À quelle fréquence simuler des attaques phishing ?

Un programme de simulation de phishing mensuel permet de passer d’un taux de clic de ~33 % à moins de 5 % en 12 mois (KnowBe4, Phishing by Industry Benchmarking Report 2024). Un programme annuel ? L’effet disparaît en moins de six mois. La fréquence n’est pas un détail d’organisation : c’est la variable qui détermine si votre programme fonctionne ou non.

La question que posent presque tous les responsables sécurité de PME est la même : combien de fois par an devons-nous simuler des attaques de phishing ? Trop rarement, et les réflexes s’érodent avant la prochaine session. Trop souvent, et on risque la saturation. La réponse est dans les données — et elle est plus précise qu’on ne le croit.

Cet article compile les résultats des principales études sur l’impact de la fréquence (KnowBe4, SANS Institute, USENIX Security), explique pourquoi la mémoire humaine impose un rythme minimum, identifie les erreurs de calendrier les plus coûteuses, et fournit un modèle de calendrier annuel utilisable immédiatement.

Pourquoi la fréquence change tout : ce que dit la science de l’apprentissage

La courbe de l’oubli, appliquée au phishing

En 1885, Hermann Ebbinghaus a modélisé mathématiquement la vitesse à laquelle l’être humain oublie ce qu’il a appris. Sa courbe de l’oubli, validée et affinée par des dizaines d’études depuis, montre un chiffre sans appel : sans répétition, une personne retient moins de 20 % d’un apprentissage après 30 jours.

Appliqué au phishing, cela signifie qu’un collaborateur formé une fois par an en janvier a oublié l’essentiel de ce qu’il a appris en février. Ses réflexes de méfiance sont intacts en janvier, fragiles en mars, presque inexistants en juin.

La simulation de phishing est précisément conçue pour contrer ce phénomène. Chaque simulation active le souvenir de la précédente, renforce les circuits neuronaux liés à la détection, et repousse l’oubli. C’est le principe du réapprentissage espacé (spaced repetition) : l’un des mécanismes d’apprentissage les mieux documentés en sciences cognitives.

L’effet de l’espacement : quand simuler pour maximiser la rétention

Les recherches sur l’apprentissage espacé (notamment Cepeda et al., Psychological Science 2006) montrent que des révisions régulièrement espacées dans le temps sont bien plus efficaces qu’un apprentissage concentré. L’étude USENIX Security 2020 (Reinheimer et al.) confirme ce principe dans le contexte spécifique de la formation anti-phishing.

Pour la simulation de phishing, l’implication est directe :

• Formation concentrée (une journée complète par an) : forte rétention immédiate, chute rapide à moins de 20 % après 8 semaines
• Formation mensuelle (1 simulation + remédiation par mois) : rétention initiale plus faible mais maintien durable — les taux de clic restent bas sur 12 mois (KnowBe4 2024)
• Formation bimensuelle (2 simulations par mois) : rétention maximale, mais les gains marginaux par rapport au rythme mensuel sont modestes (SANS Institute 2025)

Ce n’est pas de la théorie : les plateformes de simulation qui mesurent les taux de clic sur de grandes populations confirment ce modèle. Selon les données KnowBe4 (Phishing by Industry Benchmarking Report 2024), les entreprises qui simulent mensuellement atteignent un taux de clic moyen inférieur à 5 % après 12 mois, contre 12-15 % pour celles qui simulent trimestriellement.

Pour comprendre les mécanismes psychologiques qui rendent le phishing efficace, et donc pourquoi les réflexes doivent être régulièrement réactivés, consultez notre article sur la psychologie du phishing et les biais cognitifs.

Ce que les données de simulation disent sur la dégradation

Une étude publiée par USENIX Security (Reinheimer et al., 2020) a suivi 409 employés sur 15 mois dans le cadre d’un programme de simulation de phishing. Les résultats sont sans ambiguïté :

• Les employés exposés à une simulation il y a moins d’un mois présentent un taux de clic de 3,5 % en moyenne
• Les employés dont la dernière simulation remonte à 4 à 6 mois affichent un taux de 15 à 18 %
• Les employés sans simulation depuis plus de 6 mois retombent au niveau de leur baseline initial, comme s’ils n’avaient jamais été formés

Ce gradient de dégradation définit concrètement le risque d’une fréquence trop faible : chaque mois sans simulation est un mois où la vulnérabilité de votre entreprise se reconstitue.

Ce que les données disent sur la fréquence optimale

Le consensus des principaux acteurs

Les données convergent autour d’un consensus clair :

Fréquence	Impact sur le taux de clic à 12 mois	Recommandation
Annuelle (1×/an)	Amélioration marginale, retour au baseline en 6 mois	Insuffisant
Trimestrielle (4×/an)	Taux de clic réduit à ~12-15 %	Phase de démarrage uniquement
Bimestrielle (6×/an)	Taux de clic réduit à ~8-10 %	Acceptable, non optimal
Mensuelle (12×/an)	Taux de clic < 5 % après 12 mois	Recommandé
Bimensuelle (24×/an)	Taux de clic < 3 %, signalement > 75 %	Pour les équipes à risque élevé

Sources : KnowBe4 Phishing by Industry Benchmarking Report 2024, SANS Security Awareness Report 2025.

Le SANS Institute, dans son Security Awareness Report 2025, est explicite : une simulation par mois est le minimum pour maintenir les réflexes acquis. C’est le seuil en dessous duquel l’effet de la formation s’estompe plus vite qu’il ne se construit.

Le benchmark KnowBe4 : 33 % à moins de 5 % en 12 mois

Les données les plus souvent citées dans le secteur proviennent du Phishing by Industry Benchmarking Report 2024 de KnowBe4, basé sur l’analyse de 54 millions de simulations envoyées à plus de 11 millions d’utilisateurs dans 19 secteurs.

Le résultat le plus marquant : avec un programme de simulation mensuelle associé à de la formation, les organisations passent d’un taux de clic initial de ~33 % à moins de 5 % après 12 mois. Cette progression est cohérente quelle que soit la taille de l’organisation ou le secteur d’activité.

Pour contextualiser ces chiffres par rapport à votre secteur, consultez notre analyse détaillée des benchmarks de taux de clic par secteur d’activité.

Fréquence par profil de risque

La fréquence optimale n’est pas la même pour tous les collaborateurs. Les différents profils de risque justifient des cadences différentes :

Profil standard (ensemble des collaborateurs)

• Fréquence recommandée : 1 simulation/mois
• Objectif à 12 mois : taux de clic < 5 %
• Type de scénarios : générique à ciblé par département

Profil à risque élevé (équipes finances, RH, direction, assistants)

• Fréquence recommandée : 2 simulations/mois
• Justification : cibles privilégiées des attaques BEC et fraude au président
• Types de scénarios : fausses factures, virements urgents, changements de RIB

Nouveaux arrivants (0 à 6 mois d’ancienneté)

• Fréquence recommandée : 3 simulations dans les 60 premiers jours, puis rythme standard
• Justification : les nouveaux employés sont plus vulnérables (moins de connaissance des processus, plus enclins à faire confiance aux demandes internes)

Collaborateurs en récidive (ayant cliqué sur 2 simulations consécutives)

• Fréquence recommandée : 2 simulations/mois avec parcours de formation renforcé
• Justification : les récidivistes représentent un risque disproportionné

Pour approfondir la question de la formation associée aux simulations, notre guide de formation cybersécurité pour les employés de PME détaille les formats complémentaires.

Les risques de trop peu : la dégradation silencieuse

La mémoire musculaire de la vigilance

La vigilance face au phishing fonctionne comme un réflexe acquis. Un collaborateur qui a vécu plusieurs simulations a développé une forme de mémoire procédurale : il scrute automatiquement l’expéditeur, survole les liens avant de cliquer, ressent une légère méfiance face aux urgences. Ces réflexes ne sont pas conscients : ils sont intégrés.

Mais à la différence d’une compétence motrice (faire du vélo, conduire), les réflexes de vigilance face au phishing s’érodent beaucoup plus vite sans pratique. La raison : ils entrent en compétition avec des automatismes antagonistes. L’habitude de cliquer rapidement sur les liens, de traiter les emails en mode automatique, de répondre aux urgences sans vérifier, ces comportements sont renforcés chaque jour par la pression de productivité.

Sans simulation régulière pour contrebalancer ces automatismes, les réflexes de méfiance s’effacent en quelques semaines.

Le coût d’un programme annuel

Imaginez la trajectoire d’un programme de sensibilisation annuel typique :

• Janvier : formation d’une journée + une simulation. Taux de clic initial mesuré. La direction est satisfaite.
• Février : les réflexes sont encore frais. Les employés repèrent les emails suspects.
• Avril : l’érosion a commencé. Sans simulation depuis trois mois, les automatismes de vérification s’affaiblissent.
• Juillet : retour proche du niveau initial. L’étude USENIX Security 2020 (Reinheimer et al.) montre que sans exposition régulière, les employés retombent à leur baseline en quelques mois.
• Décembre : une vraie attaque de phishing. Taux de succès pour les attaquants : identique à janvier de l’année précédente.

La formation annuelle crée une illusion de sécurité. Elle améliore les métriques de conformité sans améliorer la résilience réelle de l’organisation.

Pour comprendre pourquoi les formations classiques, y compris en e-learning, ne suffisent pas à ancrer des comportements durables, lisez notre analyse de pourquoi l’e-learning cybersécurité ne suffit plus.

Les risques de trop : la fatigue de simulation

Ce que la fatigue de simulation est vraiment

La « fatigue de simulation » est un concept souvent mal compris. Elle est réelle, mais ses causes sont mal identifiées.

Elle n’apparaît pas parce que vous simulez trop souvent. Elle apparaît quand vos simulations deviennent prévisibles. Des collaborateurs qui reçoivent le même scénario de fausse facture chaque mois ne développent pas un réflexe de méfiance général : ils apprennent à reconnaître vos templates spécifiques. Quand une vraie attaque arrive avec un scénario différent, ils ne sont pas protégés.

Les signes d’une fatigue de simulation pathologique :

• Les employés se félicitent de « ne pas avoir cliqué » sans expliquer pourquoi ils ont détecté le phishing
• Le taux de clic baisse mais le taux de signalement n’augmente pas proportionnellement
• Les commentaires informels : « encore un test de la DSI »

Dans tous ces cas, le problème n’est pas la fréquence : c’est le manque de variété.

Deux simulations par mois : la limite haute raisonnable

La plupart des praticiens et les données SANS Institute 2025 convergent sur une limite haute de deux simulations par mois pour l’ensemble des collaborateurs. Au-delà, le rapport effort/résultat se dégrade non pas à cause de la fatigue, mais à cause de la difficulté croissante de maintenir des scénarios suffisamment variés et crédibles.

Pour les équipes à risque élevé (finances, RH, direction), deux simulations par mois reste le rythme adapté, à condition que les scénarios soient réellement différents.

Comment éviter la prévisibilité

Pour maintenir l’efficacité d’un programme mensuel dans la durée, variez systématiquement :

• Le vecteur : email, puis SMS (smishing), puis QR code (quishing)
• L’expéditeur simulé : service IT, RH, fournisseur externe, direction
• Le niveau de personnalisation : générique, puis ciblé par département, puis spear phishing nominatif
• Le prétexte : fiscal, livraison, mot de passe, document partagé, mutuelle, réservation voyage
• L’heure et le jour d’envoi : mardi 10h, jeudi 14h, lundi 8h30

Pour explorer les nouvelles formes d’attaques à intégrer dans vos scénarios, consultez notre article sur le quishing, vishing et smishing en 2026.

Considérations saisonnières : simuler au bon moment

Le calendrier des attaquants

Les vrais attaquants adaptent leurs campagnes au calendrier. Ils savent que les collaborateurs sont moins vigilants pendant certaines périodes, et que certains prétextes ont une crédibilité maximale à des moments précis de l’année. Votre programme de simulation devrait suivre la même logique.

Les données de Proofpoint (State of the Phish 2025) montrent des pics d’attaques réelles corrélés au calendrier :

• Mars-avril : emails fiscaux (déclaration de revenus, remboursements URSSAF)
• Septembre : emails de rentrée (nouveaux contrats, mutuelle, formation obligatoire)
• Novembre-décembre : livraisons (Black Friday, colis de Noël), cadeaux d’entreprise

Simuler ces scénarios aux mêmes périodes que les vraies attaques prépare vos collaborateurs aux risques réels du moment.

Les périodes à éviter

Certaines périodes sont à éviter ou à traiter avec précaution :

Éviter complètement :

• Les deux premières semaines de juillet (départs en congés échelonnés, équipes réduites, résultats non représentatifs)
• Les semaines de clôture comptable mensuelle (surcharge cognitive, résultats biaisés à la hausse)
• Les périodes de réorganisation ou de plan social (contexte émotionnel incompatible avec une approche bienveillante)

Adapter les scénarios pendant :

• Les périodes de forte activité (salon professionnel, lancement produit) : utilisez des scénarios liés à l’événement
• La rentrée de septembre (nouveaux arrivants nombreux) : prévoyez une simulation ciblée sur les nouveaux
• La période de Noël : exploitez le thème des colis et des vœux, mais restez attentif à la charge de travail

Le calendrier 12 mois : modèle prêt à l’emploi

Voici un calendrier type pour une PME de 50 à 500 employés, basé sur les recommandations SANS Institute 2025 et les données KnowBe4. Adaptez les thèmes à votre secteur et à l’actualité de votre entreprise.

Structure du calendrier

Mois	Simulation 1	Simulation 2 (équipes à risque)	Objectif pédagogique
Janvier	Baseline général (email générique)	—	Mesurer le point de départ
Février	Mise à jour mot de passe Microsoft 365	Fausse facture fournisseur	Réflexes fondamentaux
Mars	Déclaration de revenus / remboursement impôts	Virement urgent direction	Prétextes fiscaux
Avril	Colis en attente (livraison)	Changement de RIB fournisseur	Détection typosquatting
Mai	Invitation événement entreprise	Mutation / nouvelle offre RH	Phishing interne simulé
Juin	Enquête satisfaction salariés (fausse RH)	Alerte accès suspect compte professionnel	Spear phishing
Juillet	Pas de simulation (congés)	—	Répit planifié
Août	Simulation légère (équipes présentes uniquement)	—	Maintenir le rythme minimal
Septembre	Rentrée : formation obligatoire RGPD (fausse)	Nouveaux arrivants : simulation ciblée	Onboarding sécurité
Octobre	Document partagé (faux OneDrive / Google Drive)	Fausse demande de validation budgétaire	QR code / smishing
Novembre	Offre Black Friday exceptionnelle (fausse)	Email CEO : opportunité confidentielle	BEC simulé
Décembre	Colis de Noël en attente	Vœux direction avec lien malveillant	Clôture et bilan annuel

Phase de montée en puissance (mois 1 à 3)

Les trois premiers mois sont une phase d’installation. L’objectif n’est pas encore la performance, mais l’établissement du baseline et la familiarisation des collaborateurs avec l’existence d’un programme de simulation.

Mois 1 – Baseline. Envoyez une simulation à toute l’entreprise sans aucune formation préalable. Choisissez un scénario de difficulté facile à moyenne (notification de mise à jour de mot de passe, colis en attente). Mesurez le taux de clic, le taux de soumission et le taux de signalement. Ce chiffre est votre référence de départ : il servira à démontrer le ROI du programme dans 12 mois.

Mois 2 – Premier module de formation + seconde simulation. Après le baseline, organisez un court module de formation (20 à 30 minutes, format atelier ou vidéo interactive) sur les trois réflexes fondamentaux : vérifier l’expéditeur réel, survoler les liens, se méfier des urgences. Lancez ensuite une simulation sur un thème différent du baseline.

Mois 3 – Ciblage par département. Segmentez votre population pour la première fois. Envoyez des scénarios différents selon les départements : la comptabilité reçoit une fausse facture, les RH reçoivent un faux email d’un candidat, la direction reçoit une demande de virement urgent.

Phase de croisière (mois 4 à 12)

À partir du quatrième mois, le programme tourne à pleine vitesse. Une simulation par mois pour tous, deux pour les équipes à risque élevé. Chaque simulation est associée à une page de remédiation immédiate pour les collaborateurs qui cliquent.

La règle d’or de la phase de croisière : ne répétez jamais exactement le même scénario. Variez le prétexte, l’expéditeur simulé, le niveau de personnalisation et le vecteur. Consultez notre guide complet de la simulation de phishing en entreprise pour une bibliothèque de scénarios classés par difficulté.

Bilan trimestriel et ajustement

Tous les trois mois, analysez vos résultats et ajustez le programme :

Questions à se poser :

• Le taux de clic diminue-t-il selon la trajectoire attendue ?
• Le taux de signalement augmente-t-il ?
• Un département ou une population résiste-t-il malgré le programme ?
• Mes scénarios sont-ils toujours perçus comme crédibles ?

Ajustements possibles :

• Taux de clic en stagnation → augmenter la difficulté des scénarios
• Taux de signalement faible → travailler sur la culture du signalement (plugin, feedback positif)
• Département en difficulté → session de formation spécifique + fréquence accrue
• Scores trop bons → scénarios trop faciles, il faut augmenter le niveau

Pour démontrer les résultats de votre programme à votre direction et obtenir un budget renouvelé, notre article sur le ROI de la sensibilisation cybersécurité fournit les arguments chiffrés et les formats de présentation.

Adapter la fréquence selon les résultats

Un bon programme n’est pas statique. La fréquence et la difficulté des simulations doivent évoluer avec les résultats.

Grille d’ajustement selon le taux de clic

Taux de clic observé	Interprétation	Action recommandée
> 25 %	Niveau de vigilance faible	Formation urgente + 2 simulations/mois
15-25 %	Début de programme, progrès attendus	Maintenir 1-2 simulations/mois, varier les scénarios
8-15 %	Progression normale	Maintenir le rythme, augmenter la difficulté
3-8 %	Bons résultats	Continuer mensuellement, introduire spear phishing et BEC
< 3 %	Excellents résultats	Maintenir mensuel, maximiser la difficulté, mesurer le signalement

Ce qu’il ne faut jamais faire : réduire la fréquence parce que les résultats sont bons. Les excellents résultats sont le produit de la fréquence, pas une raison de l’abandonner. Un programme réduit à trimestriel après 12 mois de bon travail perdra ses acquis en 6 à 9 mois.

Ajuster selon le taux de signalement

Le taux de signalement est l’indicateur de maturité le plus important d’un programme. Si votre taux de clic est bas mais que votre taux de signalement l’est aussi, vos collaborateurs ne cliquent plus sur vos simulations mais ne détecteraient probablement pas une vraie attaque.

Visez ces objectifs indicatifs par phase (d’après les programmes matures documentés par KnowBe4 et SANS Institute) :

• 3 mois : taux de signalement > 20 %
• 6 mois : taux de signalement > 40 %
• 12 mois : taux de signalement > 60 %

Un taux de signalement supérieur à 60 % signifie qu’une vraie campagne de phishing ciblant votre organisation déclencherait une alerte interne dans l’heure. C’est le vrai objectif d’un programme mature.

Le cas des nouvelles obligations réglementaires

La directive NIS2 (en cours de transposition en France), les exigences des assureurs cyber et les référentiels ISO 27001 convergent vers une exigence commune : démontrer un programme de sensibilisation régulier et mesuré. La fréquence mensuelle est désormais le standard attendu par ces référentiels.

Si votre entreprise cherche à obtenir ou maintenir une assurance cyber, ou à répondre aux exigences NIS2, un programme de simulation mensuel documenté est l’un des éléments les plus concrets à mettre en place. Pour en savoir plus sur le lien entre simulation et couverture assurantielle, consultez notre article sur l’assurance cyber et la preuve de formation des employés.

Par où commencer : le plan d’action en 4 semaines

Si vous n’avez pas encore de programme de simulation structuré, voici comment démarrer en un mois.

Semaine 1 : cadrage

• Obtenir le soutien de la direction (présenter les données KnowBe4 sur le ROI)
• Informer le CSE de la mise en place d’un programme de simulation
• Choisir la plateforme de simulation (voir notre comparatif des solutions de sensibilisation 2026)

Semaine 2 : configuration

• Paramétrer les listes de destinataires (tous les collaborateurs avec adresse email professionnelle)
• Configurer un domaine d’envoi personnalisé
• Préparer la page de remédiation post-clic

Semaine 3 : première simulation (baseline)

• Lancer la simulation baseline sur l’ensemble de l’entreprise
• Ne pas prévenir les collaborateurs de la date
• Laisser tourner 48 heures

Semaine 4 : analyse et communication

• Analyser les résultats (taux de clic, taux de soumission, taux de signalement)
• Présenter les résultats agrégés à la direction
• Planifier le calendrier des 11 mois suivants

Lancez votre baseline maintenant et obtenez votre premier rapport en 48 heures.

Créer un compte nophi.sh gratuitement — configuration en 15 minutes, premier résultat en deux jours.

Questions fréquentes

À quelle fréquence lancer des simulations de phishing ?

La fréquence optimale est d’une simulation par mois, soit 12 par an. Les données KnowBe4 (Phishing by Industry Benchmarking Report 2024) montrent que les organisations avec un rythme mensuel passent d’un taux de clic de ~33 % à moins de 5 % en 12 mois. En deçà d’une simulation par mois, les réflexes acquis s’érodent : des recherches en sciences cognitives montrent que sans répétition, 80 % de ce qui est appris disparaît en 30 jours (courbe de l’oubli d’Ebbinghaus).

Les simulations trimestrielles sont-elles suffisantes ?

Non, sauf en phase de démarrage. Les données montrent qu’un programme trimestriel produit une amélioration mesurable mais bien plus lente, avec un taux de clic qui reste souvent au-dessus de 10 % après 12 mois. La simulation trimestrielle convient comme phase transitoire (mois 1 à 3), mais ne suffit pas pour ancrer des réflexes durables. Visez le rythme mensuel dès que votre organisation est prête.

La fatigue de simulation est-elle un vrai risque ?

Oui, mais elle est souvent mal diagnostiquée. Elle n’apparaît pas parce que vous simulez trop souvent : elle apparaît parce que vos scénarios sont trop prévisibles. Des collaborateurs qui reçoivent le même type de simulation chaque mois apprennent à reconnaître vos templates, pas le phishing réel. La solution n’est pas de réduire la fréquence, mais de varier les scénarios, les vecteurs et les niveaux de difficulté.

Faut-il simuler plus souvent les équipes à risque ?

Oui. Les équipes finances, RH, direction et les nouveaux arrivants présentent un profil de risque plus élevé et bénéficient d’une fréquence accrue. Concrètement : deux simulations par mois pour ces groupes, avec des scénarios adaptés à leur contexte professionnel (fausses factures pour la comptabilité, faux RIB pour les RH). Les plateformes de simulation modernes permettent de créer des groupes cibles distincts avec des calendriers indépendants.

Comment ajuster la fréquence selon les résultats ?

Si votre taux de clic est supérieur à 15 % après 3 mois de simulations mensuelles, augmentez la fréquence à deux simulations par mois et renforcez la formation associée. Si votre taux de clic est inférieur à 5 %, maintenez le rythme mensuel mais augmentez la difficulté des scénarios. Ne réduisez jamais la fréquence en dessous d’une simulation par mois, même avec d’excellents résultats : c’est le maintien de la fréquence qui préserve les acquis.

Quelles périodes de l’année éviter pour les simulations ?

Évitez les simulations pendant les deux premières semaines de congés d’été (juillet), les semaines de clôture comptable mensuelle et les périodes de crise ou de changement organisationnel majeur. En revanche, les périodes de rentrée (septembre), les veilles de fêtes (novembre-décembre) et les échéances fiscales (mars-avril) sont des moments stratégiques : ce sont exactement les périodes où les vrais attaquants frappent.

Conclusion

La fréquence de simulation de phishing n’est pas une variable secondaire. C’est le paramètre qui détermine si votre programme produit des résultats durables ou une amélioration éphémère.

Les données sont claires : une simulation par mois, associée à une remédiation immédiate et à une variété de scénarios, permet de passer d’un taux de clic de 30 % à moins de 5 % en 12 mois (KnowBe4, 2024). Moins fréquent, les réflexes s’érodent avant la prochaine session. Plus fréquent mais sans variété, la prévisibilité annule l’effet.

Le calendrier 12 mois présenté dans cet article est un point de départ. Adaptez-le à votre secteur, à votre calendrier interne et aux résultats observés. L’essentiel : ne pas laisser passer plus d’un mois entre deux simulations.

Pour des statistiques contextualisées sur le phishing en France et les profils d’attaques les plus courants en 2026, consultez notre article phishing en entreprise : statistiques 2026.

Lancez votre premier baseline | Tester la sécurité de vos emails