Simulation de phishing en entreprise : comment tester vos collaborateurs (+ coûts)

Plus de 90 % des cyberattaques commencent par un e-mail de phishing. Un seul mauvais clic d'un seul collaborateur suffit pour laisser entrer un ransomware, voler des identifiants ou déclencher contre votre organisation une attaque à plusieurs millions. La sensibilisation à la sécurité fait partie de la solution, mais une formation sans mise à l'épreuve, c'est comme passer le permis de conduire sans leçon pratique. C'est pourquoi de plus en plus de PME se tournent vers la simulation de phishing : des e-mails de test contrôlés et réalistes qui apprennent aux collaborateurs à repérer les pièges avant que les vrais attaquants ne passent à l'action. Dans cet article, nous expliquons comment fonctionne une simulation de phishing, pourquoi elle est efficace, ce qu'elle coûte et comment vous lancer.

Qu'est-ce qu'une simulation de phishing, exactement ?

Une simulation de phishing est un exercice contrôlé au cours duquel un spécialiste IT ou un Managed Security Service Provider envoie de faux e-mails ou SMS de phishing aux collaborateurs d'une entreprise. Ces messages ressemblent à s'y méprendre à de vraies attaques : une facture d'un « fournisseur », une page de connexion Microsoft, un transporteur qui veut livrer un colis, voire un e-mail qui semble venir du directeur.

Le but n'est pas de piéger les collaborateurs, mais de mesurer :

• Quel pourcentage clique sur le lien ?
• Qui saisit ses identifiants sur la fausse page ?
• Qui signale l'e-mail au service IT comme il se doit ?
• Combien de temps s'écoule entre la réception et le signalement ?

À l'issue de l'exercice, les collaborateurs qui ont mordu à l'hameçon reçoivent immédiatement une courte formation ou une explication de ce qui n'allait pas. Ceux qui ont reconnu l'e-mail reçoivent un retour positif. Un événement potentiellement embarrassant devient ainsi un moment d'apprentissage précieux.

Pourquoi une simulation de phishing est-elle plus efficace qu'une simple formation ?

La sensibilisation à la sécurité est un sujet en vogue, mais les formations en ligne classiques ont un gros défaut : on fait défiler les diapositives, on coche la case et on a tout oublié en une semaine. La simulation de phishing aborde le problème autrement.

1. Apprendre dans l'environnement de travail réel

Une formation se déroule dans un environnement à part. Une simulation de phishing arrive dans la même boîte de réception que les vrais e-mails. C'est précisément le contexte dans lequel l'erreur peut se produire, et donc précisément celui dans lequel il faut apprendre.

2. Des résultats mesurables

Vous obtenez des chiffres concrets : 22 % de l'équipe clique, 6 % saisit ses identifiants, 8 % signale correctement l'e-mail. Vous pouvez ensuite mesurer si ces chiffres s'améliorent après les formations. Une cybersécurité mesurable, plutôt qu'une approche au doigt mouillé.

3. Un changement de comportement plutôt qu'un transfert de connaissances

Les recherches de KnowBe4 montrent que les entreprises qui mènent des simulations de phishing mensuelles pendant un an font passer leur « taux de clic » de 27 % en moyenne à 3-5 %. Cela représente 5 à 9 fois moins d'attaques réussies.

4. Répondre aux exigences de conformité

Pour les entreprises soumises à NIS2, à ISO 27001 ou à DORA, une formation de sensibilisation à la sécurité démontrable est obligatoire. Un programme de simulation de phishing produit automatiquement la documentation à présenter lors d'un audit.

Exemples de scénarios de simulation de phishing

Les meilleures campagnes varient en complexité et en contexte. Quelques exemples réalistes :

• L'e-mail « Votre mot de passe Microsoft 365 expire » : l'un des scénarios les plus utilisés, qui fonctionne toujours sur une partie de l'équipe.
• La fausse facture d'un fournisseur connu : avec un PDF à ne surtout pas ouvrir ou un bouton « Cliquez ici pour payer ».
• La fraude au président : un e-mail qui semble venir du directeur et demande de virer rapidement une somme ou d'acheter une carte cadeau.
• L'avis de livraison DHL/PostNL : « Votre colis n'a pas pu être livré, cliquez ici pour planifier une nouvelle livraison ».
• La demande de connexion LinkedIn : avec un lien vers une fausse page de connexion.
• Le smishing (phishing par SMS) : réaliste, car de plus en plus d'attaques passent par les canaux mobiles.

Un bon partenaire commence par des e-mails simples et augmente la difficulté à mesure que les collaborateurs progressent. Les scénarios deviennent de plus en plus sophistiqués, jusqu'au niveau du phishing généré par l'IA, impossible à distinguer à l'œil nu d'un message authentique.

À quoi ressemble un programme professionnel de simulation de phishing ?

Une bonne démarche comprend six étapes :

1. État des lieux initial : une première campagne sans avertissement préalable, pour établir une base de référence honnête.
2. Analyse : quels services sont les plus vulnérables ? Quels scénarios fonctionnent le mieux ? Quels collaborateurs signalent bien ?
3. Formation sur mesure : les collaborateurs qui ont réagi reçoivent une formation courte et ciblée. Non pas comme une sanction, mais comme une occasion d'apprendre.
4. Campagnes de suivi : toutes les 4 à 6 semaines, une nouvelle simulation avec d'autres scénarios, de plus en plus difficiles.
5. Reporting à la direction : chaque mois, un état du « phish prone percentage » (taux de vulnérabilité au phishing) et de son évolution dans le temps.
6. Évaluation annuelle : la politique est-elle efficace ? Faut-il ajuster la démarche ?

Important : prévenez votre équipe à l'avance qu'un programme de simulation va être mis en place. Pas les e-mails ni les dates exacts, mais bien le fait que cela va arriver. Cela évite que les gens se sentent pris en traître et favorise une culture d'ouverture autour de la cybersécurité.

Combien coûte une simulation de phishing en 2026 ?

Comme pour d'autres services de sécurité, le prix dépend de la taille de l'entreprise et du nombre de campagnes. Tarifs courants :

• Simulation ponctuelle (formule de base) : 500 à 1 500 € pour une entreprise jusqu'à 50 collaborateurs
• Programme annuel (4 à 6 campagnes) : 1 800 à 4 500 € par an pour une entreprise jusqu'à 50 collaborateurs
• Programme complet de sensibilisation à la sécurité (simulation de phishing + e-learning + reporting) : 8 à 18 € par collaborateur et par mois

Pour une entreprise de 40 collaborateurs, cela représente 320 à 720 € par mois. Comparez avec le coût moyen d'une attaque de phishing réussie (150 000 à 250 000 €, ransomware, atteinte à la réputation et interruption d'activité compris) : le retour sur investissement est évident. Pour en savoir plus sur les budgets de cybersécurité, lisez ce que coûte la cybersécurité pour une PME.

5 erreurs fréquentes dans les simulations de phishing

1. Mettre les collaborateurs au pilori

Si quelqu'un clique lors de la simulation, ne le dites pas ouvertement en réunion. Cela crée de la peur au lieu d'une envie d'apprendre. Le retour doit toujours être individuel et constructif.

2. Trop ou trop peu de campagnes

Un test par an n'a guère d'effet. Mais des tests hebdomadaires, c'est excessif et cela entraîne une « lassitude face au phishing ». Le juste milieu se situe à une campagne toutes les 4 à 6 semaines.

3. Toujours utiliser le même type d'e-mails

Si chaque simulation ressemble à un e-mail Microsoft, les gens n'apprennent à reconnaître que ce type-là. Variez l'expéditeur, le ton, la langue et le canal (e-mail, SMS, message Teams).

4. Aucun lien avec la formation

Une simulation sans formation à la suite, c'est un instrument de mesure sans amélioration. Veillez à ce que chaque clic ou action erronée déclenche automatiquement un court module d'apprentissage.

5. Pas de bouton de signalement dans Outlook

Les collaborateurs doivent pouvoir signaler facilement les e-mails suspects. Installez dans Outlook un bouton « Signaler un phishing » qui crée un ticket auprès de votre partenaire IT ou de votre SOC. C'est un élément incontournable d'une bonne formation de sensibilisation à la sécurité.

Pour quelles entreprises une simulation de phishing est-elle pertinente ?

En bref : pour pratiquement toute entreprise de plus de 5 collaborateurs. Mais dans certains secteurs, elle est quasiment obligatoire :

• Cabinets d'avocats : haute confidentialité, données de valeur, obligations envers l'ordre des avocats néerlandais (NOvA)
• Établissements de santé : données patients sensibles, conformité à la norme NEN 7510
• Prestataires de services financiers : conformité DORA, risques élevés
• Cabinets d'expertise comptable : accès aux données des clients, cibles fréquentes
• Toutes les entreprises soumises à NIS2 : obligation explicite de sensibilisation à la sécurité

Conclusion

La simulation de phishing est l'une des mesures les plus efficaces et les plus abordables pour rendre votre organisation plus résistante aux cyberattaques. Elle fonctionne parce qu'elle mesure et modifie les comportements réels, et parce qu'elle correspond à la façon dont les gens utilisent concrètement leur messagerie. Associez-la à une sécurité des terminaux moderne, à l'authentification multifacteur (MFA) et à une bonne stratégie de sauvegarde, et vous disposerez des bases d'une cyber-résilience solide.

Vous voulez savoir à quel point votre équipe est vulnérable au phishing ? Demandez une simulation de phishing sans engagement ou appelez directement nos spécialistes en cybersécurité au +31 85 303 5869. En deux semaines, vous disposez d'un état des lieux concret et savez précisément où se situent les risques, sans mettre vos collaborateurs dans l'embarras.