Sensibilisation cyber : faire de vos équipes la première ligne de défense

Les trois premières menaces visent des personnes

En 2025, les trois premiers motifs de demande d'assistance des entreprises et associations auprès de Cybermalveillance.gouv.fr ne relèvent pas d'une faille technique sophistiquée :

• Piratage de compte : 21 % des demandes, en hausse de 52 % sur un an ;
• Hameçonnage : 16 %, en hausse de 29 % ;
• Fraude au virement : 13,5 %, en hausse de 93 %.

Le rançongiciel, pourtant plus médiatisé, arrive loin derrière avec 8,1 %. Et ces trois menaces n'en forment souvent qu'une seule : un message d'hameçonnage vole un mot de passe, le compte de messagerie est pris, puis l'attaquant s'en sert pour détourner un virement en reprenant un vrai fil de discussion avec un vrai fournisseur.

Aucun antivirus ne bloque un virement décidé par un salarié trompé. C'est pourquoi la sensibilisation n'est pas un « plus » à traiter une fois le reste terminé : c'est la contre-mesure directe aux menaces les plus fréquentes. Le baromètre national de la maturité cyber des TPE-PME montre d'ailleurs que le mouvement est engagé : 6 TPE-PME sur 10 déclarent avoir mené des actions de sensibilisation, mais seulement 26 % ont déployé la double authentification.

Bonne nouvelle : c'est le domaine où les mesures les plus efficaces sont aussi les moins chères. Plusieurs ne coûtent qu'une décision de la direction.

Se situer en six questions

Répondez par oui ou par non, pour l'ensemble de l'entreprise et pas seulement pour les services les plus avertis.

1. Tout changement de coordonnées bancaires est-il vérifié par un appel à un numéro déjà connu ?

Non : c'est la faille exploitée par la fraude au faux fournisseur et la fraude au président. La règle ne coûte rien et bloque l'essentiel des tentatives, à condition de ne souffrir aucune exception, y compris quand la demande semble venir de la direction.

2. Chaque salarié sait-il à qui signaler un message suspect, et le fait-il sans crainte ?

Non : un signalement dans les minutes qui suivent un clic permet de bloquer le compte avant qu'il ne serve. Si les salariés ont peur d'être ridicules ou sanctionnés, ils se taisent, et l'attaquant gagne des jours.

3. Les collaborateurs ont-ils suivi une sensibilisation au cours des douze derniers mois ?

Non : les techniques évoluent (faux support informatique au téléphone, demandes répétées de validation d'authentification, messages générés sans faute). Une formation d'il y a trois ans ne les couvre pas.

4. Mesurez-vous la vigilance réelle, par exemple avec des exercices d'hameçonnage simulé ?

Non : sans mesure, impossible de savoir si la sensibilisation fonctionne. Oui : regardez le taux de signalement, pas seulement le taux de clic.

5. Les dirigeants et les personnes qui valident les paiements ont-ils reçu une sensibilisation spécifique ?

Non : ce sont les cibles privilégiées de l'ingénierie sociale, parce qu'ils ont l'autorité et l'accès. Ils sont aussi souvent les plus pressés, et les plus dispensés de règles.

6. Le télétravail et l'usage d'appareils personnels sont-ils encadrés par des règles écrites ?

Non : Wi-Fi public, ordinateur familial partagé, téléphone personnel qui reçoit la messagerie professionnelle… Sans règles connues, chacun fait comme il peut, et l'entreprise ne sait pas où sont ses données.

Lecture : les questions 1 et 2 sont prioritaires sur toutes les autres, parce qu'elles se règlent en une semaine et sans budget. Les questions 3 à 6 relèvent d'un programme dans la durée.

Les mesures prioritaires, dans l'ordre

Le guide de l'ANSSI La cybersécurité pour les TPE/PME en treize questions et son Guide d'hygiène informatique placent tous deux la sensibilisation des utilisateurs parmi les fondamentaux. Voici l'ordre qui produit le plus d'effet pour le moins d'effort.

1. Verrouiller les paiements par la procédure

Deux règles écrites, signées par la direction, connues de la comptabilité et opposables à tous :

• tout changement de RIB (fournisseur ou salarié) est vérifié par un rappel au numéro déjà enregistré, jamais à celui indiqué dans le message ;
• au-delà d'un montant fixé, tout virement est validé par deux personnes distinctes.

L'urgence et la confidentialité sont les outils de l'attaquant : la règle doit préciser qu'elle s'applique surtout en cas d'urgence.

2. Ouvrir un canal de signalement simple

Une adresse ou un bouton unique, une personne qui répond, et une consigne claire : on signale d'abord, on s'excuse jamais. Remerciez publiquement les signalements, y compris ceux qui se révèlent sans objet.

3. Protéger les comptes

La sensibilisation ne remplace pas la technique, elle la complète. Activez l'authentification multifacteur sur la messagerie et les accès distants, de préférence par application ou clé physique plutôt que par SMS, et apprenez à chacun qu'une demande de validation qu'il n'a pas sollicitée signifie que son mot de passe est déjà connu : on refuse et on signale. Côté mots de passe, voyez notre guide d'une politique de mots de passe robuste.

4. Sensibiliser tout le monde, court et souvent

Mieux vaut trois séquences de vingt minutes dans l'année qu'une journée tous les trois ans. Des ressources publiques gratuites permettent de démarrer sans budget :

• SensCyber, le programme de sensibilisation en ligne de Cybermalveillance.gouv.fr, organisé en trois modules ;
• le kit de sensibilisation de Cybermalveillance.gouv.fr (fiches, mémos, affiches, vidéos, quiz) ;
• SecNumacadémie, le cours en ligne de l'ANSSI, actuellement fermé pour refonte : vérifiez sa réouverture avant de l'intégrer à votre plan.

Ajoutez-y une sensibilisation à l'arrivée de chaque nouveau salarié : c'est le moment où il reçoit ses accès, et où il connaît le moins les usages de l'entreprise.

5. Former spécifiquement les dirigeants et les fonctions exposées

Direction, comptabilité, paie, assistants de direction, achats : une séance dédiée aux scénarios qui les visent (fraude au président, faux fournisseur, faux avocat, faux service informatique), avec les procédures de l'étape 1 comme fil conducteur.

6. Mesurer avec des simulations d'hameçonnage

Deux à quatre campagnes par an, de difficulté croissante, suivies d'une explication immédiate pour ceux qui ont cliqué. L'indicateur qui compte est la part de salariés qui signalent le message. Notre article sur la formation à la détection du phishing détaille la démarche.

7. Écrire les règles du télétravail et des appareils personnels

Une charte courte : quels appareils peuvent accéder à quoi, connexion par un accès sécurisé, verrouillage de l'écran, pas de stockage de documents professionnels sur des services personnels, que faire en cas de perte ou de vol. Une charte de deux pages réellement lue vaut mieux qu'une charte de vingt pages signée sans lecture.

Pour une vue d'ensemble des gestes de base, voyez aussi nos bonnes pratiques de cybersécurité pour les PME.

Les erreurs fréquentes

• Une formation unique, puis plus rien. La vigilance s'érode en quelques mois ; seule la répétition installe des réflexes.
• Humilier ou sanctionner ceux qui cliquent. Le résultat est toujours le même : les incidents cessent d'être signalés, et on les découvre trop tard.
• Ne mesurer que le taux de clic. Un taux de clic nul peut signifier un message trop grossier. Le taux de signalement dit si l'entreprise se défend.
• Dispenser la direction. Une procédure à laquelle le dirigeant peut déroger est exactement ce qu'exploite la fraude au président.
• Tout miser sur la vigilance. Un message envoyé depuis la vraie boîte d'un vrai fournisseur ne contient aucun indice visible. Seule une procédure (le rappel) l'arrête.
• Des supports génériques sans lien avec le métier. Les exemples doivent ressembler aux factures, aux outils et aux interlocuteurs réels de l'entreprise.
• Oublier les départs. Un compte resté actif après le départ d'un salarié est un compte que personne ne surveille.

Ce que ça coûte

Les fourchettes suivantes proviennent du catalogue de prestations Lyyp. Elles varient selon l'effectif et le nombre de sessions.

• E-learning cybersécurité : 50 à 150 €, sur une durée moyenne d'un an ; l'unité de facturation (par utilisateur ou par entreprise) est à faire préciser dans le devis.
• Sensibilisation générale cyber : 1 000 à 3 000 €, environ une journée.
• Campagne de phishing simulé : 1 500 à 4 000 €, environ 5 jours.
• Sensibilisation des dirigeants (COMEX) : 2 000 à 5 000 €, environ une journée.
• Exercice de crise cyber : 3 000 à 8 000 €, environ 2 jours.
• Formation au développement sécurisé (pour les équipes qui produisent du logiciel) : 1 500 à 4 000 €, environ 2 jours.
• Politique de sécurité (PSSI), qui fixe les règles sur lesquelles s'appuie la sensibilisation : 3 000 à 8 000 €, environ 15 jours.

Les deux mesures les plus rentables de ce guide (la règle du rappel et le canal de signalement) ne coûtent rien. Un premier programme réaliste pour une PME combine les ressources publiques gratuites, une séance pour les fonctions exposées et une campagne de phishing simulé.

Ce que les textes imposent

RGPD : des mesures organisationnelles, pas seulement techniques

L'article 32 du RGPD impose des « mesures techniques et organisationnelles appropriées » pour garantir la sécurité des données. Informer et former les personnes qui manipulent des données en fait partie ; lorsqu'un DPO est désigné, l'article 39 lui confie d'ailleurs la sensibilisation et la formation du personnel. Un piratage de messagerie donne presque toujours accès à des données personnelles : il peut donc déclencher l'obligation de notification à la CNIL sous 72 heures (article 33).

NIS2 : formation des dirigeants, dès la transposition

La directive (UE) 2022/2555 impose aux membres des organes de direction des entités concernées de suivre une formation et encourage une formation régulière des salariés (article 20) ; elle range l'hygiène informatique et la formation à la cybersécurité parmi les mesures obligatoires (article 21). Elle n'est pas encore transposée en France au 13 septembre 2026 : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité attend son examen en séance publique à l'Assemblée nationale. Rien n'est donc exigible aujourd'hui à ce titre.

DORA : secteur financier

Applicable depuis le 17 janvier 2025, le règlement (UE) 2022/2554 impose aux entités financières des programmes de sensibilisation à la sécurité des TIC pour l'ensemble du personnel et de l'organe de direction (article 13). Leurs prestataires informatiques peuvent être invités à y participer.

PCI DSS et HDS

PCI DSS, norme contractuelle des réseaux de cartes, exige un programme formel de sensibilisation à la sécurité, qui couvre l'hameçonnage et l'ingénierie sociale depuis l'entrée en vigueur des exigences de la version 4.x le 31 mars 2025. Si vous hébergez des données de santé pour le compte de tiers, la certification HDS (article L. 1111-8 du code de la santé publique) s'ajoute : vos clients attendront que les équipes qui accèdent à ces données soient formées.

Cette section situe les obligations ; elle ne remplace pas une analyse juridique de votre situation.

Passer à l'action

Commencez par mesurer. Le diagnostic Lyyp ciblé sur la sensibilisation et les bonnes pratiques pose 6 questions : formation annuelle, campagnes de phishing, procédure de signalement, règles pour les appareils personnels, encadrement du télétravail, sensibilisation des dirigeants. Il est gratuit et vous situe en quelques minutes. Si vous hésitez sur le domaine à traiter en premier, voyez par où commencer.

Ensuite, consultez les prestataires en sensibilisation référencés sur Lyyp pour une séance dédiée aux fonctions exposées ou une campagne de phishing simulé.

Sources

• Cybermalveillance.gouv.fr, Les principales cybermalveillances visant les professionnels en 2025, données issues du rapport d'activité et état de la menace 2025.
• Cybermalveillance.gouv.fr, Baromètre national de la maturité cyber des TPE-PME, 2e édition, octobre 2025.
• Cybermalveillance.gouv.fr, Comment se former en cybersécurité ? (SensCyber, kit de sensibilisation, SecNumacadémie).
• ANSSI, SecNumacadémie (plateforme fermée pour refonte à la date de publication).
• ANSSI, La cybersécurité pour les TPE/PME en treize questions et Guide d'hygiène informatique.
• CNIL, RGPD, chapitre IV (articles 32, 33 et 39).
• EUR-Lex, Directive (UE) 2022/2555 (NIS2), articles 20 et 21 ; ANSSI, FAQ MonEspaceNIS2, exigences de cybersécurité.
• EUR-Lex, Règlement (UE) 2022/2554 (DORA), articles 13 et 64.
• Assemblée nationale, Dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
• PCI Security Standards Council, Future-dated requirements of PCI DSS v4.x.
• Légifrance, Article L. 1111-8 du code de la santé publique.
• Fourchettes tarifaires : catalogue de prestations Lyyp.