Phishing : construire une sensibilisation qui change vraiment les comportements

Le phishing est probablement la menace que nos collaborateurs rencontrent le plus souvent. Un faux colis, une fausse facture, un faux message du support informatique, un faux dirigeant pressé : les scénarios changent, le principe reste le même. Et avec l'IA générative, les e-mails frauduleux sont désormais sans fautes, bien écrits et parfaitement contextualisés.

Depuis 2024, la sensibilisation de nos collaborateurs fait partie de mes missions à la DSI d'ADA. Voici ce que j'en ai appris.

Pourquoi la formation annuelle ne suffit pas

La formation cybersécurité d'une heure, une fois par an, coche une case. Mais elle ne change pas les comportements :

• on oublie vite ce qu'on a appris une seule fois,
• les menaces évoluent plus vite que les supports de formation,
• le contexte compte : on ne lit pas un e-mail de la même façon en formation et un lundi matin avec trente messages en attente.

Ce qui ancre un réflexe, c'est la répétition, dans des conditions proches de la réalité.

Les simulations : apprendre, pas piéger

Les campagnes de phishing simulé consistent à envoyer de faux e-mails réalistes aux collaborateurs, pour mesurer leurs réflexes et les entraîner. Bien utilisées, elles sont redoutablement efficaces. Mal utilisées, elles détruisent la confiance.

Les principes que je défends :

• Un moment d'apprentissage immédiat. Celui qui clique doit comprendre tout de suite ce qu'il aurait pu repérer, en quelques secondes et sans jugement.
• Des scénarios réalistes et variés, inspirés des vraies menaces du moment, pas des pièges impossibles à déjouer.
• Aucune sanction, aucun classement nominatif. Le but est que les gens progressent, pas qu'ils se sentent surveillés.
• Des résultats partagés collectivement, pour montrer les progrès de toute l'entreprise.

Notre dispositif chez ADA

Pour passer de la formation qui coche une case à un véritable entraînement, nous avons misé sur trois choses.

Un rythme mensuel. Chaque mois, nos collaborateurs reçoivent un nouveau contenu de sensibilisation. Ce n'est jamais très long, mais c'est régulier : c'est la répétition qui transforme une connaissance en réflexe.

Plus de 200 thématiques. Le phishing est la menace la plus visible, mais pas la seule. Disposer d'un catalogue de plus de 200 thématiques de cybersécurité nous permet de varier les sujets d'un mois à l'autre, de suivre l'actualité des menaces et d'éviter l'effet « encore la même formation ».

Des formats variés. Tout le monde n'apprend pas de la même façon, et personne n'a envie de revoir dix fois le même support. Nous alternons :

• les simulations de phishing, pour s'entraîner en conditions réelles,
• les jeux, pour apprendre sans en avoir l'impression,
• les vidéos courtes, pour expliquer une menace en quelques minutes,
• les quiz, pour vérifier ce qui a été retenu.

Cette variété change tout : la sensibilisation n'est plus vécue comme une obligation, mais comme un rendez-vous court, parfois même ludique.

Le bon indicateur : le signalement

On regarde souvent le taux de clic : combien de collaborateurs sont tombés dans le piège. C'est utile, mais incomplet. L'indicateur que je trouve le plus parlant, c'est le taux de signalement : combien ont reconnu la tentative et l'ont fait remonter.

Un collaborateur qui ne clique pas se protège lui-même. Un collaborateur qui signale protège tous les autres : l'équipe sécurité peut bloquer l'e-mail, prévenir les autres destinataires et réagir avant qu'un collègue moins vigilant ne clique.

D'où deux conditions :

1. Signaler doit être un geste simple, idéalement en un clic depuis la messagerie.
2. Signaler doit être valorisé, y compris quand on a cliqué avant. C'est le cœur d'une culture où le collaborateur est le premier rempart.

Des réflexes plutôt que des règles

Avec des e-mails générés par IA, les anciens conseils (« repérez les fautes d'orthographe ») ne suffisent plus. Je préfère transmettre quelques réflexes basés sur le contexte :

• Une demande inhabituelle ? Paiement, identifiants, changement de coordonnées bancaires, document à ouvrir d'urgence.
• Un sentiment d'urgence ? C'est le levier préféré des attaquants.
• Un doute ? On vérifie par un autre canal (téléphone, collègue, support), jamais en répondant à l'e-mail.
• Toujours un doute ? On signale. Un faux positif ne coûte rien.

Ce que je retiens

La sensibilisation au phishing n'est pas un module de formation, c'est un entraînement continu. Elle fonctionne quand elle est régulière, bienveillante et mesurée sur ce qui compte vraiment : la capacité collective à repérer et signaler une attaque.