À quelle fréquence simuler des attaques phishing ?

Une formation au phishing s’use vite. Dans une administration allemande, une formation de trois à quatre heures améliorait encore la détection des emails frauduleux au bout de quatre mois ; au bout de six, le gain n’était plus significatif (Reinheimer et al., SOUPS 2020). Avec une seule session par an, les salariés passent donc la seconde moitié de l’année sans effet mesurable de leur formation.

Combien de simulations prévoir, alors ? Trop rares, elles laissent les réflexes s’éteindre entre deux campagnes. Trop fréquentes et trop semblables, elles apprennent aux salariés à reconnaître vos tests plutôt que le phishing. Aucune étude ne fixe d’intervalle optimal, mais les données publiées donnent des repères utiles.

Cet article sépare ce qui est mesuré de ce qui relève de la pratique, puis propose un rythme par profil de risque et un calendrier sur 12 mois. Les chiffres viennent pour la plupart de notre méta-étude sur les taux de clic et l’efficacité de la sensibilisation, et chacun renvoie à une source datée, listée en fin d’article.

Ce que disent les études

Plusieurs séries de résultats éclairent la question du rythme. Parmi elles, une seule compare directement des rythmes de simulation, et elle vient d’un éditeur.

La courbe de l’oubli, appliquée au phishing

Hermann Ebbinghaus a étudié l’oubli dès 1885 : il apprenait des listes de syllabes sans signification, puis mesurait le temps qu’il lui fallait pour les réapprendre après quelques minutes, quelques jours ou un mois. Ses chiffres décrivent la mémorisation par cœur et ne se transposent pas tels quels à un réflexe de vigilance. Le principe général a été confirmé depuis : la méta-analyse de Cepeda et al. (Psychological Bulletin, 2006), qui porte sur des tâches de mémorisation verbale, montre que des séances espacées dans le temps donnent une meilleure mémorisation que la même durée d’apprentissage concentrée en une fois, et que l’écart optimal entre deux séances augmente avec la durée pendant laquelle on veut retenir.

Pour le phishing, une étude menée dans une administration allemande a mesuré cette usure. Reinheimer et ses collègues (SOUPS 2020) ont suivi 409 salariés après une formation de trois à quatre heures. Leur capacité à distinguer un vrai email d’un faux était encore meilleure au bout de quatre mois ; au bout de six mois, le gain n’était plus significatif. Un rappel donné à six mois, sous forme de vidéo ou d’exemples interactifs, maintenait l’effet au moins six mois de plus. Les auteurs recommandent donc de rappeler les utilisateurs au bout d’un semestre. Le test portait sur des captures d’écran d’emails, dans des conditions qu’ils jugent eux-mêmes peu réalistes.

Répéter les campagnes va de pair avec moins de clics

Dans six hôpitaux américains (2,97 millions d’emails simulés), les chances de cliquer étaient environ divisées par deux après 6 à 10 campagnes, et par trois au-delà de 10 (Gordon et al., JAMA Network Open, 2019). Faute de groupe témoin, la part de l’apprentissage et celle de l’habitude des scénarios restent impossibles à séparer.

Les éditeurs de simulation publient des résultats plus marqués, mesurés sur leurs propres clients. Chez KnowBe4, le taux de personnes piégées passe de 33,1 % au premier test à 4,1 % après un an (détails plus bas). Hoxhunt, qui envoie une simulation tous les 10 jours à ses clients avec une difficulté croissante, annonce après un an 3 % d’échec et 67 % de signalement (Phishing Trends Report 2026). Ces chiffres n’ont pas de groupe témoin.

Ce que montrent les données de KnowBe4 par rythme

La comparaison de rythmes la plus détaillée que nous ayons trouvée vient d’un livre blanc publié par KnowBe4 en novembre 2023 : 32,6 millions d’utilisateurs de plus de 60 000 organisations clientes, et près de 494 millions de simulations envoyées sur dix ans. L’éditeur classe les utilisateurs selon le rythme moyen des simulations qu’ils ont reçues, et compare la part d’utilisateurs piégés au premier et au dernier test. Plus le rythme est soutenu, plus le taux baisse : de 13,92 % à 11,52 % pour les utilisateurs testés moins d’une fois par trimestre, de 9,04 % à 2,04 % pour ceux testés chaque semaine ou plus. Le détail par rythme figure dans le tableau de la section suivante.

Ces chiffres appellent plusieurs réserves. Les groupes ne partaient pas du même point : les utilisateurs testés chaque semaine se faisaient déjà moins piéger au premier test que ceux testés moins d’une fois par trimestre, et une partie de l’écart peut tenir aux organisations elles-mêmes, qui ont choisi leur rythme. Il n’y a pas de groupe témoin. KnowBe4 précise aussi que formation et tests ne sont pas indépendants (un échec déclenche souvent une formation), qu’il ne peut pas séparer leurs effets, et que tous les tests comptent de la même façon, quelle que soit leur difficulté. L’éditeur en tire une recommandation : au moins une simulation par mois, le plafond étant laissé à chaque organisation selon les retours des salariés et de la direction.

Une formation récente fait monter le signalement

Le Verizon DBIR 2025 a comparé les campagnes selon que les employés avaient suivi une formation dans les 30 jours ou non. Le taux de signalement passe d’environ 5 % à 21 %, alors que l’effet sur le taux de clic reste faible. Verizon précise que son analyse n’établit pas de lien de cause à effet.

Une formation annuelle, elle, pèse peu. À UC San Diego Health (19 789 salariés suivis pendant huit mois), le temps écoulé depuis la dernière formation annuelle obligatoire n’avait aucun lien significatif avec le risque de cliquer (Ho et al., IEEE S&P 2025).

Ce qu’on peut en conclure

• Aucune étude ne fixe d’intervalle optimal entre deux simulations.
• Dans les données de KnowBe4, le taux de clic baisse d’autant plus que les simulations sont fréquentes, jusqu’au rythme hebdomadaire. Ce sont des données d’éditeur, sans groupe témoin, sur des organisations qui ont choisi leur rythme.
• Dans l’étude de Reinheimer et al., l’effet mesurable d’une formation disparaît entre quatre et six mois sans rappel. Un rappel au moins tous les six mois est le minimum que soutiennent les données.
• La répétition des campagnes va de pair avec moins de clics, sans qu’on puisse séparer l’apprentissage de l’habitude des scénarios.
• Une formation récente va de pair avec davantage de signalements.
• Le reste relève de la pratique. Une simulation par mois est un rythme courant, tenable pour une PME, et c’est celui que nous conseillons.

Pour comprendre pourquoi le phishing fonctionne, et donc pourquoi les réflexes doivent être régulièrement réactivés, consultez notre article sur la psychologie du phishing et les biais cognitifs.

Quel rythme choisir

Le tableau ci-dessous croise les données de KnowBe4 par rythme avec les autres études, puis donne notre avis pour une PME. Les pourcentages KnowBe4 sont la part d’utilisateurs piégés au premier test, puis au dernier.

Source : KnowBe4 (R. A. Grimes, M. J. Kraemer), Data Confirms Value of Security Awareness Training and Simulated Phishing, livre blanc, novembre 2023. Données d’éditeur, sans groupe témoin ; les groupes ne partaient pas du même taux au premier test.

Le benchmark KnowBe4 : de 33,1 % à 4,1 % en 12 mois

Les chiffres les plus cités viennent du Phishing by Industry Benchmarking Report de KnowBe4. L’édition 2025 porte sur 67,7 millions de simulations envoyées à 14,5 millions d’employés de 62 460 organisations clientes. Au premier test, 33,1 % des employés se font piéger. Après 90 jours de simulations et de formation, ils sont 19,8 %, puis 4,1 % après un an. Dans les organisations européennes de 1 à 249 salariés, le taux passe de 24,9 % à 3,9 %.

Avant d’en faire un objectif, gardez ses limites en tête. Ce rapport annuel ne donne pas de résultats par rythme de simulation (c’est le livre blanc de 2023 qui le fait). Il n’a pas de groupe témoin, et les organisations mesurées après un an ne sont pas toutes celles du départ. KnowBe4 écrit lui-même ne pas pouvoir séparer l’effet de la formation de celui des tests. Notre méta-étude détaille ces limites, avec les taux de clic par secteur et par taille d’entreprise.

Fréquence par profil de risque

Un même rythme pour tout le monde est rarement le bon choix. Voici les cadences que nous conseillons. Ce sont des choix de pratique : aucune étude ne mesure le gain exact d’un rythme plus serré pour un profil donné.

Ensemble des salariés

• Rythme : une simulation par mois.
• Objectif à 12 mois : un taux de clic en baisse par rapport à votre point de départ, à difficulté égale, et un signalement en hausse.
• Scénarios : du générique au ciblé par département.

Équipes exposées (finance, comptabilité, RH, direction, assistants de direction)

• Rythme : deux simulations par mois.
• Pourquoi : ce sont les cibles habituelles de la fraude au président et de la fraude au changement de RIB.
• Scénarios : fausses factures, virements urgents, changements de coordonnées bancaires, demandes confidentielles de la direction.

Nouveaux arrivants

• Rythme : trois simulations dans les 60 premiers jours, dont une dès le premier mois, puis le rythme standard.
• Pourquoi : ils ne connaissent encore ni les circuits de validation ni leurs interlocuteurs habituels, ce qui rend une fausse demande interne plus difficile à repérer. Suivez leurs résultats à part, pour qu’ils ne brouillent pas la tendance générale.

Personnes qui cliquent de façon répétée (deux échecs consécutifs)

• Rythme : un nouveau test une à deux semaines après chaque échec, avec un module court, jusqu’à ce que les résultats se stabilisent.
• Pourquoi : la récidive concerne peu de monde, ce qui rend un suivi ciblé peu coûteux. À UC San Diego Health, 3,5 % des salariés ont échoué à au moins quatre des huit simulations.

Dans nophi.sh, le mode autopilote applique ce principe : il reteste chaque personne tous les 7, 14 ou 30 jours selon son niveau de risque, pendant les heures de bureau. Un salarié qui vient de cliquer revient plus tôt dans la boucle qu’un collègue qui signale chaque piège.

Pour la formation associée aux simulations, notre guide de formation cybersécurité pour les employés de PME détaille les formats complémentaires.

Les risques de trop peu

Repérer un email frauduleux demande un effort. Au quotidien, on traite sa boîte de réception vite, souvent en pilote automatique, et c’est ce mode que le phishing vise. Une simulation régulière remet la vérification en mémoire avant que l’habitude de cliquer vite ne reprenne le dessus. Pour une formation de plusieurs heures, l’étude de Reinheimer et al. situe cette usure entre quatre et six mois ; nous ne connaissons pas de mesure équivalente pour une simulation isolée.

Le coût d’un programme annuel

Voici la trajectoire d’un programme de sensibilisation annuel, rapportée aux mesures de Reinheimer et al. :

• Janvier : une demi-journée de formation et une simulation. Le taux de clic de départ est mesuré, la direction est rassurée.
• Mai : quatre mois plus tard, le gain de la formation est encore mesurable.
• Juillet : à six mois, il ne l’est plus.
• Décembre : une vraie attaque arrive. Les salariés sont à onze mois de leur dernier entraînement, et le registre de formation affiche toujours 100 % de participation.

La formation annuelle documente la conformité, mais elle ne suffit pas à entretenir un réflexe : à UC San Diego Health, une formation annuelle récente n’allait pas de pair avec un risque de clic plus faible.

Pour comprendre pourquoi les formations classiques, y compris en e-learning, ne suffisent pas à ancrer des comportements durables, lisez notre analyse de pourquoi l’e-learning cybersécurité ne suffit plus.

Les risques de trop : la fatigue de simulation

La « fatigue de simulation » recouvre deux choses. Des salariés agacés par des tests trop fréquents, d’abord. Et surtout des salariés qui ont appris à reconnaître vos modèles d’emails plutôt que le phishing : le taux de clic baisse, alors que la vigilance face à un vrai email n’a pas bougé. Les chercheurs du NIST le rappellent : un taux de clic bas peut simplement signifier que l’email était trop facile, sans rapport avec le travail des destinataires, ou trop proche d’un exercice précédent.

La lassitude face au signalement est moins documentée. Dans l’étude de l’ETH Zurich (14 733 salariés, 8 emails chacun sur quinze mois), 4 260 participants ont signalé au moins un email, sans lassitude visible.

Les signes d’une routine devenue prévisible :

• les salariés repèrent « le test du mois » sans savoir dire ce qui les a alertés ;
• le taux de clic baisse, mais le taux de signalement ne monte pas ;
• un scénario d’un genre nouveau, à difficulté comparable, fait remonter le taux de clic d’un coup ;
• les commentaires du type « encore un test de la DSI » se multiplient.

Dans ces cas, changez les scénarios avant de toucher à la fréquence.

Où placer la limite haute

Aucune source vérifiée ne fixe de plafond. KnowBe4 laisse chaque organisation fixer le sien, et ses données ne montrent pas de rythme au-delà duquel le taux de clic remonterait. Hoxhunt, qui simule tous les 10 jours chez ses clients, annonce 67 % de signalement après un an : un rythme soutenu ne semble pas décourager le signalement quand les scénarios varient et que la difficulté s’adapte (chiffre d’éditeur, sans groupe témoin). Pour une PME qui gère son programme avec peu de temps, nous conseillons de ne pas dépasser deux simulations par mois, pour l’ensemble des salariés comme pour les équipes exposées. Au-delà, la difficulté est surtout de produire assez de scénarios différents et crédibles. Les personnes qui viennent de cliquer font exception : un nouveau test une à deux semaines après l’échec vérifie que le rappel a porté.

Comment éviter la prévisibilité

Pour qu’un programme mensuel garde son effet dans la durée, variez à chaque envoi :

• Le vecteur : email, puis SMS (smishing), puis QR code (quishing)
• L’expéditeur simulé : service IT, RH, fournisseur externe, direction
• Le niveau de personnalisation : générique, puis ciblé par département, puis spear phishing nominatif
• Le prétexte : fiscal, livraison, mot de passe, document partagé, mutuelle, réservation voyage
• L’heure et le jour d’envoi : mardi 10h, jeudi 14h, lundi 8h30
• La difficulté, notée avec la grille Phish Scale du NIST : nombre d’indices visibles et proximité du sujet avec le travail réel des destinataires

Pour explorer les nouvelles formes d’attaques à intégrer dans vos scénarios, consultez notre article sur le quishing, vishing et smishing en 2026.

Considérations saisonnières : simuler au bon moment

Les attaquants calent leurs prétextes sur le calendrier, et vos simulations peuvent faire de même. Il y a aussi des semaines où un test ne mesure rien d’utile.

Le calendrier des attaquants

Quelques prétextes saisonniers classiques en France :

• au printemps, la déclaration de revenus et les faux remboursements d’impôts ;
• en été, les réservations de voyage et les locations de vacances ;
• en septembre, la rentrée : nouveaux contrats, mutuelle, formations obligatoires ;
• en novembre et décembre, les livraisons (Black Friday, colis de Noël) et les cadeaux d’entreprise.

Simuler ces scénarios au moment où ils circulent prépare les salariés aux pièges du moment.

Les périodes à éviter

Certaines périodes sont à éviter ou à traiter avec précaution :

Éviter complètement :

• Les deux premières semaines de juillet (départs en congés échelonnés, équipes réduites, résultats non représentatifs)
• Les semaines de clôture comptable mensuelle (surcharge, résultats biaisés à la hausse)
• Les périodes de réorganisation ou de plan social (contexte émotionnel incompatible avec une approche bienveillante)

Adapter les scénarios pendant :

• Les périodes de forte activité (salon professionnel, lancement produit) : utilisez des scénarios liés à l’événement
• La rentrée de septembre (nouveaux arrivants nombreux) : prévoyez une simulation ciblée sur les nouveaux
• La période de Noël : exploitez le thème des colis et des vœux, mais restez attentif à la charge de travail

Le calendrier 12 mois : modèle prêt à l’emploi

Voici un calendrier type pour une PME de 50 à 500 salariés. Il applique les choix de cet article : une simulation par mois pour tous, une deuxième pour les équipes exposées, et jamais plus de trois mois sans exercice pour personne, été compris. Adaptez les thèmes à votre secteur et à l’actualité de votre entreprise. Pour inscrire ce calendrier dans une démarche complète (formation et bilans trimestriels), voir notre plan de sensibilisation sur 12 mois.

Structure du calendrier

Phase de montée en puissance (mois 1 à 3)

Les trois premiers mois sont une phase d’installation. L’objectif est d’établir le baseline et de familiariser les collaborateurs avec l’existence d’un programme de simulation.

Mois 1 : baseline. Envoyez une simulation à toute l’entreprise sans aucune formation préalable. Choisissez un scénario de difficulté facile à moyenne (notification de mise à jour de mot de passe, colis en attente). Mesurez le taux de clic, le taux de soumission et le taux de signalement. Ce chiffre est votre référence de départ : il servira à démontrer le ROI du programme dans 12 mois.

Mois 2 : premier module de formation et seconde simulation. Après le baseline, organisez un court module de formation (20 à 30 minutes, format atelier ou vidéo interactive) sur les trois réflexes fondamentaux : vérifier l’expéditeur réel, survoler les liens, se méfier des urgences. Dans l’étude de Reinheimer et al., ce sont les rappels en vidéo ou en exemples interactifs qui ont le mieux maintenu l’effet de la formation. Lancez ensuite une simulation sur un thème différent du baseline.

Mois 3 : ciblage par département. Segmentez votre population pour la première fois. Envoyez des scénarios différents selon les départements : la comptabilité reçoit une fausse facture, les RH reçoivent un faux email d’un candidat, la direction reçoit une demande de virement urgent.

Phase de croisière (mois 4 à 12)

À partir du quatrième mois, le programme tourne à pleine vitesse. Une simulation par mois pour tous, deux pour les équipes à risque élevé. Chaque simulation est associée à une page de remédiation immédiate pour les collaborateurs qui cliquent. Gardez-la courte et voyez-la comme un rappel : les essais contrôlés ne lui trouvent qu’un effet faible sur les clics (1,7 point d’échec en moins à UC San Diego Health).

La règle de la phase de croisière : ne répétez jamais exactement le même scénario. Variez le prétexte, l’expéditeur simulé, le niveau de personnalisation et le vecteur. Consultez notre guide complet de la simulation de phishing en entreprise pour une bibliothèque de scénarios classés par difficulté.

Bilan trimestriel et ajustement

Tous les trois mois, analysez vos résultats et ajustez le programme :

Questions à se poser :

• Le taux de clic diminue-t-il, à difficulté de scénario égale ?
• Le taux de signalement augmente-t-il ?
• Un département ou une population résiste-t-il malgré le programme ?
• Mes scénarios sont-ils toujours perçus comme crédibles ?

Ajustements possibles :

• Taux de clic en stagnation → augmenter la difficulté des scénarios
• Taux de signalement faible → travailler sur la culture du signalement (bouton en un clic, retour rapide à la personne qui signale)
• Département en difficulté → session de formation spécifique + fréquence accrue
• Scores trop bons → scénarios trop faciles, il faut augmenter le niveau

Pour démontrer les résultats de votre programme à votre direction et obtenir un budget renouvelé, notre article sur le ROI de la sensibilisation cybersécurité fournit les arguments chiffrés et les formats de présentation.

Adapter la fréquence selon les résultats

Un bon programme évolue avec ses résultats : la fréquence et la difficulté des simulations s’ajustent à ce que vous mesurez.

Grille de lecture des résultats

Lisez le taux de clic par rapport à votre propre point de départ, à difficulté de scénario égale. À UC San Diego Health, le même personnel a cliqué à 1,8 % sur un email et à 30,8 % sur un autre : un seuil fixe, appliqué sans tenir compte du scénario, ne dit pas grand-chose.

Pour situer votre point de départ, le rapport 2025 de KnowBe4 donne 24,9 % d’employés piégés au premier test dans les organisations européennes de 1 à 249 salariés, et 3,9 % après un an. Ce sont des moyennes d’éditeur, sans groupe témoin.

Faut-il ralentir quand les résultats sont bons ? Nous le déconseillons. Dans l’étude de Reinheimer et al., le gain d’une formation n’était plus significatif au bout de six mois sans rappel, et un taux de clic très bas signale souvent un scénario trop facile. Augmentez la difficulté et gardez au moins une simulation par mois.

Ajuster selon le taux de signalement

Le taux de signalement est l’indicateur sur lequel la formation agit le plus nettement. Un taux de clic bas avec un signalement faible veut dire que les salariés évitent le piège sans prévenir personne : face à une vraie campagne, l’équipe sécurité ne serait pas alertée.

Quelques repères publiés, à lire avec la même prudence que les taux de clic :

• 18,65 % en moyenne sur plus de 212 millions de messages simulés par les clients de Proofpoint (données 2024, publiées en avril 2025) ;
• 10,50 % dans le benchmark de Fortra (juin 2026), et 19,55 % pour les campagnes rédigées en français de France ;
• 67 % après un an chez les clients de Hoxhunt, qui simulent tous les 10 jours et placent le signalement au centre de leur mesure ;
• environ 21 % chez les employés formés dans les 30 jours, contre 5 % pour les autres (Verizon DBIR 2025).

Fixez vos objectifs par rapport à votre propre point de départ : un signalement qui monte de campagne en campagne compte plus qu’un seuil.

La vitesse compte autant que le volume. Dans l’étude de l’ETH Zurich, environ 10 % des signalements arrivaient dans les 5 minutes, et 30 à 40 % dans la demi-heure. Les chercheurs en déduisent que, dans une entreprise de 1 000 personnes, une campagne visant 100 employés recevrait 8 à 25 signalements, dont très probablement un dans les cinq premières minutes. Suivez donc aussi le délai avant le premier signalement. Notre guide personne ne signale les emails suspects détaille comment faire monter ces chiffres.

Ce que demandent NIS2 et l’ISO 27001

Ni la directive NIS2 ni l’ISO 27001 ne fixent de fréquence de simulation. L’article 21 de NIS2 place la formation à la cybersécurité parmi d’autres mesures de gestion des risques, et la mesure A.6.3 de l’ISO 27001 demande une sensibilisation adaptée à la fonction de chacun, sans en fixer le rythme. Lors d’un audit, ce sont les preuves qui comptent : dates des campagnes, destinataires, résultats par personne, formations attribuées et terminées. Un historique de simulations mensuelles fournit ces preuves, et peut aussi servir auprès d’un assureur cyber.

Notre guide NIS2 : obligations de sensibilisation et de formation détaille ce volet. Pour le lien entre simulation et couverture assurantielle, consultez notre article sur l’assurance cyber et la preuve de formation des employés.

Par où commencer : le plan d’action en 4 semaines

Si vous n’avez pas encore de programme de simulation structuré, voici comment démarrer en un mois.

Semaine 1 : cadrage

• Obtenir le soutien de la direction (présenter les repères publiés sur les taux de clic, avec leurs limites)
• Informer le CSE de la mise en place d’un programme de simulation
• Choisir la plateforme de simulation (voir notre grille pour choisir une solution de sensibilisation et notre top 10 des logiciels de simulation de phishing en France)

Semaine 2 : configuration

• Paramétrer les listes de destinataires (tous les collaborateurs avec adresse email professionnelle)
• Mettre en liste blanche les adresses d’envoi de la plateforme dans votre messagerie
• Préparer la page de remédiation post-clic

Semaine 3 : première simulation (baseline)

• Lancer la simulation baseline sur l’ensemble de l’entreprise
• Ne pas prévenir les collaborateurs de la date
• Laisser tourner 48 heures

Semaine 4 : analyse et communication

• Analyser les résultats (taux de clic, taux de soumission, taux de signalement)
• Présenter les résultats agrégés à la direction
• Planifier le calendrier des 11 mois suivants

Lancez votre baseline maintenant et obtenez votre premier rapport en 48 heures.

Créer un compte nophi.sh gratuitement : environ 15 minutes de configuration hors liste blanche, première campagne le jour même.

Questions fréquentes

À quelle fréquence lancer des simulations de phishing ?

Aucune étude ne fixe d’intervalle optimal. Nous conseillons une simulation par mois, le minimum que recommande aussi KnowBe4. Dans les données de l’éditeur, la part d’employés piégés passe de 11,96 % au premier test à 6,11 % au dernier quand ils sont testés chaque mois, contre 13,26 % puis 8,92 % quand ils le sont chaque trimestre (livre blanc 2023, sans groupe témoin). Ne laissez jamais passer six mois sans rappel : dans une étude allemande, l’effet d’une formation n’était plus significatif au bout de six mois (Reinheimer et al., SOUPS 2020).

Les simulations trimestrielles sont-elles suffisantes ?

Elles conviennent pour démarrer ou pour une très petite équipe. Avec trois mois entre deux exercices, on reste en deçà du point à quatre mois où, dans l’étude de Reinheimer et al. (SOUPS 2020), l’effet d’une formation était encore mesurable. Mais la marge est mince, quatre mesures par an suffisent mal à lire une tendance sur l’effectif d’une PME, et dans les données de KnowBe4 le rythme trimestriel laisse plus d’employés piégés que le rythme mensuel (8,92 % contre 6,11 % au dernier test, livre blanc 2023). Passez au mensuel dès que l’organisation suit.

La fatigue de simulation est-elle un vrai risque ?

Le risque le plus concret est la prévisibilité. Des salariés qui reçoivent le même type d’email chaque mois apprennent à reconnaître vos modèles plutôt que le phishing, et le NIST prévient qu’un taux de clic bas peut simplement signifier un email trop facile ou trop proche d’un exercice précédent. La lassitude face au signalement est moins documentée : à l’ETH Zurich, les salariés ont continué à signaler pendant quinze mois sans lassitude visible. Variez les prétextes, les expéditeurs simulés, la difficulté et les horaires d’envoi avant de réduire la fréquence.

Faut-il simuler plus souvent les équipes à risque ?

Oui, c’est notre conseil, même si aucune étude ne mesure le gain d’un rythme plus serré. Les équipes finance, RH et direction sont les cibles habituelles de la fraude au président et au changement de RIB : deux simulations par mois pour elles, avec des scénarios tirés de leur travail. Testez les nouveaux arrivants dès leur premier mois, et retestez plus tôt les personnes qui cliquent souvent. Elles sont peu nombreuses : à UC San Diego Health, 3,5 % des salariés ont échoué à au moins quatre des huit simulations.

Comment ajuster la fréquence selon les résultats ?

Comparez chaque campagne à votre propre point de départ, à difficulté de scénario égale, plutôt qu’à un seuil universel. Si le taux de clic ne baisse pas, retestez plus souvent les personnes et les départements qui cliquent. S’il devient très bas, durcissez les scénarios plutôt que de ralentir. Suivez aussi le signalement : dans le Verizon DBIR 2025, les employés formés dans les 30 jours signalent environ 21 % des simulations, contre 5 % pour les autres.

Quelles périodes de l’année éviter pour les simulations ?

Évitez le début des congés d’été, les semaines de clôture comptable et les périodes de crise ou de réorganisation : les résultats y seraient peu représentatifs, et le test mal vécu. Profitez en revanche des prétextes de saison que les attaquants utilisent aussi : la déclaration de revenus au printemps, les réservations de vacances en été, la rentrée en septembre, les livraisons et les fêtes en fin d’année.

Fixer votre rythme cette semaine

Retenez deux repères : une simulation par mois comme rythme de croisière, et jamais plus de trois mois sans exercice pour personne, été compris. Le calendrier 12 mois ci-dessus est un point de départ ; adaptez-le à votre secteur, à vos périodes de clôture et aux résultats observés. Concrètement, bloquez dès maintenant la date de votre baseline dans le calendrier de l’équipe et programmez les onze envois suivants dans la foulée, pour que le rythme ne dépende pas de la charge du moment.

Pour des statistiques contextualisées sur le phishing en France et les profils d’attaques les plus courants en 2026, consultez notre article phishing en entreprise : statistiques 2026.

Lancez votre premier baseline | Tester la sécurité de vos emails

Sources

Documents consultés et vérifiés en octobre 2026. Le détail des benchmarks de taux de clic et de leurs méthodes figure dans notre méta-étude.

• B. Reinheimer et al., « An investigation of phishing awareness and education over time: When and how to best remind users », SOUPS 2020 (USENIX). Texte intégral.
• N. J. Cepeda, H. Pashler, E. Vul, J. T. Wixted, D. Rohrer, « Distributed practice in verbal recall tasks: A review and quantitative synthesis », Psychological Bulletin, 2006. DOI.
• W. J. Gordon et al., « Assessment of Employee Susceptibility to Phishing Attacks at US Health Care Institutions », JAMA Network Open, 2019. DOI.
• G. Ho, A. Mirian, E. Luo et al., « Understanding the Efficacy of Phishing Training in Practice », IEEE Symposium on Security and Privacy, 2025. DOI.
• D. Lain, K. Kostiainen, S. Čapkun, « Phishing in Organizations: Findings from a Large-Scale and Long-Term Study », IEEE Symposium on Security and Privacy, 2022. Texte intégral.
• M. Steves, K. Greene, M. Theofanos, « Categorizing human phishing difficulty: a Phish Scale », Journal of Cybersecurity, 2020. DOI.
• KnowBe4 (R. A. Grimes, M. J. Kraemer), Data Confirms Value of Security Awareness Training and Simulated Phishing, livre blanc, novembre 2023. PDF.
• KnowBe4, Phishing by Industry Benchmarking Report 2025, rapport en ligne et communiqué du 13 mai 2025. Rapport, communiqué.
• Hoxhunt, Phishing Trends Report (Updated for 2026), 12 mars 2026. Rapport en ligne.
• Proofpoint, Data from 2024 Phishing Tests Reveals How Human-Targeted Threats Are Evolving, 8 avril 2025. Article.
• Fortra, 2025 Phishing Simulation Benchmark Report, juin 2026. Rapport en ligne.
• Verizon, 2025 Data Breach Investigations Report, 23 avril 2025. PDF.