Statistiques du phishing en France : les chiffres sourcés

En France, le phishing est le premier point d’entrée des cyberattaques qui font des dégâts : il est cité dans 55 % des attaques significatives subies par les entreprises (baromètre CESIN 2026). Les petites structures sont visées elles aussi : 57 % des TPE-PME françaises ont subi au moins une cyberattaque en 12 mois (Hiscox 2025). Dans le monde, l’élément humain intervient dans 62 % des violations de données (Verizon DBIR 2026).

Cette page s’en tient à six chiffres. Pour chacun, vous trouverez la source primaire, l’année, le périmètre, les limites et une façon de le présenter à une direction. Suit la liste des chiffres qui circulent encore sur le phishing et que nous ne citons plus. Sources relues le 13 octobre 2026.

Les chiffres du phishing en entreprise

Chiffre	Ce qu’il mesure	Source et périmètre
55 %	Part des cyberattaques significatives où le phishing est le point d’entrée	Baromètre CESIN, janvier 2026 : 397 RSSI et directeurs cybersécurité d’entreprises françaises
57 %	TPE-PME françaises victimes d’au moins une cyberattaque en 12 mois	Hiscox, rapport 2025 sur la gestion des cyber-risques : enquête déclarative, volet France
62 %	Violations de données où l’élément humain intervient	Verizon, DBIR 2026 : plus de 22 000 violations confirmées, 145 pays
16 %	Violations dont le vecteur initial est le phishing (premier vecteur)	IBM, Cost of a Data Breach Report 2025 : 600 organisations, violations de mars 2024 à février 2025
3,59 M€ (France), 4,44 M$ (monde)	Coût moyen d’une violation de données	IBM, Cost of a Data Breach Report 2025 : 34 organisations pour la France
33,1 % puis 4,1 %	Taux de clic en simulation avant formation, puis après 12 mois	KnowBe4, Phishing by Industry Benchmarking Report 2025 : 14,5 millions d’utilisateurs de clients KnowBe4

IBM, KnowBe4 et Hiscox ont chacun publié une édition 2026 de leur rapport entre juillet et septembre 2026. Les lignes qui les concernent restent ici celles des éditions 2025 : si vous citez l’une de ces trois sources, vérifiez l’édition en cours.

55 % : le phishing, premier point d’entrée des attaques significatives

Le CESIN (Club des experts de la sécurité de l’information et du numérique) réunit des directeurs cybersécurité et des responsables de la sécurité des systèmes d’information (RSSI) d’entreprises françaises. Il publie chaque janvier un baromètre réalisé avec OpinionWay auprès de ses membres. L’édition du 26 janvier 2026, la onzième, s’appuie sur 397 répondants et porte sur l’année 2025.

Le baromètre ne compte que les cyberattaques « significatives » : celles qui ont eu un impact réel sur l’activité, les données, la conformité ou l’image de l’entreprise. Les tentatives arrêtées par les protections en sont exclues. Dans ce périmètre, le phishing sous toutes ses formes (email, spear phishing, SMS) est cité dans 55 % des incidents, devant l’exploitation de failles de sécurité et les attaques passant par des tiers. Le même communiqué note que les attaques exploitant des failles chez des fournisseurs, prestataires ou partenaires deviennent un vecteur majeur.

Ses limites tiennent au panel. Les répondants sont des responsables sécurité : leurs entreprises ont, par définition, un RSSI ou un directeur cybersécurité, et en général des outils de filtrage et une équipe dédiée. Le 55 % se calcule sur les seuls incidents des entreprises touchées. Enfin, il s’agit de déclarations de responsables sécurité recueillies par sondage.

Pour une PME, la lecture est simple : même dans des organisations équipées et encadrées, l’email piégé reste la première porte d’entrée. Une phrase pour un comité de direction : « Dans les entreprises françaises qui ont un RSSI, plus de la moitié des attaques qui ont fait des dégâts ont commencé par un message piégé. »

57 % des TPE-PME françaises attaquées en douze mois

L’assureur Hiscox publie chaque année un rapport sur la gestion des cyber-risques, construit sur une enquête auprès de responsables de petites et moyennes entreprises dans plusieurs pays. Le volet France de l’édition 2025, présentée à l’automne 2025, indique que 57 % des TPE-PME françaises ont subi au moins une cyberattaque au cours des 12 derniers mois.

Un piège de lecture : la page de présentation de Hiscox met en avant 59 %. Ce chiffre porte sur l’ensemble des PME interrogées dans les sept pays de l’étude. Le chiffre français est 57 %.

L’enquête est déclarative : chaque entreprise dit elle-même si elle a été attaquée, selon sa propre perception. Le chiffre ne se compare donc pas à celui du CESIN, qui ne retient que les attaques ayant eu un impact. Il répond à une autre question : est-ce que cela arrive aux entreprises de ma taille ?

C’est l’argument le plus utile face au réflexe « nous sommes trop petits pour intéresser qui que ce soit ». Les campagnes de phishing sont envoyées en masse et automatisées : le même message arrive dans une boîte de cinq personnes ou de cinq mille. Une phrase pour la direction : « Sur douze mois, plus d’une TPE-PME française sur deux déclare au moins une cyberattaque. »

62 % des violations de données impliquent l’élément humain

Le Data Breach Investigations Report (DBIR) de Verizon compile chaque année des violations de données transmises par Verizon et par des organisations partenaires dans le monde. L’édition 2026, la dix-neuvième, analyse plus de 31 000 incidents de sécurité, dont plus de 22 000 violations de données confirmées dans 145 pays, survenus d’octobre 2024 à novembre 2025. Verizon appelle « violation » un incident qui aboutit à la divulgation confirmée de données à un tiers non autorisé.

Dans 62 % de ces violations, une action humaine a joué un rôle : un clic sur un lien piégé, un mot de passe saisi sur une fausse page, une erreur d’envoi, une manipulation par un faux interlocuteur. Verizon note une légère hausse par rapport aux 60 % de l’édition précédente.

Le chiffre se lit avec prudence : un attaquant combine le plus souvent une manipulation et une faiblesse technique, et le même rapport place désormais l’exploitation de vulnérabilités en tête des points d’entrée. Les données sont mondiales : Verizon publie aussi des découpages par région, par secteur et pour les petites organisations, à consulter avant de citer un chiffre pour votre cas.

Une phrase pour la direction : « Dans près de deux violations de données sur trois, une personne a joué un rôle. C’est la part du risque sur laquelle la formation agit. »

16 % : le phishing, premier vecteur initial des violations

Le Cost of a Data Breach Report est réalisé par le Ponemon Institute, financé et analysé par IBM. L’édition 2025 porte sur les violations subies par 600 organisations dans le monde entre mars 2024 et février 2025. Le phishing y est le vecteur initial le plus fréquent : 16 % des violations commencent par un phishing.

Le 16 % d’IBM et le 62 % de Verizon mesurent deux choses différentes. Le premier compte les violations qui commencent par un phishing. Le second compte celles où une personne intervient à un moment quelconque de l’attaque, y compris après l’entrée. Les deux sont exacts, et on les confond souvent.

Le rapport IBM contient un autre 16 % qui n’a rien à voir : la part des violations où les attaquants ont utilisé des outils d’intelligence artificielle. Vérifiez la phrase exacte avant de citer.

3,59 millions d’euros : le coût moyen d’une violation en France

Toujours selon l’édition 2025 d’IBM, une violation de données coûte en moyenne 4,44 millions de dollars dans le monde et 3,59 millions d’euros en France. Le chiffre français repose sur 34 organisations touchées entre mars 2024 et février 2025. IBM additionne quatre postes : la détection et l’escalade (enquête, gestion de crise), la notification des personnes et des autorités, la réponse après la violation (assistance aux clients, frais juridiques) et l’activité perdue (arrêt d’exploitation, clients partis).

Une moyenne calculée sur 34 organisations, pour la plupart de grande taille, ne se transpose pas à une PME de 50 personnes. Elle sert d’ordre de grandeur pour un groupe ou une ETI. Pour une PME, le calcul utile part de vos propres paramètres : jours d’arrêt, marge perdue, prestataire de réponse à incident, notification à la CNIL. C’est l’objet de notre article combien coûte une cyberattaque pour une PME de 50 personnes, avec un exemple chiffré à refaire avec vos données.

33,1 % puis 4,1 % : le taux de clic avant et après un an de formation

KnowBe4, éditeur américain de formation à la sécurité, publie chaque année un baromètre tiré des simulations de phishing de ses clients. L’édition 2025 porte sur 67,7 millions de simulations envoyées à 14,5 millions d’utilisateurs de 62 400 organisations. L’indicateur, le « Phish-prone Percentage », correspond à la part des salariés susceptibles de se faire piéger par un phishing ou une manipulation.

Avant toute formation, la moyenne mondiale est de 33,1 %. Après 12 mois de simulations et de formation, elle tombe à 4,1 % (KnowBe4, Phishing by Industry Benchmarking Report 2025).

Ce sont les données de KnowBe4 sur ses propres clients, sans lien avec les résultats de nophi.sh. Les organisations qui poursuivent un programme pendant douze mois sont sans doute les plus impliquées, et la difficulté des scénarios varie d’un client à l’autre. Le chiffre montre qu’un taux de clic se travaille. Il ne prédit pas le vôtre : votre point de départ se mesure avec une première campagne. Les écarts par secteur sont détaillés dans nos benchmarks de taux de clic par secteur.

Ce que ces chiffres disent à une PME

La plupart de ces chiffres viennent de grandes organisations : le panel du CESIN, l’échantillon d’IBM, une bonne part des données de Verizon. Une PME de 20 à 250 salariés part en général d’une situation moins favorable. Elle a rarement un RSSI, le filtrage de sa messagerie est souvent celui fourni par défaut, et la réaction des équipes à un faux message n’a en général jamais été testée. Quand elle est le fournisseur ou le sous-traitant d’un grand compte, sa messagerie devient aussi une porte d’entrée vers ses clients.

Trois chantiers découlent de ces chiffres, dans cet ordre. D’abord mesurer : une simulation donne le taux de clic réel de vos équipes, service par service. Ensuite former au bon moment, juste après une erreur, avec un module court. Enfin rendre le signalement simple, pour qu’un message suspect remonte en quelques minutes au lieu de rester dans une boîte. Un programme de sensibilisation à la cybersécurité organise ces trois étapes dans la durée.

Si vos premiers résultats sont mauvais, le guide mes employés cliquent sur tout, que faire ? détaille les causes les plus courantes et ce qui les corrige. Pour obtenir un budget, l’article sur le ROI de la sensibilisation et la façon de convaincre la direction reprend ces chiffres dans un argumentaire.

Les attaques derrière ces chiffres

Derrière les pourcentages, les scénarios qui touchent les entreprises françaises reviennent souvent :

• la fausse page de connexion Microsoft 365 ou Google, qui récupère un mot de passe puis la boîte mail entière ;
• la fraude au président, où un faux dirigeant obtient un virement urgent et confidentiel ;
• le faux changement de RIB d’un fournisseur, qui détourne des paiements pendant des semaines ;
• les leurres par SMS ou par téléphone, décrits dans notre article sur les nouvelles formes de phishing.

Pour apprendre aux équipes à repérer ces messages, le guide reconnaître un email frauduleux liste les signaux à vérifier.

Les chiffres que nous ne citons pas

Ces chiffres apparaissent encore dans des présentations et des articles en 2026. Nous avons cherché leur origine : aucun ne décrit la situation actuelle.

• « 91 % des cyberattaques commencent par un email de phishing ». L’origine est une étude Trend Micro de 2012 sur les attaques ciblées de type APT, fondée sur des emails collectés de février à septembre 2012 (The Register, 29 novembre 2012). Elle portait sur une catégorie d’attaques précise et elle a quatorze ans.
• « 36 % des violations sont liées au phishing ». C’est le Verizon DBIR 2021, un chiffre de cinq éditions en arrière.
• « 82 % » ou « 74 % » des violations impliquant l’humain, attribués au DBIR 2025. Ce sont les chiffres des éditions 2022 et 2023. L’édition 2024 a changé de définition (élément humain « non malveillant »), puis l’édition 2025 a donné environ 60 %. Ces valeurs ne se comparent pas aux 62 % de 2026.
• « 4,88 millions de dollars » par violation. C’est la moyenne mondiale de l’édition 2024 d’IBM, remplacée par 4,44 millions de dollars dans l’édition 2025.
• « 43 % des cyberattaques visent les PME », parfois attribué à l’ANSSI. La phrase vient du Verizon DBIR 2019, qui indiquait que 43 % des violations de son échantillon touchaient de petites entreprises. Elle compte des violations de données, et sa source est Verizon.
• « 60 % des PME ferment dans les six mois après une cyberattaque ». L’organisme américain auquel on l’attribue, la National Cyber Security Alliance, a déclaré en mai 2022 ne pas être l’auteur de ce chiffre et ne pas pouvoir en vérifier l’origine (déclaration de la NCSA).
• Les promesses chiffrées du type « -70 % de clics en six mois ». Sans méthodologie publiée (nombre de personnes, difficulté des scénarios, période), un pourcentage de baisse ne se compare à rien.

Comment citer ces chiffres

• Citez l’édition et l’année : « Verizon DBIR 2026 » plutôt que « Verizon ». Les définitions changent d’une édition à l’autre.
• Distinguez « implique » et « commence par » : 62 % des violations impliquent l’élément humain, 16 % commencent par un phishing.
• Précisez le périmètre. Le CESIN porte sur les attaques significatives déclarées par des RSSI et des directeurs cybersécurité d’entreprises françaises. Hiscox porte sur les TPE-PME françaises et sur ce qu’elles déclarent. Verizon et IBM sont des données mondiales.
• Format suggéré : « Le phishing est cité dans 55 % des cyberattaques significatives subies par les entreprises françaises (baromètre CESIN, janvier 2026), cité par nophi.sh, Statistiques du phishing en France, consulté le [date]. »

La reproduction du tableau de cette page est autorisée avec un lien vers cette page et vers la source de chaque chiffre.

Mesurer vos propres chiffres

Aucun de ces chiffres ne remplace le vôtre. Une simulation de phishing envoie un faux message réaliste à vos équipes et mesure, service par service, qui l’ouvre, qui clique et qui saisit ses identifiants sur une fausse page de connexion. Les mots de passe saisis ne sont jamais enregistrés. Vous obtenez votre taux de clic de départ, les personnes à accompagner en priorité et un rapport PDF à présenter à la direction.

Avec nophi.sh, la première campagne part le jour même : comptez environ 15 minutes de configuration, hors liste blanche chez votre messagerie. Les guides pour Microsoft 365 et pour OVH sans liste blanche détaillent cette étape. Le prix est forfaitaire pour chaque formule : la formule Starter coûte 99 € HT par mois jusqu’à 50 utilisateurs, 20 % de moins en paiement annuel. Le guide sur les prix des solutions de simulation compare les modèles de prix du marché. L’essai dure 14 jours, sans carte bancaire.

Questions fréquentes

Les réponses reprennent les sources détaillées plus haut, avec leur édition.

Quelle part des cyberattaques commence par un phishing en France ?

Le phishing est cité dans 55 % des cyberattaques significatives subies par les entreprises françaises (baromètre CESIN, janvier 2026, 397 responsables sécurité interrogés). Au niveau mondial, c’est le vecteur initial de 16 % des violations de données, le plus fréquent du classement IBM 2025.

Combien de PME françaises subissent une cyberattaque ?

57 % des TPE-PME françaises ont subi au moins une cyberattaque au cours des 12 derniers mois (Hiscox 2025). Le chiffre est déclaratif : chaque entreprise indique elle-même si elle a été attaquée.

Combien coûte une violation de données en France ?

3,59 millions d’euros en moyenne en France, 4,44 millions de dollars dans le monde (IBM, Cost of a Data Breach Report 2025). La moyenne française repose sur 34 organisations, surtout de grande taille : pour une PME, chiffrez votre propre scénario.

La formation au phishing fait-elle baisser le taux de clic ?

Chez les clients de KnowBe4, le taux de clic moyen passe de 33,1 % avant formation à 4,1 % après 12 mois de simulations et de formation (Phishing by Industry Benchmarking Report 2025). Ce sont les données de cet éditeur : votre propre point de départ se mesure avec une campagne.

D’où vient le chiffre « 91 % des cyberattaques commencent par un phishing » ?

D’une étude Trend Micro de 2012 sur les attaques ciblées de type APT. Elle ne portait pas sur l’ensemble des cyberattaques et elle date de quatorze ans.

Sources

• CESIN et OpinionWay, 11e baromètre annuel de la cybersécurité des entreprises, communiqué du 26 janvier 2026 : cesin.fr
• Hiscox, rapport 2025 sur la gestion des cyber-risques : Hiscox France, chiffre France repris par Planète CSCA, 1er octobre 2025
• Verizon, Data Breach Investigations Report 2026 : rapport et synthèse
• IBM, Cost of a Data Breach Report 2025 : communiqué mondial du 30 juillet 2025, phishing, premier vecteur, chiffre France repris par Decideo
• KnowBe4, Phishing by Industry Benchmarking Report 2025 : rapport, communiqué