03 62 26 31 40
Télémaintenance
Espace clients
logo horizontal capeoni
logo horizontal capeoni

Simulation de phishing en entreprise : entraînez vos équipes avant qu'un vrai hacker ne le fasse

Un clic. Une erreur humaine. Un ran­som­ware (1).

C’est tout ce qu’il faut pour mettre une entre­prise à genoux. Pas besoin d’un hacker en hoo­die dans un bun­ker russe. Juste un email bien fice­lé, un logo qui semble légi­time, et un col­la­bo­ra­teur qui ne se méfie pas.

Le phi­shing, c’est la cyber­me­nace numé­ro un pour les PME. Et pour­tant, com­bien d’organisations n'ont jamais tes­té leurs équipes ? Combien d’utilisateurs pensent pou­voir recon­naître une ten­ta­tive d’hameçonnage, mais cliquent quand même ?

Une cam­pagne de simu­la­tion de phi­shing, c’est le moyen le plus rapide, le plus effi­cace et le plus for­ma­teur pour évi­ter ça. Vous envoyez un faux mail. Vous obser­vez les clics. Vous éva­luez votre niveau de vigi­lance. Et sur­tout, vous appre­nez com­ment ren­for­cer votre culture cyber de l’intérieur, à base d’exercices réa­listes et per­son­na­li­sés.

Parce qu’entre une attaque réelle et une simu­la­tion bien menée, la dif­fé­rence c’est le prix… et les consé­quences.

(1) Un ran­som­ware, c'est ce pirate vicieux qui trans­forme vos fichiers en otages numé­riques et vous réclame une ran­çon en cryp­to, comme un kid­nap­ping high-tech où payer ne garan­tit même pas la libé­ra­tion !

Pourquoi vos collaborateurs sont votre maillon faible (et votre meilleure défense)

Les mêmes biais cog­ni­tifs qui poussent vos équipes à choi­sir des mots de passe comme "123456" les rendent vul­né­rables face aux ten­ta­tives de phi­shing. Notre cer­veau pri­vi­lé­gie la faci­li­té, sous-estime les risques et réagit à l'urgence sans réflé­chir. Comprendre cette psy­cho­lo­gie des mots de passe aide à conce­voir des scé­na­rios de test de phi­shing plus effi­caces.

Le risque humain : la faille que les hackers adorent

Vous pou­vez inves­tir dans les meilleurs pare-feu, anti­vi­rus et sys­tèmes de détec­tion. Si un uti­li­sa­teur clique sur le mau­vais lien et entre ses iden­ti­fiants, tout cela ne sert à rien.

Les cyber­cri­mi­nels le savent. C'est pour­quoi ils misent mas­si­ve­ment sur l'ingénierie sociale plu­tôt que sur les attaques tech­niques :

  • Environ 90% des cybe­rat­taques com­mencent par un email de phi­shing (étude Deloitt/ PhishMe, chiffre lar­ge­ment repris par le sec­teur en 2025)
  • Pour une PME fran­çaise, le coût médian d’une cybe­rat­taque tourne autour de 50 000 €, avec des cas cou­rants qui dépassent les 300 000 € selon la gra­vi­té (ANSSI 2025)
  • Lors des simu­la­tions, les pre­miers clics sur un email pié­gé sur­viennent sou­vent dans la pre­mière minute après récep­tion. (Proofpoint/Terranova)
    Un pro­gramme de sen­si­bi­li­sa­tion struc­tu­ré per­met géné­ra­le­ment de faire pas­ser un taux de clic de 20‑30% à moins de 5% sur plu­sieurs mois de cam­pagne

La sensibilisation classique ne suffit plus

Vous avez peut-être déjà fait une for­ma­tion à la cyber­sé­cu­ri­té. Une pré­sen­ta­tion PowerPoint, quelques conseils, un quiz en fin de ses­sion. Résultat ? Trois semaines plus tard, tout le monde a oublié.

Les erreurs cou­rantes des pro­grammes de sen­si­bi­li­sa­tion pas­sifs :

  • Pas de mise en situa­tion dans le monde réel
  • Aucune consé­quence à l'erreur
  • Pas de feed­back immé­diat
  • Décalage entre la théo­rie et le quo­ti­dien
  • Approche pas­sive qui ne crée pas de réflexe


Ce qui fonc­tionne vrai­ment : l'apprentissage par l'expérience.
Quand Marie a vu le mes­sage "Ceci était un test", elle a res­sen­ti quelque chose. De la gêne, de la sur­prise, peut-être de l'agacement. Mais sur­tout : elle s'en sou­vien­dra. Et la pro­chaine fois qu'un mes­sage sus­pect arri­ve­ra, elle sau­ra le recon­naître et le signa­ler.

Comment réaliser une simulation de phishing efficace : le principe

Comment ça marche ?

Une cam­pagne de simu­la­tion de phi­shing, c'est simple dans le concept : envoyer de faux cour­riels de phi­shing à vos col­la­bo­ra­teurs pour éva­luer le niveau de sen­si­bi­li­sa­tion et for­mer par l'expérience. L'objectif est d'identifier les fai­blesses avant qu'un vrai atta­quant ne les exploite.

Le pro­ces­sus type d'un exer­cice de simu­la­tion :

  1. Cadrage :  défi­ni­tion des scé­na­rios réa­listes adap­tés à votre orga­ni­sa­tion (fausse fac­ture, faux IT, faux mes­sage du diri­geant, simu­la­tion de spear phi­shing (2) ciblé…)
  2. Configuration : créa­tion des mails de phi­shing avec tous les élé­ments qui les rendent cré­dibles : nom de domaine proche du réel, logo de l'entreprise, style pro­fes­sion­nel…
  3. Envoi : les mes­sages élec­tro­niques réa­listes sont envoyés de manière éche­lon­née, sans pré­ve­nir les équipes
  4. Mesure :  on ana­lyse en temps réel qui a ouvert, qui a cli­qué, qui a entré des infor­ma­tions sen­sibles
  5. Feedback : les "cli­queurs" reçoivent immé­dia­te­ment une expli­ca­tion péda­go­gique
  6. Formation ciblée : les col­la­bo­ra­teurs les plus vul­né­rables béné­fi­cient d'un accom­pa­gne­ment ren­for­cé

(2) spear phi­shing est une attaque de phi­shing ultra-ciblée où un cyber­cri­mi­nel vous adresse un mes­sage per­son­na­li­sé, en se fai­sant pas­ser pour une connais­sance, afin de vous inci­ter à cli­quer sur un lien mal­veillant ou à divul­guer des infor­ma­tions sen­sibles

 

C'est légal ? C'est éthique ?

Oui, à condi­tion de res­pec­ter quelques règles clés :

  • Informer en amont (de manière géné­rale) que des tests de sécu­ri­té peuvent avoir lieu, sans pré­ci­ser quand
  • Ne pas pié­ger pour humi­lier, l'objectif est péda­go­gique, pas puni­tif
  • Garantir l'anonymat des résul­tats indi­vi­duels auprès de la hié­rar­chie (seules les stats glo­bales sont par­ta­gées dans le rap­port)
  • Proposer sys­té­ma­ti­que­ment une for­ma­tion après chaque test de phi­shing
  • Respecter la confor­mi­té RGPD dans le trai­te­ment des don­nées

Quels outils pour simuler des attaques de phishing ?

Les principales plateformes de simulation

Il existe un large éven­tail de solu­tions pour lan­cer une cam­pagne de phi­shing. Voici les outils de simu­la­tion les plus uti­li­sés :

Plateforme

Type

Points forts

Idéal pour

GoPhish

Open source / simu­la­tion gra­tuite

Gratuit, per­son­na­li­sable, inter­face uti­li­sa­teur simple

PME avec res­sources IT internes

Sophos Phish Threat

Service de simu­la­tion inté­gré

Templates réa­listes, inté­gra­tion sécu­ri­té glo­bale, rap­port détaillé

PME cher­chant une solu­tion com­plète

Riot (TryRiot)

Plateforme de simu­la­tion SaaS

Sensibilisation conti­nue, micro-learning, sui­vi dans le temps

Entreprises vou­lant une culture de la cyber­sé­cu­ri­té

PhishMe (Cofense)

Logiciel de simu­la­tion entre­prise

Large éven­tail de scé­na­rios, ana­lyse com­por­te­men­tale

Grandes orga­ni­sa­tions

CybSafe

Service de sen­si­bi­li­sa­tion

Approche com­por­te­men­tale, per­son­na­li­sé par métier

Entreprises axées chan­ge­ment de com­por­te­ment

PhishingBox

Outil de simu­la­tion cloud

Simple à uti­li­ser, tem­plates variés

Première cam­pagne

MailGuard

Protection + simu­la­tion

Filtrage email + tests inté­grés

Double pro­tec­tion

Les outils qu'on utilise chez CAPEONI

Chez CAPEONI, on s'appuie sur deux pla­te­formes com­plé­men­taires pour pro­té­ger votre orga­ni­sa­tion :

Sophos Phish Threat (inté­gré à notre offre sécu­ri­té infor­ma­tique, par­te­naire Gold Sophos) : ce simu­la­teur crée des cam­pagnes d'hameçonnage per­son­na­li­sées avec des tem­plates réa­listes, suit les résul­tats en temps réel (ouver­tures, clics, iden­ti­fiants sai­sis), déclenche des for­ma­tions auto­ma­tiques pour les col­la­bo­ra­teurs pié­gés et ana­lyse les risques par ser­vice.

Riot (TryRiot) : cette pla­te­forme pro­pose des simu­la­tions phi­shing régu­lières et variées, des micro-formations enga­geantes, un tableau de bord pour mesu­rer la pro­gres­sion de la sen­si­bi­li­sa­tion, avec du conte­nu mul­ti­lingue.

Comment créer des scénarios de phishing réalistes : les techniques qui piègent vraiment

Les erreurs à bannir dans vos scénarios

Avant de créer vos tests de phi­shing, évi­tez ces erreurs cou­rantes qui faussent les résul­tats :

  • Scénarios trop gros­siers : un email truf­fé de fautes ne teste rien, les vraies attaques de phi­shing sont de plus en plus sophis­ti­quées
  • Négliger l'approche contex­tuelle : un scé­na­rio géné­rique sera moins effi­cace qu'un mes­sage per­son­na­li­sé selon le métier
  • Oublier les élé­ments visuels : logo, mise en page, style doivent sem­bler légi­times
  • Ignorer l'actualité : les hackers exploitent l'actualité brû­lante de 2025 comme la ren­trée sco­laire, les QR codes mal­veillants ("qui­shing"), les élec­tions avec deep­fakes ou les cybe­rat­taques sur des entre­prises comme Colis Privé pour rendre leurs phi­shing ultra-crédibles et pié­ger les vic­times en urgence.
  • Utiliser tou­jours le même type de scé­na­rio : variez pour tes­ter dif­fé­rents réflexes

 

Les scénarios qui fonctionnent (taux de clic observés en première campagne)

Scénario

Cible pri­vi­lé­giée

Taux de clic moyen

Fausse fac­ture impayée

Comptabilité

25–40%

"Votre mot de passe expire"

Tout le per­son­nel

20–35%

Faux mes­sage du DG (fraude au pré­sident)

Assistants, RH, comp­ta

40–54%

Colis en attente de livrai­son

Tout le monde

30–45%

Invitation LinkedIn/Teams

Commerciaux, direc­tion

20–35%

Fausse clé USB "trou­vée"

Curieux

15–25%

Alerte sécu­ri­té urgente

IT, tech­nique

20–30%

Quishing (QR code)

Tout le monde

65–70%

Sources des Taux de Clic Phishing 2025

  • IT Systemes : phi­shing 2025, 82% entre­prises vul­né­rables, taux clics éle­vés sur factures/colis
  • VIPRE Q2 Report : ten­dances email threats 2025, moyennes spear-phishing 20–50%
  • KnowBe4 Rapport FR : vul­né­ra­bi­li­té employés fran­çais, fraude pré­sident 40–54%
  • Cyberhack Étude : simu­la­tions 2025, qui­shing à + de 65%

Scénarios personnalisés par service

Comptabilité / Finance :

  • Changement de RIB four­nis­seur (usur­pa­tion d'identité clas­sique)
  • Relance de fac­ture impayée
  • Notification ban­caire urgente

Ressources humaines :

  • CV pié­gé en pièce jointe
  • Demande de mise à jour de coor­don­nées
  • Faux mes­sage d'un orga­nisme social

Direction / Assistants :

  • Fraude au pré­sident ("Virement urgent confi­den­tiel")
  • Invitation à une visio­con­fé­rence
  • Partage de docu­ment "confi­den­tiel" via un lien

IT / Technique :

  • Fausse alerte de sécu­ri­té sur le site web
  • Mise à jour logi­cielle urgente
  • Notification de connexion sus­pecte

L'idée n'est pas de pié­ger pour pié­ger. C'est de repro­duire exac­te­ment ce que ferait un vrai atta­quant dans le monde réel, pour que vos équipes sachent recon­naître la menace et la signa­ler quand elle sera réelle.

Quelle est la durée d'une simulation de phishing ?

Planning type d'une campagne de sensibilisation

Étape

Durée

Ce qui se passe

Cadrage

1h

On défi­nit ensemble les scé­na­rios per­ti­nents pour votre acti­vi­té, vos équipes, votre sec­teur

Configuration

2–3 jours

Préparation des emails, lan­ding page, mes­sages de feed­back, choix du nom de domaine

Campagne

1–2 semaines

Envoi éche­lon­né pour évi­ter que les col­la­bo­ra­teurs se pré­viennent entre eux

Analyse

2 jours

Compilation des résul­tats, iden­ti­fi­ca­tion des pro­fils vul­né­rables, inter­pré­ta­tion des don­nées

Restitution

1h

Présentation du rap­port glo­bal (ano­ny­mi­sé) + recom­man­da­tions concrètes

Formation

Variable

Sessions ciblées pour les col­la­bo­ra­teurs qui en ont besoin

Durée totale de la simu­la­tion : géné­ra­le­ment 3 à 4 semaines entre le cadrage et la res­ti­tu­tion finale.


Ce que vous obtenez à l'issue de l'exercice

  • Un rap­port détaillé : taux d'ouverture, taux de clic, taux de com­pro­mis­sion par ser­vice
  • Une car­to­gra­phie du risque humain : quels ser­vices sont les plus vul­né­rables ?
  • Des recom­man­da­tions concrètes : quelles actions prio­ri­taires pour amé­lio­rer la pos­ture de sécu­ri­té ?
  • Un plan de sen­si­bi­li­sa­tion : fré­quence des pro­chaines cam­pagnes, for­ma­tions à pré­voir
  • Une base de réfé­rence : pour mesu­rer la sen­si­bi­li­té et les pro­grès au fil du temps

 

Quels sont les bénéfices d'une simulation de phishing ?

Renforcer la vigilance de manière durable

Le prin­ci­pal béné­fice : trans­for­mer une vul­né­ra­bi­li­té (le fac­teur humain) en ligne de défense active. Au lieu d'espérer que vos employés ne cliquent pas, vous leur don­nez les moyens de recon­naître et signa­ler les cyber­me­naces.

Résultats mesu­rables :

  • Réduire le taux de clics de 30–40% à moins de 5% en quelques cam­pagnes
  • Augmenter les signa­le­ments d'emails sus­pects (créa­tion du réflexe)
  • Identifier les com­por­te­ments à risque avant qu'ils ne causent des dégâts
  • Évaluer la résis­tance de chaque ser­vice face aux attaques

Créer une culture de la cybersécurité

Au-delà des chiffres, les simu­la­tions de phi­shing ins­tallent une culture de la vigi­lance :

  • Les col­la­bo­ra­teurs parlent entre eux des ten­ta­tives reçues
  • Le sujet cyber­sé­cu­ri­té devient concret, pas abs­trait
  • La sen­si­bi­li­sa­tion aux attaques devient un sujet col­lec­tif, pas indi­vi­duel
  • La pro­tec­tion contre les attaques devient l'affaire de tous

Justifier les investissements sécurité

Un rap­port de simu­la­tion four­nit des don­nées concrètes pour :

  • Convaincre la direc­tion d'investir dans la for­ma­tion à la sécu­ri­té
  • Prioriser les actions selon le niveau de risque réel
  • Démontrer l'amélioration au fil du temps (ROI mesu­rable)
  • Répondre aux exi­gences de confor­mi­té et d'audit

Comment sensibiliser les employés au phishing : transformer l'erreur en apprentissage

Le feedback immédiat : la clé de l'efficacité

Quand un col­la­bo­ra­teur clique sur un lien pié­gé, il ne reçoit pas un email de répri­mande. Il arrive sur une page qui lui explique :

  • Ce qui aurait dû l'alerter dans l'email (expé­di­teur sus­pect, lien bizarre, urgence arti­fi­cielle…)
  • Ce qui se serait pas­sé si c'était une vraie attaque
  • Les bons réflexes à adop­ter la pro­chaine fois
  • Un conseil pra­tique immé­dia­te­ment appli­cable

C'est ce feed­back immé­diat qui crée l'ancrage mémo­riel. L'erreur devient une leçon, pas une humi­lia­tion.

La formation ciblée : adaptée à chacun

Tous vos col­la­bo­ra­teurs n'ont pas le même niveau de vigi­lance. Inutile d'infliger 2h de for­ma­tion à quelqu'un qui a détec­té le piège. En revanche, ceux qui ont cli­qué et entré leurs iden­ti­fiants ont besoin d'un accom­pa­gne­ment ren­for­cé.

Notre approche de sen­si­bi­li­sa­tion et de for­ma­tion par niveau :

  • Niveau 1 (n'a pas cli­qué) : simple rap­pel des bonnes pra­tiques, res­source à consul­ter
  • Niveau 2 (a cli­qué mais pas sai­si d'infos) : micro-formation de 15 minutes
  • Niveau 3 (a sai­si des iden­ti­fiants) : ses­sion dédiée + sui­vi ren­for­cé + nou­veau test à 30 jours

La répétition : le secret des entreprises vraiment protégées

Une cam­pagne par an, c'est mieux que rien. Mais ce n'est pas suf­fi­sant. Les atta­quants, eux, n'envoient pas qu'un email par an.

Les entre­prises les plus rési­lientes pra­tiquent des simu­la­tions tous les mois ou tous les tri­mestres, avec des scé­na­rios variés. Résultat : la vigi­lance devient un réflexe, pas un effort. C'est la base d'un vrai pro­gramme de sen­si­bi­li­sa­tion effi­cace.



Passez de la théorie à la pratique

Vous pou­vez lire tous les articles du monde sur le phi­shing. Cela ne vous dira jamais si votre comp­table cli­que­rait sur une fausse fac­ture, ou si votre assis­tant ouvri­rait un "docu­ment urgent du PDG".

La seule façon de le savoir : tes­ter.

Chez CAPEONI, on accom­pagne les PME des Hauts-de-France dans la mise en place de cam­pagnes de simu­la­tion adap­tées à leur réa­li­té. Pas de solu­tion géné­rique, des scé­na­rios pen­sés pour votre sec­teur, vos équipes, vos risques. Notre ser­vice de simu­la­tion s'appuie sur Sophos Phish Threat et Riot pour vous offrir une pro­tec­tion com­plète.

Première étape ? Un échange de 30 minutes pour com­prendre votre contexte et lan­cer votre pre­mière cam­pagne.

 

→ Tester la vigi­lance de mes équipes

 

Articles liés

FAQ : vos questions sur la simulation phishing

Est-ce que les collaborateurs ne vont pas mal le prendre ?

C'est une ques­tion légi­time. La clé, c'est la com­mu­ni­ca­tion en amont et le ton employé. On ne piège pas pour humi­lier. On teste pour pro­té­ger. Si c'est pré­sen­té comme un outil d'amélioration col­lec­tive (et non de fli­cage indi­vi­duel), l'adhésion est géné­ra­le­ment bonne. Les col­la­bo­ra­teurs pré­fèrent échouer à un test que face à un vrai hacker.

Oui, c'est recom­man­dé. Informer les ins­tances repré­sen­ta­tives que des tests de sécu­ri­té peuvent avoir lieu (sans pré­ci­ser les dates) per­met de cadrer l'exercice et d'éviter les ten­sions. L'anonymat des résul­tats indi­vi­duels doit être garan­ti. Certaines entre­prises font appel à un tiers de confiance pour garan­tir cette neu­tra­li­té.

Tant mieux ! La simu­la­tion le confir­me­ra. Et même les équipes les plus vigi­lantes ont besoin de res­ter affû­tées. Les tech­niques d'attaque évo­luent constam­ment vos défenses humaines doivent suivre. Une nou­velle forme de phi­shing ultra-ciblé peut trom­per même les plus aguer­ris.

Oui, GoPhish est un excellent logi­ciel de simu­la­tion open source. Mais atten­tion : il néces­site des com­pé­tences tech­niques pour la mise en place, la confi­gu­ra­tion du ser­veur mail, et l'interprétation des résul­tats. Pour une pre­mière cam­pagne, un accom­pa­gne­ment pro­fes­sion­nel évite les erreurs de débu­tant et garan­tit des résul­tats exploi­tables.

Minimum : 2 à 4 cam­pagnes par an pour main­te­nir la vigi­lance. Idéal : une simu­la­tion men­suelle avec des scé­na­rios variés, inté­grée à un pro­gramme de sen­si­bi­li­sa­tion conti­nu.

Point clé : la régu­la­ri­té compte plus que l'intensité. Mieux vaut 12 petits tests qu'un seul exer­cice annuel mas­sif.

Vous pourriez être intéressé par d'autres sujets :

RGPD responsabilité

Dirigeant de PME : êtes-vous juridiquement responsable en cas de cyberattaque ?

•
27 février 2026
•
Conseil & Audit infor­ma­tique

Ce que la loi dit vrai­ment… et ce que beau­coup de chefs d'entreprise ignorent encore. Dirigeant de PME ou TPE, pensez-vous vrai­ment que la cyber­sé­cu­ri­té est uni­que­ment une affaire tech­nique ? Une ques­tion de pres­ta­taire infor­ma­tique, de pare-feu ou d'assurance cyber ?

amende logiciel cracké entreprise_capeoni

Logiciel cracké en entreprise : le risque invisible qui coûte (beaucoup) plus cher qu’une licence

•
26 février 2026
•
Cybersécurité & pro­tec­tion

Un employé télé­charge une ver­sion "gra­tuite" de micro­soft office. Quelques mois plus tard, l'entreprise reçoit une amende de 150 000 euros*. Chaque année, des TPE et PME découvrent que l'utilisation de logi­ciels pira­tés consti­tue un délit pas­sible d'emprisonnement et de sanc­tions finan­cières impor­tantes.