Phishing en entreprise : statistiques 2026, exemples et solutions

En 2025, le phishing reste le vecteur d’attaque n°1, à l’origine de 55 % des attaques significatives en France (baromètre CESIN 2026). Ce chiffre ne surprend plus les professionnels de la cybersécurité. Ce qui surprend davantage, c’est la vitesse à laquelle ces attaques se perfectionnent, et la lenteur avec laquelle les entreprises s’adaptent.

En France, la situation est particulièrement préoccupante pour les petites et moyennes entreprises. 57 % des PME françaises ont subi au moins une cyberattaque au cours des 12 derniers mois (Hiscox 2025). Parmi elles, une proportion significative n’avait ni outil de détection, ni programme de formation, ni protocole de réponse à incident.

Cet article est le guide de référence francophone sur le phishing en entreprise en 2026. Vous y trouverez les statistiques les plus récentes, les sept types d’attaques qui ciblent les organisations, des exemples réels survenus en France, et surtout comment construire une défense efficace combinant détection technique, simulation de phishing et formation continue. Les données citées proviennent des rapports Verizon DBIR 2026, IBM Cost of a Data Breach 2025, Proofpoint State of the Phish 2025, du baromètre CESIN et des publications de l’ANSSI. Pour l’ensemble des chiffres vérifiés et mis à jour trimestriellement, consultez nos statistiques du phishing en France.

Que vous soyez dirigeant, responsable informatique ou RSSI (responsable de la sécurité des systèmes d’information) d’une PME, ce guide vous donnera les clés pour comprendre la menace et agir concrètement.

Phishing en entreprise : les chiffres clés en 2026

Les statistiques du phishing en entreprise confirment la même tendance : la menace est massive, en croissance et de plus en plus coûteuse. Voici les données les plus marquantes issues des rapports de référence.

Indicateur	Chiffre	Source
Part des attaques significatives en France démarrant par un phishing	55 %	Baromètre CESIN 2026
PME victimes déclarant un impact menaçant leur viabilité	1 sur 3	Hiscox Cyber Readiness Report 2025
Taux de clic moyen en simulation avant formation	33,1 %	KnowBe4 Phishing by Industry Benchmarking Report 2025
Coût moyen d’une violation de données	4,44 M$	IBM Cost of a Data Breach 2025
Emails de phishing envoyés chaque jour dans le monde	3,4 milliards	Barracuda Networks 2025
Augmentation des attaques de phishing sur un an	+58 %	Zscaler ThreatLabz 2025
Part des violations dont le vecteur initial est le phishing	16 %	IBM Cost of a Data Breach 2025
Violations impliquant l’élément humain	62 %	Verizon DBIR 2026

Selon le rapport IBM Cost of a Data Breach 2025, le phishing est le vecteur d’attaque initial le plus fréquent (16 % des violations) et l’un des plus coûteux. Les 4,44 millions de dollars de coût moyen incluent la détection, la réponse à incident, la perte de chiffre d’affaires et les sanctions réglementaires. En France, le coût moyen d’une violation atteint 3,59 millions d’euros (même source) : pour une PME dont le chiffre d’affaires se situe entre 2 et 50 millions d’euros, une seule attaque réussie peut menacer l’entreprise. Pour le détail poste par poste : Combien coûte une cyberattaque pour une PME de 50 personnes.

Le Hiscox Cyber Readiness Report 2025 indique qu’un tiers des entreprises touchées ont subi un impact suffisamment lourd pour menacer leur santé financière. Perte de confiance des clients, paralysie opérationnelle, coûts de remédiation : les dommages se cumulent et fragilisent durablement l’entreprise.

Enfin, selon KnowBe4 (Phishing by Industry Benchmarking Report 2025), 33,1 % des employés cliquent en moyenne lors d’une première simulation, et ce taux tombe à 4,1 % après 12 mois de simulations et de formation. Le facteur humain est donc à la fois le maillon faible et la défense la plus facile à améliorer.

Mesurer le taux de clic de votre équipe : première campagne le jour même, essai gratuit de 14 jours.

Les 7 types de phishing qui ciblent les entreprises

Le phishing en entreprise ne se limite plus aux emails mal rédigés remplis de fautes d’orthographe. Les attaquants ont diversifié leurs techniques et leurs canaux. Voici les sept types d’attaques que toute organisation doit connaître.

1. Phishing par email classique

Il s’agit d’un envoi massif d’emails imitant des marques ou institutions de confiance (banques, services cloud, administrations) pour voler des identifiants ou installer des logiciels malveillants.

L’attaquant reproduit fidèlement l’identité visuelle d’une marque connue, logo, mise en page, ton, et envoie un email à des milliers de destinataires. Le message contient un lien vers une page de connexion contrefaite ou une pièce jointe piégée.

Par exemple, un email prétendant provenir de Microsoft 365 avertit l’utilisateur que son mot de passe expire dans 24 heures et l’invite à cliquer sur un lien pour le renouveler. La page de destination est une copie parfaite de la page de connexion Microsoft, hébergée sur un domaine comme microsft-365-login.com.

La détection est d’une difficulté moyenne. Les filtres email modernes bloquent la majorité de ces tentatives, mais les campagnes les plus sophistiquées utilisent des domaines nouvellement enregistrés et des techniques d’évasion qui contournent les protections standards.

2. Spear phishing (hameçonnage ciblé)

C’est une attaque de phishing personnalisée visant un individu spécifique, utilisant des informations collectées sur les réseaux sociaux, le site web de l’entreprise ou des bases de données compromises.

L’attaquant recherche sa cible sur LinkedIn, le site de l’entreprise et les réseaux sociaux. Il construit un email hautement personnalisé en mentionnant le nom du destinataire, son poste, un projet en cours ou un collègue réel. Le niveau de personnalisation rend l’email beaucoup plus convaincant.

Par exemple, un comptable reçoit un email apparemment envoyé par le directeur financier, mentionnant une facture spécifique du fournisseur habituel et demandant de procéder à un virement urgent vers de nouvelles coordonnées bancaires.

La détection est difficile : la personnalisation rend ces emails difficiles à distinguer des communications légitimes, même pour des employés expérimentés.

3. Whaling / Fraude au président

C’est une variante du spear phishing ciblant exclusivement les dirigeants (CEO, CFO, DG) ou se faisant passer pour eux auprès des équipes.

L’attaquant usurpe l’identité du PDG ou d’un membre du comité de direction pour adresser une demande urgente et confidentielle à un collaborateur disposant d’accès financiers. La pression hiérarchique et le caractère prétendument confidentiel de la demande inhibent les réflexes de vérification.

Le cas classique en France : un email semblant provenir du DG demande au service comptabilité de réaliser un virement de 500 000 euros pour une « acquisition confidentielle en cours ». L’email insiste sur le secret absolu et l’urgence.

La détection est très difficile. Ces attaques exploitent la déférence hiérarchique et l’urgence pour court-circuiter les procédures de contrôle.

4. Business Email Compromise (BEC)

Il s’agit de la compromission réelle d’un compte email professionnel, utilisé ensuite pour envoyer des messages frauduleux depuis une adresse légitime.

Contrairement au spear phishing qui imite un expéditeur, le BEC utilise le vrai compte email d’un collaborateur. L’attaquant accède au compte (souvent via un phishing initial), observe les échanges en cours, puis intervient au moment opportun : par exemple pour modifier les coordonnées bancaires dans une chaîne d’emails avec un fournisseur.

Par exemple, un attaquant compromet le compte email d’un acheteur dans une entreprise industrielle. Il surveille pendant deux semaines les échanges avec un fournisseur stratégique, puis répond au dernier email de facturation en indiquant un changement de RIB. Le fournisseur, qui communique avec l’adresse email habituelle, effectue le virement vers le compte frauduleux.

La détection est très difficile. L’email provient d’une adresse légitime, à l’intérieur d’une conversation existante, rendant la détection quasi impossible sans analyse comportementale avancée.

5. Smishing (phishing par SMS)

Ce sont des attaques de phishing diffusées par SMS, exploitant la confiance supérieure que les utilisateurs accordent aux messages texte par rapport aux emails.

L’attaquant envoie un SMS semblant provenir d’une institution reconnue (banque, service de livraison, administration) avec un lien vers un site frauduleux. Les SMS bénéficient d’un taux d’ouverture de 98 % contre 20 % pour les emails, et les URL raccourcies masquent la destination réelle.

Par exemple, un SMS prétendant provenir de l’Assurance Maladie informe le destinataire qu’il doit mettre à jour sa carte Vitale en urgence via un lien. Le site imite le portail Ameli.fr et collecte numéro de sécurité sociale, identifiants et coordonnées bancaires.

La détection est difficile. Les filtres anti-spam sur SMS sont moins matures que sur email, et les utilisateurs sont moins méfiants face aux SMS. Selon Proofpoint, les attaques de smishing ont augmenté de +300 % depuis 2023.

6. Vishing (phishing vocal)

Ce sont des attaques par téléphone utilisant l’ingénierie sociale, de plus en plus renforcées par le clonage vocal par intelligence artificielle.

L’attaquant appelle la cible en se faisant passer pour un technicien informatique, un banquier ou un collègue. Avec les outils de synthèse vocale par IA, il peut désormais reproduire fidèlement la voix d’une personne réelle à partir de quelques secondes d’enregistrement audio (conférence, vidéo YouTube, messagerie vocale).

Par exemple, un directeur financier reçoit un appel de ce qu’il croit être le PDG, lui demandant de valider un virement urgent. La voix, clonée à partir d’une intervention publique du PDG, est parfaitement reconnaissable. Ce scénario, documenté par plusieurs cabinets de cybersécurité, a causé des pertes dépassant le million d’euros dans des entreprises européennes.

La détection est très difficile. Le clonage vocal par IA représente une rupture technologique qui rend les protections traditionnelles (« vérifier de vive voix ») obsolètes.

7. QR phishing (Quishing)

Il s’agit d’utiliser des codes QR malveillants dans des emails, documents imprimés ou affiches pour diriger les victimes vers des sites de phishing.

L’attaquant insère un code QR dans un email professionnel (prétextant une authentification à deux facteurs, un document partagé) ou dans un support physique (fausse contravention, affiche dans un lieu public). Le code QR redirige vers un site de phishing. Les codes QR contournent les filtres email traditionnels qui n’analysent pas les images.

Par exemple, de fausses contraventions de stationnement sont déposées sur les pare-brise dans plusieurs villes françaises. Le PV invite à scanner un code QR pour « contester ou payer l’amende en ligne ». Le site collecte les données bancaires.

La détection est difficile. Les codes QR masquent naturellement l’URL de destination, empêchant la vérification visuelle du lien. Les solutions de sécurité email traditionnelles ne scannent pas les QR codes intégrés dans les images.

Pour une analyse approfondie du quishing, du vishing et du smishing avec des stratégies de défense spécifiques : Les nouvelles formes de phishing en 2026.

Exemples d’attaques de phishing en France

Au-delà des statistiques, les exemples concrets illustrent la réalité de la menace pour les entreprises françaises. Voici quatre cas représentatifs des attaques qui frappent l’Hexagone.

Attaque par phishing contre un CHU français (2024)

Un agent hospitalier a reçu un email imitant une notification du système de gestion des plannings. En cliquant sur le lien et en saisissant ses identifiants, il a donné aux attaquants un point d’entrée dans le réseau de l’établissement. En quelques heures, un ransomware s’est propagé sur l’infrastructure, chiffrant les dossiers patients et paralysant les systèmes de prescription.

Impact : Retour au papier pendant plusieurs semaines, déprogrammation d’opérations non urgentes, coût de remédiation estimé à plusieurs millions d’euros par l’ANSSI, et risque direct pour la sécurité des patients. Ce type d’incident a été documenté à de multiples reprises par l’ANSSI dans ses rapports annuels sur l’état de la menace.

Comment cela aurait pu être évité : Une formation régulière des agents aux signaux d’alerte du phishing, combinée à un outil de vérification des emails suspects, aurait permis aux agents de faire analyser le message avant de cliquer.

BEC ciblant une ETI industrielle : virement frauduleux de 800 000 euros

Les attaquants ont compromis le compte email d’un responsable achats d’une entreprise de taille intermédiaire dans le secteur industriel. Après deux semaines d’observation silencieuse des échanges avec un fournisseur stratégique, ils ont intercepté une facture en cours de règlement et substitué les coordonnées bancaires par celles d’un compte offshore.

Impact : 800 000 euros virés vers un compte frauduleux, irrécupérables malgré l’intervention rapide de la banque. La compromission a été découverte uniquement lorsque le vrai fournisseur a relancé pour impayé, soit trois semaines après le virement.

Comment cela aurait pu être évité : Un protocole de double vérification pour tout changement de coordonnées bancaires (appel téléphonique au numéro habituel, non à celui fourni dans l’email), et une solution de détection comportementale des accès email anormaux.

Campagne de smishing usurpant l’Assurance Maladie

Une campagne massive de SMS frauduleux a ciblé des centaines de milliers de Français en se faisant passer pour l’Assurance Maladie. Le message indiquait que la nouvelle carte Vitale était disponible et invitait à la commander via un lien. Le site, copie quasi parfaite d’Ameli.fr, demandait numéro de sécurité sociale, identifiants FranceConnect et coordonnées bancaires (sous prétexte de frais d’envoi de 1,90 euro).

Impact : Des milliers de victimes ont communiqué leurs données personnelles et bancaires. Les informations collectées ont été revendues sur le dark web et utilisées pour des usurpations d’identité. L’assurance Maladie et Cybermalveillance.gouv.fr ont émis des alertes publiques.

Comment cela aurait pu être évité : Une sensibilisation régulière des collaborateurs aux techniques de smishing, aurait réduit le taux de clic. Les outils de simulation par SMS restent rares (chez nophi.sh, c’est prévu mais pas encore disponible).

QR phishing dans les fausses contraventions de stationnement

Dans plusieurs grandes villes françaises, des faux avis de contravention ont été déposés sur les pare-brise de véhicules. Le document, reprenant fidèlement le format officiel des PV, incluait un code QR invitant à « payer ou contester l’amende en ligne ». Le site de destination collectait les données de carte bancaire.

Impact : Difficile à quantifier en raison du nombre de victimes non déclarées, mais les forces de l’ordre ont signalé des centaines de plaintes. L’attaque est particulièrement insidieuse car elle exploite un support physique, le papier, que la plupart des gens ne perçoivent pas comme un vecteur de cyberattaque.

Comment cela aurait pu être évité : La formation des employés doit inclure les vecteurs non numériques comme le quishing. Un programme de sensibilisation complet parle de tous les canaux d’attaque, au-delà de l’email.

Lancer une simulation de phishing par email : essai gratuit de 14 jours, sans carte bancaire.

Pourquoi les PME sont des cibles privilégiées

Si les grandes entreprises et les institutions font les gros titres lorsqu’elles sont victimes de cyberattaques, les PME constituent en réalité les cibles les plus fréquentes et les plus vulnérables. Plusieurs facteurs structurels expliquent cette exposition disproportionnée.

Budget cybersécurité limité. Selon le baromètre CESIN 2025, les PME françaises consacrent en moyenne moins de 5 % de leur budget IT à la cybersécurité, contre 10 à 15 % pour les grandes entreprises. Ce sous-investissement se traduit par des outils de protection obsolètes ou absents, et l’impossibilité de déployer des solutions avancées de détection.

Absence d’équipe dédiée. La plupart des PME ne disposent ni d’un SOC (Security Operations Center) ni d’un RSSI (Responsable de la Sécurité des Systèmes d’Information) à plein temps. La sécurité informatique est souvent gérée par le responsable IT généraliste, voire par le dirigeant lui-même, en plus de ses autres responsabilités.

Moins de formation des employés. Dans une grande entreprise, la sensibilisation à la cybersécurité fait partie du parcours d’intégration et des formations annuelles obligatoires. Dans une PME, cette formation est souvent inexistante ou réduite à un email d’avertissement ponctuel. Or, c’est précisément le facteur humain que le phishing exploite.

Porte d’entrée vers les grands groupes (supply chain attacks). Les PME qui travaillent comme sous-traitants ou fournisseurs de grandes entreprises deviennent des cibles stratégiques. Compromettre le réseau d’un fournisseur permet d’atteindre la grande entreprise cliente par rebond : une technique documentée dans de nombreuses attaques de supply chain ces dernières années.

Conformité réglementaire en retard. L’entrée en vigueur de NIS2 (directive européenne sur la sécurité des réseaux et des systèmes d’information) et de DORA (Digital Operational Resilience Act) impose de nouvelles obligations aux PME de secteurs critiques. Cependant, selon l’ANSSI, une majorité de PME concernées n’ont pas encore engagé leur mise en conformité. Pour en savoir plus sur ces obligations, consultez notre guide NIS2 pour les PME et notre page consacrée à la conformité.

Sentiment de fausse sécurité. Beaucoup de dirigeants de PME pensent encore que leur entreprise est « trop petite pour intéresser les hackers ». Cette croyance est dangereuse : les attaques de phishing sont massivement automatisées et ne font pas de distinction de taille. Un email de phishing envoyé à 100 000 adresses touche aussi bien le CAC 40 que la TPE de 5 salariés.

Comment détecter un email de phishing : les 8 signaux d’alerte

Avant de mettre en place des solutions techniques, chaque collaborateur doit savoir reconnaître un email de phishing. Voici les huit signaux d’alerte à vérifier systématiquement.

1. Expéditeur suspect. Vérifiez l’adresse email complète, pas seulement le nom affiché. Un email de support@micros0ft-365.com (avec un zéro) n’est pas un email de Microsoft. Les attaquants utilisent des domaines qui ressemblent visuellement aux domaines légitimes (typosquatting).

2. Urgence artificielle. « Votre compte sera suspendu dans 24 heures », « Action requise immédiatement », « Dernier avertissement avant fermeture ». L’urgence est la technique de manipulation la plus utilisée en phishing pour empêcher la réflexion. Pour comprendre les mécanismes cognitifs exploités par ces techniques : La psychologie du phishing et les biais cognitifs.

3. Liens masqués. Survolez (sans cliquer) chaque lien dans l’email. L’URL affichée dans le texte ne correspond pas toujours à l’URL réelle de destination. Un lien affichant www.mabanque.fr peut pointer vers www.mabanque-securite.xyz.

4. Pièces jointes inattendues. Méfiez-vous des pièces jointes non sollicitées, en particulier les fichiers .exe, .zip, .iso et les documents Office contenant des macros (.docm, .xlsm). Ne jamais activer les macros sur un document reçu par email.

5. Fautes d’orthographe et de grammaire. Bien que les attaques les plus sophistiquées soient désormais rédigées sans erreur (grâce à l’IA générative), la présence de fautes dans un email prétendument officiel reste un signal d’alerte. Attention toutefois : l’absence de fautes ne garantit pas la légitimité.

6. Demande d’informations sensibles. Aucune organisation légitime ne demande par email un mot de passe, un numéro de carte bancaire, un code de validation ou un numéro de sécurité sociale. Toute demande de ce type est suspecte par défaut.

7. Absence de personnalisation. Un email commençant par « Cher client », « Cher utilisateur » ou « Madame, Monsieur » alors que l’expéditeur est censé vous connaître est suspect. Cependant, les attaques par spear phishing utilisent votre vrai nom : ce critère seul ne suffit donc pas.

8. Design approximatif. Logos pixélisés ou déformés, mise en page cassée sur mobile, couleurs légèrement différentes de la charte officielle, pied de page incomplet. Ces indices visuels trahissent souvent une tentative de phishing, même si les copies deviennent de plus en plus fidèles.

Cette checklist est un premier rempart, mais elle ne suffit pas face aux attaques les plus sophistiquées. C’est pourquoi la combinaison détection technique + simulation + formation reste nécessaire. Les fonctionnalités de nophi.sh couvrent la simulation, la formation et l’analyse des emails signalés.

Solutions pour protéger votre entreprise contre le phishing

Une défense efficace contre le phishing en entreprise repose sur la complémentarité de trois approches. Aucune ne suffit seule.

Pilier 1 : Détection technique

La première ligne de défense est technologique. Elle vise à empêcher les emails malveillants d’atteindre les boîtes de réception.

Authentification email (SPF, DKIM, DMARC). Ces trois protocoles constituent le socle de la sécurité email. SPF vérifie que le serveur expéditeur est autorisé à envoyer au nom du domaine. DKIM ajoute une signature cryptographique garantissant l’intégrité du message. DMARC coordonne les deux et définit la politique de traitement des messages non conformes. Les organisations ayant déployé DMARC en mode reject bloquent la majorité des tentatives d’usurpation de leur domaine.

Détection par intelligence artificielle. Les filtres basés sur des signatures et des listes noires sont insuffisants face aux nouvelles attaques. Les solutions de détection par IA analysent en temps réel le contenu, le contexte, les métadonnées et les comportements pour identifier les menaces inédites (zero-day phishing). nophi.sh intervient à un autre endroit : ses analyses par IA portent sur les emails que vos collaborateurs lui transfèrent, sans filtrer ni bloquer la messagerie.

Analyse des URLs et des pièces jointes. Le sandboxing (exécution en environnement isolé) et l’analyse dynamique des liens et fichiers joints permettent de détecter les contenus malveillants que les filtres statiques laissent passer.

Pilier 2 : Simulation et test

La détection technique, aussi performante soit-elle, ne bloquera jamais 100 % des menaces. Le facteur humain reste le dernier rempart, et il doit être entraîné.

Campagnes de phishing simulé régulières. La simulation de phishing consiste à envoyer de faux emails de phishing aux collaborateurs pour mesurer et améliorer leur vigilance. Selon KnowBe4 (Phishing by Industry Benchmarking Report 2025), le taux de clic moyen passe de 33,1 % à 4,1 % après 12 mois de simulations et de formation.

Benchmarking par département. Tous les services ne sont pas également exposés. Les équipes finances, RH et direction sont les cibles prioritaires. Les simulations permettent d’identifier les départements les plus vulnérables et d’adapter la formation en conséquence. Pour les données de référence par secteur d’activité : Taux de clic phishing : benchmarks par secteur.

Apprentissage par l’expérience. Un collaborateur qui clique sur un phishing simulé et se retrouve face à une page de sensibilisation retient la leçon beaucoup plus efficacement qu’après une formation théorique. C’est le principe du « teachable moment ».

Pour mettre en place un programme de simulation structuré, consultez notre guide complet de la simulation de phishing en entreprise. Pour choisir un outil, notre comparatif des logiciels de simulation de phishing en France compare prix, hébergement et formation ; les campagnes de simulation nophi.sh y figurent.

Pilier 3 : Formation continue

La formation fonctionne mieux en continu, adaptée au niveau de risque de chaque collaborateur.

Micro-learning post-échec. Lorsqu’un employé échoue à une simulation de phishing, il reçoit immédiatement un module de formation court ciblé sur le type d’attaque qu’il n’a pas détecté, au moment où la leçon a le plus de chances de rester.

Suivi selon le niveau de risque. Les collaborateurs ne partent pas tous du même niveau : les profils à haut risque (récidivistes, formations en retard) méritent des relances et un suivi par leur manager.

Culture de la sécurité. Au-delà de la formation individuelle, l’objectif est de créer une culture où le signalement d’un email suspect est valorisé plutôt que sanctionné. Les organisations les plus matures en matière de cybersécurité célèbrent les signalements et font de chaque incident une occasion d’apprentissage collectif.

Pour une approche structurée de la formation, consultez notre guide de formation cybersécurité pour PME.

Questions fréquentes sur le phishing en entreprise

Quelle est la différence entre phishing et spear phishing ?

Le phishing classique est une attaque de masse : le même email est envoyé à des milliers, voire des millions de destinataires sans personnalisation. Le spear phishing est une attaque ciblée : l’email est spécifiquement conçu pour un individu ou un petit groupe, en utilisant des informations personnelles (nom, poste, projets en cours) pour paraître légitime. Sa détection est nettement plus difficile car l’email ne correspond à aucun modèle connu.

Combien coûte une attaque de phishing à une PME ?

Le coût varie considérablement selon la nature de l’attaque. Selon IBM Cost of a Data Breach 2025, le coût moyen global est de 4,44 millions de dollars, mais ce chiffre inclut les grandes entreprises. Pour une PME française, les estimations du CESIN situent le coût médian entre 15 000 et 300 000 euros, incluant la remédiation technique, la perte de productivité, les frais juridiques et l’impact réputationnel. Dans le cas d’un BEC avec virement frauduleux, la perte directe peut atteindre plusieurs centaines de milliers d’euros. Sans compter les sanctions RGPD potentielles en cas de fuite de données personnelles (jusqu’à 4 % du chiffre d’affaires annuel).

Comment signaler un email de phishing ?

En interne, transférez l’email suspect à votre service informatique ou utilisez le bouton de signalement intégré à votre client de messagerie (si votre entreprise en a déployé un). Ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe. En externe, vous pouvez signaler les tentatives de phishing sur la plateforme Cybermalveillance.gouv.fr et transférer les emails frauduleux à signal-spam@signal-spam.fr. Pour les SMS, transférez le message au 33700. Le signalement est utile : il alimente les bases de données qui protègent tout le monde. Voir aussi : Que faire en cas de phishing : guide complet.

Les antivirus protègent-ils contre le phishing ?

Partiellement. Les antivirus modernes intègrent des fonctionnalités anti-phishing (détection d’URL malveillantes, analyse de pièces jointes), mais ils ne constituent pas une protection complète. Les antivirus passent souvent à côté des attaques récentes, en particulier celles utilisant des sites de phishing nouvellement créés (zero-day) ou des techniques sans malware (vol d’identifiants via une fausse page de connexion). Une protection efficace nécessite des couches supplémentaires : filtrage email avancé, détection par IA, formation des utilisateurs et simulation régulière.

À quelle fréquence faut-il former les employés au phishing ?

Les recommandations des organismes de référence (ANSSI, NIST, SANS Institute) convergent : une formation initiale lors de l’intégration, des simulations de phishing au moins mensuelles, et des modules de micro-learning déclenchés par les échecs aux simulations. L’effet d’une formation ponctuelle s’estompe en quelques mois ; un programme continu maintient la vigilance. L’idéal est de combiner formations planifiées et moments d’apprentissage contextuels (après un clic sur un phishing simulé).

La simulation de phishing est-elle légale en France ?

Oui, la simulation de phishing est légale en France dans le cadre de la sensibilisation des collaborateurs, à condition de respecter certaines conditions. L’employeur doit informer les instances représentatives du personnel (CSE) de la mise en place du programme. Les résultats individuels doivent être traités de manière confidentielle et ne peuvent pas être utilisés à des fins disciplinaires. Le traitement des données est encadré par le RGPD : base légale d’intérêt légitime, information des personnes concernées, durée de conservation limitée. La CNIL recommande la transparence sur l’existence du programme tout en préservant l’effet de surprise nécessaire à son efficacité. Consultez notre page conformité pour plus de détails sur le cadre réglementaire.

Première étape : mesurer votre taux de clic

En France, 55 % des attaques significatives commencent par un phishing (CESIN 2026) et 57 % des PME ont été attaquées en 12 mois (Hiscox 2025). La détection technique filtre les menaces connues ; la simulation mesure la vigilance réelle des équipes ; la formation ancre les réflexes.

Le point de départ est un chiffre : le taux de clic de vos équipes sur une première simulation, à comparer ensuite d’une campagne à l’autre. Tester la vigilance de vos équipes : première campagne le jour même, environ 15 minutes de configuration hors liste blanche.