bon de commande d'un fournisseur
Phase 2 : Envoi (1-2 semaines)
Les emails sont envoyés de manière échelonnée pour éviter que les collaborateurs se préviennent mutuellement. Nous mesurons :
- Le taux d'ouverture de l'email
- Le taux de clic sur le lien piégé
- Le taux de saisie d'identifiants sur la fausse page
- Le taux de signalement (collaborateurs qui alertent le SI)
Phase 3 : Sensibilisation immédiate
Quand un collaborateur clique sur le lien, il est redirigé vers une page pédagogique qui lui explique :
- Pourquoi c'était un phishing
- Les indices qu'il aurait pu repérer
- Les bons réflexes à adopter
Phase 4 : Rapport et suivi
Nous produisons un rapport détaillé avec :
- Les statistiques globales et par service
- Les profils à risque (sans jamais nommer publiquement)
- La comparaison avec les benchmarks sectoriels
- Les recommandations pour la prochaine campagne
Résultats typiques après 3 campagnes
| Indicateur | Campagne 1 | Campagne 2 | Campagne 3 | |-----------|-----------|-----------|-----------| | Taux de clic | 25-35% | 12-18% | 5-8% | | Taux de saisie | 15-20% | 5-10% | 2-4% | | Taux de signalement | 5-10% | 20-30% | 40-60% |
En 3 campagnes sur 6 à 12 mois, le taux de clic diminue de 70% en moyenne et le taux de signalement est multiplié par 5.
Les bonnes pratiques
Ce qu'il faut faire
- Prévenir la direction (mais pas les équipes)
- Adapter la difficulté progressivement
- Toujours inclure une dimension pédagogique
- Féliciter les bons comportements (signalement)
- Répéter les campagnes régulièrement (3 à 4 par an)
Ce qu'il ne faut pas faire
- Piéger les collaborateurs pour les punir
- Publier les résultats individuels
- Envoyer des emails trop faciles (aucun apprentissage)
- Se contenter d'une seule campagne par an
Conformité et obligations
La directive NIS2 (article 21) impose la sensibilisation et la formation des équipes. Les campagnes de simulation de phishing constituent une preuve concrète de votre conformité.
Le RGPD exige également que les personnes ayant accès aux données personnelles soient formées aux risques. Le phishing étant le vecteur principal de fuite de données, la simulation est directement liée à votre conformité RGPD.
Notre offre
Nous proposons des campagnes de simulation adaptées à toutes les tailles d'entreprise :
- Pack Essentiel PME (899 euros HT) : inclut 1 campagne de phishing
- Pack Protection (4 999 euros HT) : inclut 2 campagnes + formation équipes
- Abonnement Surveillance (499 euros/mois) : campagnes trimestrielles incluses
Lancez votre première campagne
Contactez-nous pour un premier échange. Nous vous présenterons des exemples de campagnes et définirons ensemble le périmètre adapté à votre entreprise.