Un matin ordinaire chez Sophie B., une collaboratrice s'apprête à régler une facture reçue par e-mail. Le logo est bon, le montant crédible, l'adresse de l'expéditeur presque identique à celle du prestataire habituel — une seule lettre a changé. Elle hésite une seconde, décroche son téléphone, appelle. C'était un faux, et ce jour-là personne n'a payé. Mais Sophie B. repart avec une question qui ne la lâche plus : et si l'appel n'avait pas eu lieu ? C'est exactement à cette question qu'une simulation de phishing permet de répondre — sans attendre la vraie attaque.
Pourquoi une simulation de phishing en apprend plus qu'une formation
Commençons par les mots. Le phishing — ou hameçonnage — désigne un faux message qui imite une source de confiance (une banque, un fournisseur habituel, la direction) pour pousser quelqu'un à cliquer sur un lien, saisir un mot de passe ou régler un paiement. Une simulation de phishing, c'est ce même faux message, mais totalement inoffensif : l'entreprise se l'envoie à elle-même, en conditions réelles, pour observer comment ses équipes réagissent — qui clique, qui doute, qui signale.
Pour une fiduciaire comme celle de Sophie B., le sujet n'a rien de théorique. Ses équipes manipulent chaque jour la comptabilité, les salaires et les données fiscales de centaines de clients, sous le sceau du secret professionnel. Il n'y a pas d'informaticien à demeure, et l'essentiel du travail transite par la messagerie. Un attaquant n'a donc pas besoin de percer un pare-feu ni de connaissances pointues : il lui suffit qu'une personne, un jour de rush, fasse confiance au mauvais e-mail. La porte d'entrée, ce n'est pas la technique, c'est l'attention humaine.
C'est là que la formation montre ses limites. Une séance de sensibilisation en salle explique très bien ce qu'il faudrait faire ; elle ne dit pas ce que vos équipes font réellement un mardi à 17 h, entre deux clôtures, quand un message urgent tombe. Savoir n'est pas la même chose qu'agir sous pression. La simulation comble ce fossé : elle transforme un principe abstrait en expérience vécue, sans conséquence réelle. L'Office fédéral de la cybersécurité (NCSC/OFCS), la référence suisse en la matière, recommande d'ailleurs une sensibilisation régulière plutôt qu'un cours ponctuel vite oublié.
Car ce que le phishing exploite n'a rien de technique. C'est presque toujours la même mécanique : un peu d'urgence (« à régler aujourd'hui »), une pincée d'autorité (le message semble venir d'un supérieur ou d'un partenaire important) et surtout la routine — un e-mail parmi cent autres, traité à la volée. Dans une petite structure où l'on se connaît et où les circuits de décision sont courts, ce mélange fonctionne redoutablement bien : personne n'a envie de faire attendre un client ou de vérifier une demande qui « a l'air normale ». Une simulation permet de voir cette mécanique à l'œuvre chez soi, en douceur, plutôt que de la découvrir le jour d'une vraie attaque.
Un point mérite d'être posé d'emblée, car il conditionne tout le reste : une campagne réussie ne cherche pas à prendre les gens en défaut. Son but n'est pas de dresser une liste de « ceux qui ont cliqué », mais de mesurer la solidité d'un réflexe collectif et de le renforcer. Une simulation menée comme un piège se retourne toujours contre celui qui l'organise : elle installe la peur et le silence, exactement l'inverse de ce que l'on veut obtenir. La bonne question n'est pas « qui s'est fait avoir ? », mais « qu'est-ce qui, chez nous, aide ou empêche de signaler un doute à temps ? ».
Ce qu'il faut retenir
- On ne teste pas des personnes, on teste des réflexes collectifs. L'objectif est d'apprendre ensemble, pas de piéger ni de classer. Une erreur de clic est une donnée, pas une faute.
- Le résultat n'est pas une note. Peu importe le taux exact : ce qui compte, c'est la conversation honnête qu'il ouvre et le réflexe de signalement qu'il installe durablement.
- La simulation complète les protections techniques, elle ne les remplace pas. La double authentification (MFA) — une deuxième preuve en plus du mot de passe, par exemple un code sur votre téléphone — et le filtrage des e-mails restent indispensables. Tester la vigilance humaine ne dispense pas de verrouiller la porte.
Les gestes à installer cette semaine
1. Poser le cadre bienveillant avant tout
Avant même de penser au premier e-mail, annoncez à vos équipes que des tests de vigilance auront lieu — le principe, pas la date. Décidez dès le départ, et dites-le : aucun nom ne sera cité, aucune sanction ne tombera. En Suisse, informer son personnel de ce type de démarche relève simplement de la transparence attendue par la nLPD, la nouvelle loi sur la protection des données. Un test caché et punitif détruit la confiance qu'il prétend construire ; un test annoncé et pédagogique fait exactement le contraire.
2. Viser réaliste, commencer petit
Le meilleur scénario n'est pas le plus rusé, c'est le plus banal : une fausse facture fournisseur, une notification de messagerie qui « expire », une demande interne pressante. Inutile de bâtir un montage sophistiqué que personne ne rencontrera jamais — l'idée est de refléter ce que vos équipes voient vraiment passer. Un premier test simple, sur un périmètre restreint, vous en apprendra déjà beaucoup, sans mobiliser des moyens que vous n'avez pas. Mieux vaut une campagne modeste et bien débriefée qu'une opération spectaculaire qui laisse un goût de piège. Vous pourrez toujours corser les scénarios ensuite, une fois que le cadre de confiance est posé et que chacun sait à quoi s'attendre.
3. Préparer le débrief avant d'appuyer sur « envoyer »
Décidez ce que vous ferez du résultat avant même de l'obtenir. La personne qui clique reçoit un court message pédagogique — « voici comment on repère ce type de message » —, jamais une remontrance. La personne qui signale, elle, devient un exemple que l'on met en avant. Le vrai livrable d'une campagne, ce n'est pas le pourcentage de clics : c'est le moment d'échange qui suit, où chacun comprend qu'il n'est pas seul face au doute et qu'il vaut toujours mieux poser la question. Une bonne campagne se juge sur la durée : si, trois mois plus tard, vos équipes signalent spontanément les messages suspects, elle a réussi, quel qu'ait été le premier résultat.
Ces trois gestes suffisent à démarrer sainement. Ce qu'ils ne remplacent pas, c'est le reste du chemin : quels scénarios enchaîner, à quelle fréquence, comment mesurer les progrès sans stigmatiser, comment articuler la simulation avec la procédure de vérification des paiements. C'est un programme à part entière, et il se construit avec méthode plutôt qu'à l'improvisation.
Où en êtes-vous vraiment ?
Une simulation de phishing bien menée ne vous dira pas si vous êtes « protégé » — aucune campagne ne le peut. Elle vous montre autre chose, de plus utile : où votre organisation repose encore sur la vigilance isolée de chacun, et où des réflexes partagés commencent vraiment à tenir. C'est précisément ce que structure l'auto-évaluation Cyber Passport. Elle ne certifie rien : elle vous aide à situer, question après question, votre sensibilisation et votre gouvernance au regard des bonnes pratiques reconnues, pour savoir par où avancer.
Passer de l'intention à un vrai programme — choix des scénarios, cadence, mesure dans le temps, message aux équipes — demande une méthode. C'est tout l'objet du blueprint « Programme anti-phishing », qui déroule la marche à suivre pas à pas, ce que cet article n'a volontairement pas fait.
