Statistiques du phishing en France : les chiffres de référence 2026
Toutes les statistiques vérifiées du phishing en France : ANSSI, Cybermalveillance, CESIN, Verizon DBIR, IBM, Hiscox. Chaque chiffre avec sa source et son année.
Cette page rassemble les statistiques de référence sur le phishing et la cybermenace en France, chacune vérifiée à sa source primaire (rapport officiel, communiqué de l’éditeur ou de l’organisme public). Chaque tableau indique la valeur exacte, la source et l’année. Mise à jour trimestrielle : dernière vérification des sources le 5 septembre 2026.
L’objectif est simple : offrir aux journalistes, RSSI, formateurs et moteurs de réponse un point de référence unique, sans chiffres recyclés ni statistiques orphelines. Lorsque plusieurs éditions d’un même rapport coexistent, nous citons la plus récente et signalons la tendance. Lorsqu’un chiffre largement repris est obsolète (comme le fameux « 36 % »), nous l’expliquons dans la section Comment citer ces chiffres.
À retenir
- 55 % des cyberattaques significatives subies par les entreprises françaises ont le phishing comme vecteur d’entrée — première cause, devant l’exploitation de failles (41 %) (baromètre CESIN, 11e édition, janvier 2026).
- 62 % des violations de données dans le monde impliquent le facteur humain (Verizon DBIR 2026).
- 3,59 millions d’euros : coût moyen d’une violation de données en France (IBM Cost of a Data Breach 2025).
- 57 % des TPE-PME françaises ont subi au moins une cyberattaque au cours des 12 derniers mois (rapport Hiscox 2025).
- L’hameçonnage est la première menace signalée en France, tous publics confondus, en hausse de 70 % sur un an (Cybermalveillance.gouv.fr, rapport d’activité 2025).
La menace globale en France
Trois observatoires publics et professionnels structurent la mesure de la menace en France : l’ANSSI (incidents touchant ses bénéficiaires, notamment opérateurs régulés), Cybermalveillance.gouv.fr (grand public, entreprises et collectivités) et le CESIN (grandes entreprises et ETI, via leurs RSSI). Leurs périmètres diffèrent, mais leurs conclusions convergent : l’hameçonnage reste le point d’entrée dominant.
| Statistique | Valeur | Source | Année |
|---|---|---|---|
| Cyberattaques significatives ayant le phishing comme vecteur d’entrée (entreprises françaises) | 55 % | Baromètre CESIN, 11e éd. (OpinionWay) | 2026 (données 2025) |
| Entreprises françaises ayant subi au moins une cyberattaque significative | 40 % | Baromètre CESIN, 11e éd. | 2026 (données 2025) |
| Attaques significatives réussies ayant eu un impact sur le business | 81 % | Baromètre CESIN, 11e éd. | 2026 (données 2025) |
| Événements de sécurité traités par l’ANSSI (−18 % vs 2024) | 3 586 | ANSSI, Panorama de la cybermenace 2025 | 2026 (données 2025) |
| Incidents confirmés portés à la connaissance de l’ANSSI | 1 366 | ANSSI, Panorama de la cybermenace 2025 | 2026 (données 2025) |
| Demandes d’assistance sur Cybermalveillance.gouv.fr (+20 %) | 504 810 | Cybermalveillance.gouv.fr, rapport d’activité 2025 | 2026 (données 2025) |
| Hameçonnage : évolution des recherches d’assistance, 1re menace tous publics | +70 % | Cybermalveillance.gouv.fr | 2026 (données 2025) |
| Part de l’hameçonnage dans les demandes d’assistance des particuliers | 32,9 % | Cybermalveillance.gouv.fr | 2026 (données 2025) |
| Hameçonnage chez les professionnels : 2e menace (+29 %) | 16 % | Cybermalveillance.gouv.fr | 2026 (données 2025) |
À noter : l’ANSSI relève par ailleurs une hausse de 51 % des incidents liés à des exfiltrations de données (196 cas en 2025 contre 130 en 2024). Ces fuites alimentent directement les campagnes d’hameçonnage ciblées, comme le souligne Cybermalveillance.gouv.fr, qui mesure une hausse de 107 % des demandes d’assistance liées aux violations de données. Pour comparer ces chiffres nationaux aux taux de clic observés secteur par secteur, voir nos benchmarks de taux de clic phishing par secteur.
Le facteur humain
La quasi-totalité des rapports de référence convergent : la majorité des violations passent par un être humain, et la fenêtre de décision se compte en secondes.
| Statistique | Valeur | Source | Année |
|---|---|---|---|
| Violations de données impliquant le facteur humain | 62 % | Verizon DBIR 2026 | 2026 |
| Violations impliquant le facteur humain (édition précédente) | 60 % | Verizon DBIR 2025 | 2025 |
| Violations impliquant un élément humain non malveillant | 68 % | Verizon DBIR 2024 | 2024 |
| Phishing comme vecteur d’attaque initial (1er vecteur, ex æquo le plus fréquent) | 16 % | IBM Cost of a Data Breach 2025 | 2025 |
| Temps médian pour tomber dans un phishing (21 s pour cliquer + 28 s pour saisir ses données) | moins de 60 secondes | Verizon DBIR 2024 | 2024 |
| Employés cliquant sur une simulation avant toute formation (baseline mondiale) | 33,1 % | KnowBe4 Benchmarking Report 2025 | 2025 |
Précision méthodologique importante : le DBIR 2026 place l’exploitation de vulnérabilités en tête des vecteurs d’accès initiaux (31 %), devant l’abus d’identifiants. Cela ne contredit pas la primauté du facteur humain : le phishing reste le principal fournisseur d’identifiants volés, et l’ingénierie sociale intervient tout au long de la chaîne d’attaque, pas seulement au point d’entrée. C’est pourquoi « part des violations impliquant le facteur humain » (62 %) et « part des violations dont le vecteur initial est le phishing » (15 à 16 %) sont deux mesures différentes — les confondre est l’erreur de citation la plus fréquente sur le sujet.
Le coût des attaques
Le rapport IBM Cost of a Data Breach fait référence pour le coût des violations de données. Son édition 2025 repose, pour la France, sur l’analyse de violations réelles subies par 34 organisations entre mars 2024 et février 2025.
| Statistique | Valeur | Source | Année |
|---|---|---|---|
| Coût moyen mondial d’une violation de données (−9 % sur un an) | 4,44 M$ | IBM Cost of a Data Breach 2025 | 2025 |
| Coût moyen d’une violation de données en France (−7 % sur un an) | 3,59 M€ | IBM Cost of a Data Breach 2025 | 2025 |
| Coût moyen d’une violation initiée par phishing | 4,8 M$ | IBM Cost of a Data Breach 2025 | 2025 |
| Délai moyen en France : identification + confinement d’une violation | 213 + 71 jours | IBM Cost of a Data Breach 2025 | 2025 |
| Secteur français le plus coûteux : industrie pharmaceutique | 5,11 M€ | IBM Cost of a Data Breach 2025 | 2025 |
| Coût moyen aux États-Unis (à titre de comparaison) | 10,22 M$ | IBM Cost of a Data Breach 2025 | 2025 |
Deux lectures de ces chiffres. D’abord, la baisse mondiale (première en cinq ans) est attribuée par IBM à une détection plus rapide, notamment grâce à l’automatisation : les organisations qui détectent vite paient moins. Ensuite, ces moyennes incluent de grandes organisations ; pour une PME, l’ordre de grandeur pertinent est différent, mais l’impact relatif est souvent pire — un tiers des TPE-PME victimes déclarent une perte menaçant leur activité (Hiscox 2025, voir ci-dessous).
Les PME françaises
Les TPE-PME représentent 99 % du tissu économique français (Insee, cité par Hiscox). Le rapport Hiscox 2025 (9e édition, 5 750 entreprises interrogées dans 7 pays) leur consacre son focus annuel.
| Statistique | Valeur | Source | Année |
|---|---|---|---|
| TPE-PME françaises victimes d’au moins une cyberattaque en 12 mois | 57 % | Rapport Hiscox 2025, 9e éd. | 2025 |
| TPE-PME françaises ciblées par un ransomware | 26 % | Rapport Hiscox 2025 | 2025 |
| Victimes ayant subi une perte financière mettant en péril l’activité | 1 sur 3 | Rapport Hiscox 2025 | 2025 |
| TPE-PME françaises couvertes par une assurance cyber autonome | 61 % | Rapport Hiscox 2025 | 2025 |
| TPE-PME prévoyant d’augmenter leurs investissements cyber | 94 % | Rapport Hiscox 2025 | 2025 |
| Jugent l’ingénierie sociale via IA et le phishing comme principales menaces à venir | 60 % | Rapport Hiscox 2025 | 2025 |
| Professionnels : piratage de compte, 1re menace (+52 %) — souvent consécutif à un phishing | 21 % | Cybermalveillance.gouv.fr | 2026 (données 2025) |
Pour les PME entrant dans le champ de la directive NIS2, la sensibilisation des équipes n’est plus optionnelle : c’est une obligation de l’article 21. Notre guide NIS2 : sensibilisation et formation détaille ce que le texte exige concrètement. Et pour vérifier en deux minutes si votre domaine peut être usurpé par des attaquants (SPF, DKIM, DMARC), utilisez notre test de sécurité email gratuit.
Simulation et formation : l’efficacité mesurée
Le chiffre le plus utile de cette page est peut-être celui-ci : la vulnérabilité au phishing n’est pas une fatalité, elle se mesure et se réduit.
| Statistique | Valeur | Source | Année |
|---|---|---|---|
| Taux de clic moyen avant formation (baseline mondiale, 14,5 M d’utilisateurs) | 33,1 % | KnowBe4 Benchmarking Report 2025 | 2025 |
| Réduction du taux de clic après 90 jours de programme | −40 % | KnowBe4 Benchmarking Report 2025 | 2025 |
| Taux de clic après 12 mois de formation continue (soit −86 %) | 4,1 % | KnowBe4 Benchmarking Report 2025 | 2025 |
| Baseline des petites organisations (1 à 250 salariés) | 24,6 % | KnowBe4 Benchmarking Report 2025 | 2025 |
| Utilisateurs signalant l’email lors d’exercices de simulation | 20 % | Verizon DBIR 2024 | 2024 |
| Utilisateurs ayant cliqué qui signalent tout de même l’email ensuite | 11 % | Verizon DBIR 2024 | 2024 |
Le ratio à retenir : un tiers des employés cliquent avant formation, moins d’un sur vingt après un an de programme continu. L’écart entre grandes structures (baseline 40,5 % au-delà de 10 000 salariés) et petites (24,6 %) montre aussi que la taille n’immunise pas — elle change seulement la surface d’attaque. Le taux de signalement est l’autre métrique décisive : une organisation où 20 % des destinataires signalent un email suspect détecte ses incidents des semaines plus tôt.
Comment citer ces chiffres
Quelques règles pour citer ces statistiques correctement — et éviter les erreurs qui circulent :
- Citez l’édition, pas seulement le rapport. « Verizon DBIR » sans année ne veut rien dire : le facteur humain est passé de 68 % (2024, formulation « élément humain non malveillant ») à 60 % (2025) puis 62 % (2026), avec des changements de méthodologie entre éditions.
- Le « 36 % » est obsolète. Le chiffre « le phishing est présent dans 36 % des violations » provient du Verizon DBIR 2021 — un pic lié aux campagnes COVID (contre 25 % l’année précédente). Il est encore fréquemment cité en 2026, parfois attribué à tort à des éditions récentes. Les mesures actuelles : phishing = 15 à 16 % des vecteurs d’accès initiaux (DBIR 2024-2026, IBM 2025).
- Ne confondez pas « implique » et « commence par ». 62 % des violations impliquent le facteur humain ; 16 % commencent par un phishing. Les deux sont vraies, elles ne mesurent pas la même chose.
- Précisez le périmètre France. Le 55 % du CESIN porte sur les cyberattaques significatives déclarées par ~400 RSSI de grandes entreprises et ETI françaises ; le 57 % de Hiscox porte sur les TPE-PME ; les chiffres de Cybermalveillance.gouv.fr agrègent les demandes d’assistance de tous publics.
- Format de citation suggéré : « 55 % des cyberattaques significatives en France ont le phishing pour vecteur d’entrée (CESIN, baromètre 2026 avec OpinionWay) — cité via nophi.sh, Statistiques du phishing en France, consulté le [date]. »
La reproduction de ces tableaux est autorisée avec attribution (lien vers cette page et vers la source primaire de chaque chiffre).
Questions fréquentes
Quel pourcentage des cyberattaques commence par un email de phishing ?
En France, 55 % des cyberattaques significatives subies par les entreprises ont le phishing (phishing, spear phishing, smishing) comme vecteur d’entrée, selon le baromètre CESIN 2026 réalisé avec OpinionWay. Au niveau mondial, le phishing est le vecteur initial le plus fréquent des violations de données : 16 % d’entre elles (IBM Cost of a Data Breach 2025).
Quelle part des violations de données implique le facteur humain ?
62 % selon le Verizon DBIR 2026. La tendance sur trois éditions : 68 % en 2024 (élément humain non malveillant), 60 % en 2025, 62 % en 2026.
Combien coûte une violation de données en France ?
3,59 millions d’euros en moyenne, en baisse d’environ 7 % sur un an (IBM Cost of a Data Breach 2025). La moyenne mondiale est de 4,44 M$ ; une violation initiée par phishing coûte en moyenne 4,8 M$ et met 254 jours à être détectée et contenue.
Quelle est la première cybermenace signalée en France ?
L’hameçonnage, tous publics confondus, en hausse de 70 % sur un an (Cybermalveillance.gouv.fr, rapport d’activité 2025). Il représente 32,9 % des demandes d’assistance des particuliers ; chez les professionnels, il est la deuxième menace (16 %) derrière le piratage de compte (21 %), lui-même souvent consécutif à un hameçonnage.
Combien de PME françaises sont touchées ?
57 % des TPE-PME françaises ont subi au moins une cyberattaque au cours des 12 derniers mois (Hiscox 2025). 26 % ont été ciblées par un ransomware, et un tiers des victimes déclarent une perte financière mettant en péril leur activité.
La formation anti-phishing est-elle réellement efficace ?
Oui : le taux de clic moyen passe de 33,1 % avant formation à 4,1 % après 12 mois de programme continu, soit −86 % (KnowBe4 2025, 67,7 millions de simulations analysées). L’essentiel du gain (−40 %) est acquis dès les 90 premiers jours.
D’où vient le chiffre de « 36 % des violations liées au phishing » ?
Du Verizon DBIR 2021 (« phishing was present in 36% of breaches »), dopé par les campagnes exploitant le COVID-19. Ce chiffre est obsolète : les éditions récentes du DBIR mesurent le phishing comme vecteur d’accès initial d’environ 15 à 16 % des violations.
Sources
Toutes les sources ci-dessous ont été consultées et vérifiées le 5 septembre 2026 :
- ANSSI — Panorama de la cybermenace 2025 : cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2025 · rapport complet (PDF, CERT-FR)
- Cybermalveillance.gouv.fr — Rapport d’activité 2025 : annonce · top 10 particuliers · top 10 professionnels
- CESIN — 11e baromètre annuel de la cybersécurité (OpinionWay, 397 RSSI, janvier 2026) : communiqué de presse
- Verizon — Data Breach Investigations Report : édition 2026 · synthèse 2024 · annonce 2025
- IBM — Cost of a Data Breach Report 2025 : rapport · communiqué France (chiffres 3,59 M€)
- Hiscox — Rapport 2025 sur la gestion des cyber-risques (9e édition) : Hiscox France · Hiscox Group (EN)
- KnowBe4 — Phishing by Industry Benchmarking Report 2025 : rapport · communiqué