Un programme de sensibilisation au phishing efficace en PME ne demande ni budget de formation ni plateforme coûteuse : il demande trente jours, un référent identifié et une mesure avant/après. Ce tutoriel vous donne le déroulé exact, étape par étape, avec les outils que vous avez déjà si vous êtes sous Microsoft 365 ou Google Workspace.
Ce dont vous avez besoin avant de démarrer
Trois choses suffisent. Un référent — souvent le responsable IT, parfois le dirigeant dans une structure de vingt personnes — qui portera le sujet pendant un mois. Un accord écrit de la direction, parce qu’une simulation de phishing sans validation hiérarchique se retourne toujours contre celui qui l’a lancée. Et une boîte de réception dédiée, du type [email protected], vers laquelle vos collaborateurs pourront signaler les messages douteux.
La sensibilisation au phishing échoue presque toujours pour la même raison : elle est traitée comme un événement — une réunion, un e-learning annuel — au lieu d’un réflexe entretenu. Les trente jours qui suivent installent ce réflexe.
Étape 1 : mesurez votre point de départ (jours 1 à 3)
Vous ne pourrez rien démontrer à votre direction sans chiffre initial. Relevez trois données simples : le nombre de messages signalés spontanément par vos équipes le mois dernier (souvent zéro, et c’est normal), le délai moyen entre un signalement et une action de votre part, et la liste des comptes à privilèges — direction, comptabilité, administrateurs.
Ces comptes sont votre périmètre prioritaire. Une attaque par hameçonnage qui réussit sur un poste de production coûte un nettoyage ; la même attaque réussie sur le compte du responsable comptable déclenche un virement frauduleux. Notez aussi qui a accès aux moyens de paiement : ce sont les personnes que vous formerez en premier.
Étape 2 : fermez les portes techniques avant de former (jours 4 à 8)
Former des collaborateurs sur une messagerie mal configurée revient à leur demander de compenser manuellement une faiblesse technique. Traitez d’abord le socle.
Vérifiez que SPF, DKIM et DMARC sont publiés pour votre domaine, et que DMARC est au minimum en quarantine. Activez le bouton de signalement natif de votre messagerie — « Signaler l’hameçonnage » dans Outlook, « Signaler comme phishing » dans Gmail — et pointez-le vers votre boîte dédiée. Activez enfin le marquage visuel des messages externes : une bannière « expéditeur externe » en tête d’e-mail neutralise à elle seule une large part des usurpations d’identité interne.
Si l’authentification multifacteur n’est pas encore déployée partout, c’est le moment. Un mot de passe volé par hameçonnage devient beaucoup moins exploitable, même si certaines techniques d’attaque contournent le second facteur — raison pour laquelle la sensibilisation reste nécessaire.
Étape 3 : lancez une première simulation contrôlée (jours 9 à 15)
Utilisez l’outil intégré à votre licence plutôt qu’un service externe : Microsoft 365 propose un module d’entraînement à la simulation d’attaque dans Defender for Office 365, et des alternatives open source existent si vous n’êtes sur aucune suite.
Construisez un scénario crédible et contextuel, pas un piège grossier. Une fausse notification de mise à jour de coordonnées bancaires fournisseur, une demande urgente signée du nom du dirigeant, une alerte de quota de messagerie : ce sont les trois familles qui touchent réellement les PME. Envoyez-la à l’ensemble des collaborateurs le même jour, en milieu de semaine, en dehors des périodes de clôture comptable.
Une règle non négociable : personne n’est nommé publiquement. Les résultats se lisent par service, jamais par individu. Un programme perçu comme un outil de sanction produit du silence, et le silence est exactement ce que vous cherchez à éliminer.
Étape 4 : formez en vingt minutes, pas en deux heures (jours 16 à 22)
Organisez deux sessions courtes de vingt minutes, en présentiel ou en visio, avec les captures de votre simulation à l’écran. Montrez les trois signaux que vos équipes doivent apprendre à repérer : l’urgence artificielle, la demande d’action financière ou d’identifiants, et l’adresse d’expéditeur réelle derrière le nom affiché.
Consacrez la seconde moitié de la session à une seule question : que faire quand on a cliqué ? La réponse doit tenir en une phrase mémorisable — prévenir immédiatement le référent, ne pas supprimer le message, ne pas tenter de réparer seul. Le coût d’un incident dépend surtout du délai de signalement, et un collaborateur qui craint d’être blâmé signalera trop tard.
Complétez par une fiche d’une page affichée près des postes concernés et envoyée par e-mail. Les techniques évoluent, y compris vers des campagnes ciblant les flux d’authentification Microsoft 365 qui ne ressemblent plus du tout à l’e-mail frauduleux classique.
Étape 5 : mesurez, rejouez, ancrez (jours 23 à 30)
Relancez une seconde simulation, sur un scénario différent, une à deux semaines après la formation. Comparez trois indicateurs avec votre relevé de l’étape 1 : le taux de clic, mais surtout le taux de signalement et le délai moyen du premier signalement. C’est ce dernier chiffre qui compte réellement pour votre capacité de réaction.
Présentez ces trois chiffres à votre direction sur une seule page, puis inscrivez au calendrier la suite : une simulation par trimestre, une session de vingt minutes à chaque arrivée de nouveau collaborateur, une revue annuelle des comptes à privilèges. Un programme qui ne tient pas dans le calendrier n’existe pas.
Enfin, testez la chaîne d’alerte elle-même : envoyez un message de test à votre boîte de signalement et vérifiez qu’une personne réelle le traite dans l’heure ouvrée. Un bouton de signalement qui aboutit dans une boîte que personne ne lit est pire que pas de bouton du tout, parce qu’il donne l’illusion d’une procédure.
Les trois erreurs qui font échouer une sensibilisation au phishing
La première est le piège humiliant : un scénario trop agressif, du type fausse prime ou faux licenciement, détruit la confiance pour des mois. La seconde est l’absence de retour : un collaborateur qui signale et n’obtient jamais de réponse cesse de signaler. La troisième est l’arrêt après trente jours : le réflexe s’érode en un trimestre si rien ne l’entretient.
Un dernier point de vigilance : les attaquants savent aussi cibler la persistance après réinitialisation d’un compte compromis. Votre procédure de réponse doit donc prévoir la révocation des sessions et des méthodes d’authentification enregistrées, pas seulement le changement de mot de passe.
La détection d’un compte compromis après un clic relève ensuite de la surveillance continue : découvrez notre SOC managé 24/7 pour PME et ETI, conçu pour repérer l’usage anormal d’un identifiant volé avant qu’il ne serve.
Ce qu’il faut retenir
- Corrigez la configuration de messagerie (SPF, DKIM, DMARC, bannière externe) avant de former qui que ce soit.
- Le taux de signalement et le délai de signalement comptent davantage que le taux de clic.
- Aucun collaborateur n’est nommé : les résultats se lisent par service, jamais par personne.
- Une boîte de signalement non traitée dans l’heure ouvrée annule tout le programme.
- Trente jours installent le réflexe ; une simulation trimestrielle l’entretient.