Phishing : comment former vos employés à détecter les tentatives

En bref

• L'hameçonnage est le 2^e motif d'assistance des entreprises auprès de Cybermalveillance.gouv.fr en 2025 (16 % des dossiers, +29 % en un an).
• Parmi les TPE-PME qui ont subi une attaque, 43 % l'attribuent à un hameçonnage, contre 24 % l'année précédente.
• Les signaux d'alerte classiques (fautes d'orthographe, expéditeur inconnu) ne suffisent plus. Les techniques dominantes en 2025 passent par le téléphone, le faux support informatique et de faux messages d'erreur.
• Une campagne de simulation mal conçue dégrade la sécurité au lieu de l'améliorer. Ce qui compte n'est pas le taux de clic, c'est le taux de signalement.

Ce qu'est devenu l'hameçonnage

L'image d'Épinal du phishing (un courriel mal traduit d'un prince nigérian) a la vie dure, et elle est devenue dangereuse. Elle laisse croire que la vigilance consiste à repérer des fautes de français, alors que les campagnes qui aboutissent aujourd'hui sont propres, contextualisées et souvent hors du courriel.

L'hameçonnage désigne toute manœuvre visant à obtenir d'une personne qu'elle divulgue une information sensible ou exécute une action compromettante, en se faisant passer pour un tiers de confiance. C'est une catégorie de l'ingénierie sociale, et c'est le canal par lequel transitent la majorité des compromissions de comptes.

Les chiffres français sont sans ambiguïté. Dans son bilan 2025 des cybermalveillances visant les professionnels, Cybermalveillance.gouv.fr place l'hameçonnage au deuxième rang des motifs d'assistance des entreprises et associations (16 % des parcours, +29 %). Il est devancé par le piratage de compte (21 %, +52 %), dont il est très souvent la cause directe.

Le baromètre de la maturité cyber des TPE-PME mesure le même mouvement de l'intérieur : parmi les entreprises ayant subi une attaque, la part qui l'attribue à un hameçonnage est passée de 24 % à 43 % en un an.

Les techniques qui fonctionnent en 2026

Le Panorama de la cybermenace 2025 de l'ANSSI décrit précisément ce que les attaquants emploient. Aucune de ces techniques ne se détecte par la chasse aux fautes d'orthographe.

Le faux support informatique

L'ANSSI rapporte « plusieurs cas d'arnaques au faux support informatique, incitant des employés à télécharger des solutions de RMM comme vecteur initial de compromission ». Le scénario : un appel ou un message se présentant comme le service informatique interne ou le prestataire habituel, un prétexte crédible (une mise à jour urgente, un incident de messagerie), et une demande d'installer un outil de prise en main à distance.

Ce qui rend la technique redoutable, c'est que l'outil installé est parfaitement légitime. Aucun antivirus ne bloquera TeamViewer ou AnyDesk. L'attaquant obtient un accès complet sans jamais avoir écrit une ligne de code malveillant.

Le hameçonnage vocal et le mobile

Le mode opératoire Scattered Spider, que l'ANSSI a observé sur plusieurs entreprises françaises en 2025 dont des acteurs du luxe, obtient son accès « quasi systématiquement grâce à la compromission d'accès légitimes » : c'est-à-dire en appelant. Dans au moins un cas documenté par l'Agence, les attaquants ont usurpé l'identité du service informatique pour se faire remettre les accès à une application de gestion de la relation client.

Le Verizon DBIR 2026 quantifie l'efficacité de ce déplacement : dans les simulations d'attaque, le taux de clic médian sur les vecteurs mobiles (appel vocal, SMS) est 40 % supérieur à celui du courriel. Le « prétexting » (la construction patiente d'une relation de confiance sur un scénario inventé) est devenu un vecteur d'accès initial significatif pour les rançongiciels et les tentatives d'extorsion.

La technique « ClickFix »

Apparue à l'automne 2024 et en forte progression selon l'ANSSI, ClickFix consiste à afficher un faux message d'erreur ou un faux CAPTCHA accompagné d'une « solution » : copier une commande, ouvrir un terminal, la coller. C'est la victime elle-même qui exécute le code malveillant, ce qui contourne une bonne partie des protections périmétriques. De nombreux voleurs d'identifiants (Lumma Stealer, Rhadamanthys, XWorm) ont été déployés par ce biais.

La fatigue MFA et l'échange de carte SIM

Deux techniques visant spécifiquement à contourner l'authentification multifacteur, toutes deux documentées par l'ANSSI en 2025 :

• La fatigue MFA : l'attaquant, qui détient déjà le mot de passe, déclenche des demandes de validation en rafale jusqu'à ce que l'utilisateur en accepte une par lassitude ou par erreur, souvent la nuit.
• Le SIM swapping : le transfert frauduleux du numéro de téléphone de la victime vers une carte SIM contrôlée par l'attaquant, ce qui neutralise toute authentification reposant sur un SMS.

Ces deux techniques justifient une recommandation concrète : privilégiez les applications d'authentification ou les clés physiques plutôt que les codes par SMS, et apprenez à vos équipes qu'une demande de validation non sollicitée est un incident à signaler, pas une gêne à faire disparaître.

Les signaux d'alerte, version 2026

Les indices classiques restent valables mais deviennent secondaires. Ce qui suit doit déclencher une vérification, indépendamment de la qualité de la forme :

• Une urgence qui empêche de vérifier. C'est le dénominateur commun de toutes les techniques. Un interlocuteur légitime accepte toujours d'être rappelé.
• Une demande sortant du processus habituel : un changement de RIB par courriel, un virement exceptionnel, une validation en dehors de l'outil prévu.
• Une sollicitation à installer un logiciel, quel qu'il soit, à la demande de quelqu'un au téléphone.
• Une instruction à coller une commande dans un terminal, une fenêtre « Exécuter » ou une console de navigateur. Aucun site légitime ne demande cela.
• Une demande de code reçu par SMS ou application : un service légitime ne vous demandera jamais de le communiquer.
• Une notification MFA que vous n'avez pas déclenchée. Cela signifie que votre mot de passe est déjà compromis.
• Un lien dont la destination réelle ne correspond pas au texte affiché, y compris via un QR code (le « quishing » déplace le clic sur le téléphone personnel, hors de vos protections).

Former ses équipes : ce qui marche, ce qui nuit

60 % des TPE-PME déclarent mener des actions de sensibilisation. Le taux est bon ; l'efficacité dépend entièrement de la méthode.

La simulation de phishing, à condition de ne pas se tromper d'objectif

Les campagnes de simulation sont utiles. Elles deviennent contre-productives quand elles sont conçues comme un examen.

Une simulation dont le résultat est un classement des « mauvais élèves », ou pire, une sanction, produit un effet parfaitement mesurable : les salariés cessent de signaler. Ils apprennent à ne pas cliquer sur les simulations, pas à reconnaître une attaque, et le jour où l'un d'eux tombe sur la vraie, il se tait par crainte des conséquences. Vous avez alors dégradé votre capacité de détection tout en croyant l'améliorer.

Quelques principes qui font la différence :

• Mesurez le taux de signalement, pas le taux de clic. L'indicateur qui compte est : combien de personnes ont prévenu, et en combien de temps. C'est lui qui détermine votre délai de réaction réel.
• Formez immédiatement après le clic, avec un message explicatif et non culpabilisant, plutôt que par un bilan trimestriel.
• Annoncez le principe des simulations à l'ensemble du personnel, sans en annoncer les dates. La transparence sur la démarche entretient la confiance ; la surprise sur le calendrier préserve la validité de la mesure.
• Ne testez pas que le courriel. Puisque les vecteurs mobiles et vocaux sont les plus efficaces, une sensibilisation qui n'aborde que la boîte aux lettres laisse le principal angle mort ouvert.
• Adaptez les scénarios à votre métier. Un faux message de la comptabilité fournisseur est infiniment plus crédible qu'une fausse livraison de colis.

Le rôle spécifique des fonctions exposées

La comptabilité, la direction et les assistants de direction concentrent le risque financier. La fraude au virement a fait son entrée dans le trio de tête des menaces visant les entreprises en 2025, avec 13,5 % des demandes d'assistance et une progression de 93 %. Ces fonctions justifient une sensibilisation dédiée et surtout une règle de procédure : tout changement de coordonnées bancaires se vérifie par rappel au numéro connu, jamais celui indiqué dans le message.

Les mesures techniques qui allègent la charge humaine

Sensibiliser sans outiller revient à faire porter tout le risque sur les salariés. Quatre mesures réduisent mécaniquement le nombre de messages qui leur parviennent, ou les conséquences d'un clic :

• SPF, DKIM et DMARC correctement configurés sur votre domaine, pour empêcher qu'on usurpe vos adresses auprès de vos clients et partenaires.
• La MFA sur tous les comptes, avec application d'authentification plutôt que SMS.
• Le filtrage anti-hameçonnage de votre fournisseur de messagerie, activé et paramétré.
• Un canal de signalement en un clic : un bouton dans le client de messagerie ou une adresse dédiée connue de tous. Si signaler demande trois minutes et un formulaire, personne ne signalera.

Que faire quand quelqu'un a cliqué

La réaction dans l'heure change tout. L'ordre importe.

1. Isoler le poste du réseau (débrancher le câble ou couper le Wi-Fi) sans l'éteindre, afin de préserver les éléments d'analyse.
2. Changer le mot de passe concerné depuis un autre appareil sain, et révoquer les sessions actives du compte.
3. Vérifier les règles de la boîte aux lettres : les attaquants créent presque systématiquement une règle de transfert ou de suppression automatique pour dissimuler leurs échanges. C'est le premier endroit à regarder après un piratage de messagerie.
4. Prévenir les personnes qui reçoivent des messages depuis ce compte : clients, fournisseurs, collègues.
5. Documenter et évaluer : si des données personnelles ont pu être consultées, la notification à la CNIL sous 72 heures peut être obligatoire.
6. Déposer plainte et faire appel à un prestataire de réponse à incident si la compromission dépasse un poste isolé.

Cybermalveillance.gouv.fr propose un parcours de diagnostic gratuit et une mise en relation avec des professionnels de proximité.

Questions fréquentes

Faut-il sanctionner un salarié qui clique ?

Non, sauf faute manifeste et répétée après formation. Les techniques employées en 2025-2026 trompent des professionnels de la sécurité ; en faire une faute individuelle garantit le silence lors du prochain incident, et le silence est ce qui coûte le plus cher.

La MFA rend-elle la formation inutile ?

Non. La MFA élimine l'essentiel des attaques par mot de passe volé, mais la fatigue MFA, le SIM swapping et le faux support informatique la contournent en s'adressant directement à l'utilisateur. Les deux dispositifs sont complémentaires.

À quelle fréquence organiser des simulations ?

Un rythme trimestriel, avec des scénarios variés et au moins un vecteur non courriel par an, offre un bon équilibre. Au-delà, l'effet d'accoutumance l'emporte ; en deçà, l'apprentissage ne se fixe pas.

Comment savoir si nos comptes ont déjà fuité ?

Vérifiez régulièrement l'exposition de vos adresses professionnelles dans les fuites publiques, et surveillez les connexions inhabituelles dans la console d'administration de votre messagerie. Un piratage de compte reste souvent invisible plusieurs semaines.

Pour aller plus loin

Notre diagnostic de maturité cyber évalue notamment votre exposition à l'ingénierie sociale et vos dispositifs de sensibilisation. Si vous souhaitez déployer un programme structuré ou faire auditer votre configuration de messagerie, vous pouvez consulter des prestataires certifiés.

Sources

• Cybermalveillance.gouv.fr, Les principales cybermalveillances visant les professionnels en 2025.
• Cybermalveillance.gouv.fr, Baromètre national de la maturité cyber des TPE-PME, 2^e édition.
• ANSSI, Panorama de la cybermenace 2025 (CERTFR-2026-CTI-002), mars 2026.
• Verizon, 2026 Data Breach Investigations Report.