Une simulation d’hameçonnage consiste à envoyer volontairement à vos collaborateurs un faux e-mail piégé, construit comme le ferait un attaquant, puis à observer ce qui se passe. Qui clique, qui signale, qui ne fait rien.
L’exercice a très bonne presse, et il le mérite en partie. Mais c’est aussi l’une des rares mesures de cybersécurité capable de faire plus de mal que de bien. Mal conçue, une campagne n’apprend rien et laisse derrière elle un sentiment durable de piège tendu par l’employeur. La manière compte ici autant que l’outil.
Qu’apporte réellement une simulation d’hameçonnage ?
Elle apporte deux choses, et il faut les distinguer.
Une mesure objective. Tant que vous n’avez pas testé, vous n’avez qu’une intuition sur la capacité de vos équipes à repérer un faux e-mail. La simulation transforme cette intuition en constat. Elle révèle souvent des choses inattendues : un service entier qui ne sait pas où signaler, une adresse générique que tout le monde consulte et personne ne surveille.
Un moment d’apprentissage placé au bon endroit. C’est le vrai apport, et il est difficile à obtenir autrement. Une personne qui vient de cliquer et qui découvre, à cet instant précis, qu’elle vient de tomber dans un piège retient la leçon d’une manière qu’aucune présentation ne produira jamais. L’attention est maximale parce que l’erreur est concrète et personnelle.
C’est exactement pour cette raison que la page affichée après le clic est l’élément le plus important de toute la campagne, bien avant le choix du scénario ou la finesse du faux e-mail.
Les règles qui séparent l’apprentissage de l’humiliation
Quatre règles. Elles ne se négocient pas, et une seule qui saute suffit à transformer l’exercice en source de rancune.
Aucune sanction, jamais. Ni formelle, ni informelle, ni la remarque en réunion d’équipe. Dès que cliquer devient risqué, plus personne ne signale ses erreurs, et c’est précisément la capacité de signalement qui vous sauvera lors d’une vraie attaque.
Aucun résultat nominatif communiqué. Les chiffres circulent en agrégé : taux global, éventuellement par service si les effectifs sont suffisants pour que personne ne soit identifiable. La liste des personnes qui ont cliqué n’a pas à remonter à la direction, ni à un chef d’équipe.
La direction participe aussi. Un dirigeant exclu du périmètre envoie un message clair : l’exercice s’adresse aux subordonnés. Or les dirigeants sont justement les cibles privilégiées des attaques ciblées, comme le montre la fraude au président. Leur participation change complètement la perception de la démarche.
La page après le clic explique, elle ne réprimande pas. Pas de « vous avez échoué », pas de compteur rouge. Un texte court qui reprend l’e-mail reçu, montre les deux ou trois indices qui trahissaient la supercherie, rappelle où signaler un e-mail suspect, et remercie. Le ton doit être celui d’un collègue, pas d’un contrôleur.
Avant de lancer une campagne, posez-vous cette question : si un collaborateur croise le dirigeant dans le couloir juste après avoir cliqué, la conversation est-elle gênante ? Si oui, quelque chose ne va pas dans la conception de l'exercice. Une bonne simulation crée de la curiosité, pas de la honte.
Quels appâts ne faut-il jamais utiliser ?
C’est le point sur lequel beaucoup de campagnes dérapent, souvent avec les meilleures intentions du monde. La logique du concepteur est tentante : plus l’appât est efficace, plus le test est réaliste. Elle est fausse.
Le faux e-mail annonçant une prime ou une augmentation. Le faux e-mail évoquant un licenciement, un plan social ou une restructuration. Le faux e-mail touchant à un sujet personnel sensible : santé, famille, situation financière, procédure disciplinaire. Ces campagnes obtiennent des taux de clic spectaculaires et n'apprennent strictement rien.
Pourquoi rien ? Parce que ces e-mails ne testent pas la vigilance. Ils exploitent une émotion à laquelle la vigilance ne résiste pas. Personne n’analyse froidement l’adresse d’expéditeur d’un message qui annonce la suppression de son poste. Le résultat mesure la force de l’appât, pas la compétence des personnes.
Et le coût est réel. Un collaborateur qui a cru pendant trente secondes à une prime inexistante, ou à un licenciement imaginaire, ne retiendra pas une leçon de cybersécurité. Il retiendra que son employeur a joué avec son argent, son emploi ou sa vie privée pour faire une statistique. Cette confiance abîmée ne se répare pas avec un e-mail d’explication.
La règle pratique est simple : le scénario doit rester dans le registre professionnel banal. Une facture, une livraison, une demande de signature électronique, un message d’un prestataire. C’est d’ailleurs ce que font réellement la majorité des attaquants, comme le détaille notre article sur l’hameçonnage.
Que dit vraiment le taux de clic ?
Le taux de clic est l’indicateur que tout le monde regarde. Il faut savoir ce qu’il vaut.
Il dit une chose utile : à un instant donné, face à ce message précis, telle proportion de personnes a mordu. Comme point de départ, c’est instructif.
Il ne dit pas que vos équipes sont vigilantes. Une baisse au fil des campagnes signifie surtout que vos collaborateurs reconnaissent désormais vos simulations. Ils repèrent le format, l’heure d’envoi, la tournure de phrase, le domaine utilisé. Cet apprentissage est réel, mais il porte sur vos exercices, pas sur les attaques de demain.
Il ne dit pas non plus grand-chose de la sécurité de l’entreprise. Un taux de clic bas avec zéro signalement décrit une organisation aveugle : personne ne mord, personne n’alerte, et le jour où une seule personne cliquera, vous l’apprendrez trop tard.
| Indicateur | Ce qu’il mesure | Sa limite |
|---|---|---|
| Taux de clic | La séduction de cet appât précis | Baisse surtout parce qu’on reconnaît vos simulations |
| Taux de saisie d’identifiants | Le passage à l’acte complet | Dépend fortement du réalisme de la fausse page |
| Taux de signalement | La capacité réelle de l’organisation à détecter | Suppose qu’un canal de signalement existe et soit connu |
| Délai médian de signalement | La vitesse de réaction en cas d’attaque réelle | Sans valeur si le canal est mal identifié |
L’indicateur qui compte vraiment
Le taux de signalement, et le délai de signalement.
Le raisonnement est celui de la gestion d’incident, pas de la note scolaire. Dans une vraie attaque, vous ne pouvez pas espérer que personne ne clique. Vous pouvez en revanche espérer être prévenu vite, pour bloquer l’expéditeur, prévenir les autres et réinitialiser un mot de passe avant que l’attaquant s’en serve.
Dix personnes qui signalent un e-mail suspect valent mieux qu’une seule qui ne clique pas en silence. Les dix vous donnent une alerte exploitable. La onzième ne vous donne rien.
Le délai est tout aussi parlant. Un signalement en trois minutes permet d’agir. Un signalement le lendemain matin arrive après la bataille. Suivez le délai médian d’une campagne à l’autre, c’est l’un des rares chiffres qui reflète une amélioration réelle de votre organisation.
Ce qui suppose évidemment qu’un canal de signalement existe, qu’il soit simple, et que tout le monde le connaisse. Si vos collaborateurs ne savent pas à qui écrire, aucune campagne ne servira à quoi que ce soit.
Les aspects juridiques et sociaux
Une simulation d’hameçonnage traite des données qui concernent des personnes identifiables : qui a ouvert, qui a cliqué, quand. Cela mérite quelques précautions, et un peu de prudence dans la manière de les présenter.
En règle générale, trois réflexes évitent l’essentiel des difficultés.
Informer le personnel en amont du principe des exercices, de leur finalité pédagogique et de l’absence d’exploitation individuelle des résultats. On annonce qu’il y en aura, jamais quand.
Limiter et anonymiser les données. Ne conservez pas de résultats nominatifs au-delà de ce qui est strictement nécessaire au déroulement de la campagne, et raisonnez en chiffres agrégés dès la restitution.
Associer la représentation du personnel lorsqu’elle existe. Une commission du personnel ou un délégué informé en amont devient un relais utile, plutôt qu’un interlocuteur qui découvre l’exercice après coup.
Ces points touchent au droit du travail et à la protection des données, deux domaines où la situation dépend beaucoup de votre entreprise, de sa taille et de son organisation interne. Nous n’énonçons ici aucune obligation légale précise : avant une première campagne, faites valider votre dispositif par un conseil juridique. Les principes généraux applicables au traitement de données personnelles sont présentés dans notre article sur la nLPD pour les PME.
Par où commencer dans une PME de 15 personnes ?
Par ne pas commencer par là.
Une simulation n’a de sens que si les bases ont été posées. Dans une entreprise qui n’a jamais expliqué à ses équipes ce qu’est un e-mail frauduleux, l’exercice ne mesure qu’une ignorance dont personne n’est responsable, et il est vécu comme une mise en défaut.
L’ordre qui fonctionne tient en quatre étapes. D’abord, une sensibilisation de base, une heure suffit, sur les mécanismes de l’hameçonnage et de l’ingénierie sociale. Ensuite, un canal de signalement clair, connu de tous, avec une réponse garantie. Puis les mesures techniques qui limitent les dégâts d’un clic, à commencer par l’authentification à deux facteurs. Enfin seulement, une première campagne, annoncée dans son principe, avec un scénario banal.
Cette première campagne sert de mesure de référence, rien de plus. Sa valeur n’est pas dans le chiffre obtenu, mais dans les conversations qu’elle déclenche et dans ce qu’elle révèle de vos procédures.
Pour situer votre niveau de maturité avant de vous lancer, le check-up cyber fait le tour des prérequis, et les autres briques de la sensibilisation sont regroupées dans le pilier Formation.
Enfin, un rappel qui vaut pour tout cet article : ces principes constituent un cadre de départ, ils ne remplacent pas l’examen de votre situation réelle. La conception d’une campagne engage le climat interne autant que la sécurité, et c’est typiquement le genre d’exercice où un regard extérieur expérimenté évite un dégât social durable pour un bénéfice pédagogique qu’on aurait pu obtenir autrement.