Un antivirus ne suffit pas à bloquer le phishing.
Pourquoi ? Parce que ces attaques ne ciblent pas vos machines, mais vos collaborateurs. Et un collaborateur qui clique sur le mauvais lien peut ouvrir une brèche que vos outils techniques ne verront jamais venir.
La bonne nouvelle : avec les bons réflexes, vos équipes deviennent votre meilleur rempart.
Le phishing, c'est quoi exactement ?
Le phishing est une technique d’escroquerie par e-mail. L’objectif de l’attaquant : se faire passer pour une source de confiance comme votre banque, un fournisseur, la direction… pour pousser un collaborateur à cliquer sur un lien, ouvrir une pièce jointe ou saisir ses identifiants.
L'info à retenir :
En 2024, le phishing était le premier vecteur d'attaque, responsable de 6 cyberattaques sur 10
Pourquoi vos collaborateurs sont la cible ?
Les attaquants s’attaquent aux humains parce que c’est plus simple. Une faille logicielle peut être corrigée par une mise à jour. Un collaborateur non sensibilisé, lui, restera vulnérable tant qu’il ne sait pas reconnaître les signaux d’alerte.
Trois situations concentrent la majorité des clics frauduleux :
- La précipitation :
un mail urgent, une demande de virement « exceptionnelle » à traiter dans l’heure - La confiance mal placée :
un expéditeur connu (ou qui semble l’être), un logo officiel, un ton professionnel - La routine :
des dizaines de mails par jour, une vigilance qui baisse, un clic instinctif
On pourrait être tenté de penser qu’il s’agit là de négligence… Mais en réalité, c’est humain. Et c’est précisément pour ça que la sensibilisation doit être concrète, régulière et adaptée à votre contexte.
À quoi ressemble un mail de phishing ?
Les tentatives les plus dangereuses ne ressemblent plus aux classiques mails bourrés de fautes. Elles sont soignées, personnalisées, et difficiles à distinguer d’un vrai message.
Voici trois exemples représentatifs de ce que reçoivent les PME :
Exemple 1 La fausse facture fournisseur
Objet : Facture n°2024-1187 – règlement urgent
Bonjour, veuillez trouver ci-joint notre facture. Notre RIB a changé, merci de mettre à jour vos coordonnées bancaires avant le prochain virement.
Cordialement,
[Nom d’un vrai fournisseur]
Le nom du fournisseur est réel.
Seul l’e-mail d’envoi diffère légèrement.
Ex. : contact@fournisseur-fr.com au lieu de contact@fournisseur.fr
Le lien redirige vers une page imitant la page de connexion Microsoft. Les identifiants saisis sont immédiatement récupérés par l’attaquant.
Exemple 2 La fausse alerte Microsoft 365
Objet : Votre compte sera suspendu dans 24h
Une activité suspecte a été détectée sur votre compte. Cliquez ici pour vérifier votre identité et sécuriser votre accès.
Exemple 3 La fraude au président
Objet : Demande confidentielle – à traiter en priorité
Je suis en réunion, je ne suis pas joignable par téléphone. J’ai besoin que vous procédiez à un virement de 4 800 € sur ce compte avant 17h. Ne passez pas par la procédure habituelle, c’est urgent et confidentiel.
Ce type de mail cible directement les collaborateurs ayant accès aux finances. Le sentiment d’urgence et de confidentialité bloque le réflexe de vérification.
Les 4 réflexes à inculquer à vos équipes
La sensibilisation ne consiste pas à transformer vos collaborateurs en experts en cybersécurité. Elle vise à ancrer quelques réflexes simples, applicables au quotidien.
1.
Vérifier l’adresse e-mail de l’expéditeur :
Le nom affiché peut être trompeur, l’adresse réelle, rarement.
2.
Toujours survoler un lien avant de cliquer dessus :
L’URL affichée au survol révèle souvent la supercherie.
3.
Rappeler avant de virer :
Tout changement de RIB ou demande de virement urgente doit être confirmé par téléphone, via un numéro connu (pas celui fourni dans le mail)
4.
Signaler sans crainte :
Un collaborateur qui a cliqué sur un lien suspect doit pouvoir le signaler immédiatement, sans peur d’être jugé
Ce dernier point est souvent sous-estimé. Si vos équipes craignent les répercussions, elles tairont leurs erreurs… et un incident détecté tardivement est toujours plus coûteux.
Sensibilisation : l'importance de la répétition
Une formation ponctuelle produit un effet à court terme. Quelques semaines plus tard, les réflexes s’érodent. Les attaquants, eux, font évoluer leurs techniques en permanence.
Une sensibilisation efficace repose sur trois piliers :
- Des formats courts et concrets : pas de slides de 40 pages. Des exemples réels, des cas proches du métier de vos collaborateurs, des échanges en format atelier
- Des simulations régulières : des campagnes de faux phishing permettent de mesurer la vigilance réelle de vos équipes et d’identifier les profils les plus exposés
- Un ancrage dans la durée : des rappels trimestriels, des alertes sur les nouvelles techniques, un référent interne identifié
Les simulations de phishing sont particulièrement efficaces : un collaborateur qui « tombe » dans un test contrôlé retient la leçon durablement, sans conséquence réelle pour l’entreprise.
Dans notre métier, les menaces évoluent tout le temps. Si l’on ne se forme pas en continu, on prend du retard. C’est pourquoi nous avons mis les simulations en place, comme n’importe quel autre outil de formation. Et l’équipe a vraiment accroché.
Celui qui clique ramène les croissants ! Au départ tout le monde rigolait… maintenant les réflexes sont vraiment bien ancrés. Honnêtement, on ne s’attendait pas à un résultat aussi rapide !
Christophe TERRIER, fondateur d’ENOVA
Ce qu'ENOVA met en place pour vos équipes
ENOVA intervient sur la sensibilisation dans le cadre de son accompagnement cybersécurité global. Concrètement, cela comprend :
- Des sessions de sensibilisation adaptées à votre secteur et au niveau de vos collaborateurs, y compris les profils les moins à l’aise avec les outils numériques
- Des campagnes de simulation de phishing pour tester la vigilance réelle de vos équipes et mesurer les progrès dans le temps
- Des recommandations concrètes issues des résultats : quels profils renforcer, quels scénarios travailler en priorité.
Questions fréquentes à propos du phishing
Le phishing ne concerne-t-il que les grandes entreprises ?
Non. Les PME et TPE sont des cibles privilégiées précisément parce qu’elles disposent de moins de ressources dédiées à la cybersécurité. Les attaquants le savent et y consacrent une part croissante de leurs efforts.
Combien de temps dure une session de sensibilisation ENOVA ?
Les formats varient selon vos contraintes. Une session de sensibilisation type dure entre 1h et 2h. Les campagnes de simulation de phishing, elles, se déploient sur plusieurs semaines avec un bilan final. Contactez nos experts pour mettre en place ce type de sensibilisation pour vos équipes.
Que faire si un collaborateur a déjà cliqué sur un lien suspect ?
Est-ce que la sensibilisation remplace les outils de sécurité ?
Non, les deux sont complémentaires. Les outils (EDR, filtrage des e-mails, MFA) réduisent la surface d’attaque. La sensibilisation réduit le risque humain. Une stratégie cybersécurité solide combine les deux.
Peut-on mesurer l'efficacité de la sensibilisation ?
Oui. Les campagnes de simulation permettent de mesurer le taux de clics sur de faux mails avant et après les formations. C’est un indicateur concret de la progression de vos équipes.
