Il existe une phrase que tout dirigeant a déjà entendue en matière de cybersécurité : l’humain est le maillon faible. Elle est répétée dans les conférences, les brochures et les offres commerciales.
Elle est à la fois vraie et profondément contre-productive. Vraie, parce que la grande majorité des attaques passent aujourd’hui par une personne plutôt que par une faille technique. Contre-productive, parce qu’un collaborateur qui se sent désigné comme la faiblesse du système fait exactement l’inverse de ce dont vous avez besoin : il se tait.
Voici pourquoi cette expression pose mal le problème, et ce qui distingue une sensibilisation qui change les réflexes d’une case cochée dans un tableau.
Pourquoi les attaquants visent-ils les personnes ?
Attaquer une machine demande du temps, des compétences et de la chance. Il faut trouver une faille, l’exploiter avant qu’elle soit corrigée, contourner un pare-feu. Attaquer une personne demande un courriel bien tourné et un peu de patience.
Les chiffres suisses reflètent ce choix. Au deuxième semestre 2025, sur l’ensemble des annonces reçues par l’Office fédéral de la cybersécurité, la fraude représentait 15 090 annonces, soit 52 % du total, devant l’hameçonnage avec 6 299 annonces. Autrement dit : plus d’une annonce sur deux concerne une tentative de tromper quelqu’un, pas de casser une machine.
L’arnaque au président illustre bien le phénomène. Ce type d’attaque, où un escroc se fait passer pour un dirigeant afin d’obtenir un virement urgent, a fait l’objet de 605 annonces d’entreprises suisses au premier semestre 2025 et 366 au second. Aucune de ces tentatives ne repose sur une prouesse technique. Toutes reposent sur l’autorité, l’urgence et la confiance.
Le raisonnement de l’attaquant est simple : votre pare-feu ne répond pas au téléphone, votre comptable si.
Une conséquence pratique en découle : la taille de l’entreprise ne protège plus. Les campagnes ne ciblent personne en particulier, elles ratissent. Une entreprise de six personnes reçoit les mêmes messages frauduleux qu’un groupe international, avec beaucoup moins de moyens pour les filtrer.
Vendredi, 16 h 40. Le téléphone sonne à la comptabilité. Un interlocuteur poli se présente comme le nouveau contact d'un fournisseur que vous connaissez bien. Il annonce un changement de coordonnées bancaires, confirmé par un courriel envoyé dans la foulée depuis une adresse qui ressemble à la bonne. Rien dans cet échange n'est techniquement anormal : aucun logiciel malveillant, aucune pièce jointe, aucun lien piégé. Le filtre antispam ne verra rien. Seule une personne formée à vérifier tout changement bancaire par un appel au numéro connu arrêtera l'opération.
Ce qu’aucun outil technique ne peut faire à votre place
Les protections techniques restent indispensables. Un filtre de messagerie, une authentification à deux facteurs et des sauvegardes correctes écartent la majorité des attaques automatisées. Nous les détaillons dans le pilier Bonnes pratiques.
Mais trois situations sortent complètement de leur portée.
Un appel téléphonique. Aucun logiciel n’analyse la conversation qu’un collaborateur a avec un inconnu convaincant. C’est le canal privilégié des faux supports informatiques et des faux fournisseurs.
Une demande urgente qui semble venir de la direction. Si le message ne contient ni lien ni pièce jointe, il est techniquement inoffensif. Ce qui le rend dangereux, c’est la relation hiérarchique qu’il exploite. Voir notre article sur la fraude au président.
Un courriel légitime envoyé depuis une boîte piratée. Quand un attaquant prend le contrôle de la messagerie d’un partenaire réel, le message part d’une vraie adresse, dans un vrai fil de discussion. Aucune protection technique ne le signale, parce qu’il n’a rien d’anormal. Voir la compromission de messagerie.
Dans ces trois cas, la dernière ligne de défense de votre entreprise est une personne. Pas un maillon faible : une ligne de défense. C’est une différence de regard, mais elle change tout le reste.
Que coûte l’absence de sensibilisation ?
Le coût ne se mesure pas en francs de formation économisés. Il se mesure en temps de réaction.
Une PME sans culture de la sécurité perd du temps à trois moments. Avant l’incident, parce que personne ne repère les signaux d’une tentative en cours. Pendant, parce que la personne concernée ne sait pas qui prévenir. Après surtout, parce que le problème est découvert par hasard, souvent plusieurs jours plus tard, quand un virement est déjà parti ou que des fichiers sont déjà chiffrés. Arrêt d’activité, perte de données, obligations d’annonce, confiance entamée : chacune de ces conséquences s’aggrave avec le temps écoulé.
Il existe un second coût, moins visible : celui des décisions que personne n’ose prendre. Face à une demande de paiement inhabituelle, refuser c’est risquer de contrarier un client ou un supérieur, accepter c’est peut-être exécuter une fraude. En l’absence de règle claire, la plupart des gens choisissent de ne pas faire de vagues. La sensibilisation sert d’abord à leur donner le droit de dire non, et une procédure sur laquelle s’appuyer pour le faire.
Notre simulateur de coût d’une attaque permet d’estimer, avec vos propres chiffres, ce que représenteraient quelques jours d’arrêt pour votre entreprise. C’est en général le calcul qui convainc le mieux une direction hésitante.
Ce qui ne fonctionne pas
Beaucoup d’entreprises ont le sentiment d’avoir traité le sujet. Elles ont souvent fait l’une de ces quatre choses.
La note de service. Un courriel interne rappelant qu’il faut « rester vigilant » informe, mais ne forme personne. Personne ne sait ce que « vigilant » signifie concrètement un mardi matin devant sa boîte de réception.
La charte signée puis oubliée. Le document signé à l’embauche a une valeur juridique réelle, que nous abordons dans l’article charte informatique. Il n’a aucune valeur pédagogique deux ans plus tard.
La séance annuelle de deux heures. Elle coche la case, elle rassure, et son effet s’estompe en quelques semaines. La sécurité n’est pas une connaissance à acquérir une fois, c’est un réflexe à entretenir.
La culpabilisation. C’est la plus coûteuse des quatre. Humilier la personne qui a cliqué, en réunion ou par une remarque, envoie un message limpide à toute l’équipe : la prochaine fois, mieux vaut ne rien dire et espérer que ça passe.
Un collaborateur qui signale son erreur dans les dix minutes vous laisse une chance d'isoler le poste, de changer les mots de passe et de bloquer un virement encore en attente. Le même collaborateur qui n'ose rien dire vous laisse découvrir le problème trois jours plus tard. L'erreur est identique, les dégâts n'ont rien à voir. Une entreprise qui punit le clic finit par n'apprendre les incidents que lorsqu'ils sont irréversibles.
Ce qui fonctionne
Une sensibilisation efficace tient en quelques principes, tous applicables sans budget particulier.
| Principe | En pratique | Pourquoi ça marche |
|---|---|---|
| Court | 15 à 20 minutes, un seul sujet | L’attention et la mémoire suivent |
| Régulier | 3 à 4 fois par an, plutôt qu’une fois | Entretient un réflexe au lieu d’une connaissance |
| Concret | Vos vrais fournisseurs, vos vrais processus | Le générique ne s’applique jamais à personne |
| Ouvert | Questions bienvenues, erreurs discutées | Fait remonter les doutes avant l’incident |
| Partagé | Direction et cadres inclus | Ce sont les cibles principales |
Le format importe moins que la fréquence. Un point de quinze minutes lors d’une séance d’équipe, à partir d’un courriel suspect réellement reçu la semaine précédente, vaut mieux qu’un module en ligne d’une heure suivi en accéléré. Pour poser ces séquences sur une année entière, avec un thème par période, voyez notre programme de sensibilisation prêt à l’emploi.
Les sujets prioritaires sont peu nombreux : reconnaître une tentative d’hameçonnage, vérifier tout changement de coordonnées bancaires par un canal indépendant, ne jamais transmettre de code d’authentification par téléphone, et savoir précisément qui prévenir en cas de doute.
Ce dernier point mérite une réponse écrite et connue de tous. Une personne, un numéro, disponible. Un collaborateur qui ne sait pas qui appeler n’appelle pas.
La campagne nationale S-U-P-E-R, portée par la Confédération et ses partenaires, propose des supports de sensibilisation pensés pour un public non technique, autour de quatre règles simples : Sauvegarder, Updater, Protéger, Épier les recommandations. Le portail PME de la Confédération complète utilement ces supports. Ces documents sont réutilisables tels quels dans une séance d'équipe, sans frais.
Un dernier réglage compte : adapter les exemples au rôle de chacun. La comptabilité affronte les fraudes au paiement, la direction est visée parce qu’elle valide, l’accueil reçoit les appels et les visiteurs, c’est-à-dire les manipulations décrites dans notre article sur l’ingénierie sociale. Notre outil exposition publique montre au passage ce qu’un attaquant peut rassembler sur votre entreprise sans effort particulier.
Comment créer un climat où signaler est valorisé ?
C’est le point le plus important de cet article, et le moins coûteux à mettre en œuvre.
Tout le monde finira par cliquer sur quelque chose. Les attaques d’aujourd’hui sont soignées, rédigées dans un français correct, adaptées au contexte de l’entreprise. Partir du principe qu’une équipe formée ne se fera jamais tromper est irréaliste.
La seule variable sur laquelle vous gardez la main est le délai entre le clic et le signalement. Ce délai dépend d’une chose : ce que le collaborateur pense qu’il va lui arriver s’il parle.
Concrètement, cela se construit avec trois habitudes. Remercier publiquement celui qui signale, y compris quand l’alerte était infondée. Ne jamais désigner nommément l’auteur d’une erreur devant l’équipe. Et raconter les incidents comme des cas d’apprentissage, sans nom, dans le point de sensibilisation suivant.
Une direction qui reconnaît elle-même avoir failli manquer une tentative fait plus pour la sécurité de son entreprise que trois modules de formation.
Ce climat se construit, il ne se décrète pas, et quelques réflexes de direction suffisent à le détruire sans le vouloir. Nous les détaillons dans créer une culture de sécurité sans culpabiliser.
Ce que la sensibilisation interne ne peut pas vous dire
Tout ce qui précède est à la portée d’une PME, sans budget conséquent, et produit des effets réels. Il faut le faire, et le faire soi-même est parfaitement légitime.
Deux limites subsistent néanmoins.
Vous ne saurez pas si ça fonctionne. Une équipe attentive en séance n’est pas une équipe qui réagira correctement six mois plus tard, face à un message soigné, un vendredi soir. Mesurer un comportement réel demande une observation construite, et un regard qui n’est pas celui de la personne qui a animé la formation. C’est précisément ce que cherchent à obtenir les simulations d’hameçonnage, à condition d’être menées comme un outil pédagogique et non comme un piège.
Vous ne saurez pas quoi enseigner en priorité. Les scénarios qui vous menacent réellement dépendent de vos flux financiers, de vos prestataires, de vos accès et de votre métier. Ils ne figurent dans aucun support générique. Les identifier suppose de regarder votre organisation telle qu’elle est, pas telle qu’une brochure la décrit.
Ces mesures constituent un socle solide. Elles ne remplacent pas une analyse de votre situation particulière, ni un contrôle par quelqu’un qui sait où regarder.
Pour situer votre point de départ, le check-up cyber consacre plusieurs questions à la formation des équipes et à la remontée des incidents. Les autres articles du pilier Former ses équipes détaillent ensuite comment construire un programme et quoi faire une fois qu’une erreur a été signalée. Si vous préférez un support déjà prêt plutôt que de tout produire vous-même, nous préparons des formations en ligne pour les PME romandes.