C’est la question que se pose tout responsable IT d’une entreprise sous Microsoft 365 : « Pourquoi payer un outil de simulation de phishing, alors que Microsoft en fournit un ? » La question est légitime, et la réponse est moins simple qu’un oui ou un non. Attack Simulation Training (AST), le module de simulation intégré à Microsoft Defender for Office 365, est un produit sérieux, documenté et régulièrement enrichi — mais il n’est réellement « inclus » que pour une minorité d’entreprises françaises : celles sous licence Microsoft 365 E5 ou Defender for Office 365 Plan 2, selon la documentation Microsoft (septembre 2026).
Pour toutes les autres — la grande majorité des PME, en Business Standard, Business Premium ou E3 —, AST n’est pas un outil gratuit : c’est un achat de licences par utilisateur, à comparer honnêtement avec les alternatives spécialisées. Et même pour les organisations déjà en E5, la question du contenu demeure : des scénarios pensés pour un marché mondial couvrent-ils les arnaques que reçoivent réellement des collaborateurs français ?
Ce comparatif s’appuie sur la documentation officielle Microsoft (learn.microsoft.com) et les grilles tarifaires publiques de septembre 2026. Il complète notre guide de prise en main de Microsoft Defender Attack Simulator et notre comparatif GoPhish vs Attack Simulator vs nophi.sh. Particularité de ce duel : ce n’est pas forcément un duel. Nous verrons en fin d’article pourquoi utiliser les deux peut être le bon choix.
À retenir
- Attack Simulation Training n’est pas « gratuit » : il requiert Microsoft 365 E5 ou Defender for Office 365 Plan 2, selon la documentation Microsoft (septembre 2026). Business Premium et E3 ne l’incluent pas (E3 n’a qu’un sous-ensemble d’essai limité).
- Le vrai coût dépend de votre licence actuelle : en France, M365 E5 est affiché à 58,13 € HT/utilisateur/mois et l’add-on Defender for Office 365 Plan 2 à 4,30 € HT/utilisateur/mois (microsoft.com, septembre 2026). Pour 100 utilisateurs hors E5, comptez environ 5 160 € HT/an en add-on. nophi.sh : 99 €/mois jusqu’à 50 utilisateurs, 249 €/mois jusqu’à 200, tout inclus.
- AST excelle sur l’intégration native : emails livrés dans le tenant sans configuration SMTP, harvesting de vrais emails de phishing signalés (payload automations), suivi du signalement via le bouton natif Outlook, rapports intégrés à Defender (learn.microsoft.com, septembre 2026).
- La localisation française est partielle : Microsoft annonce « 40+ payloads localisés en 29+ langues » dont le français, et recommande de créer soi-même des payloads personnalisés pour les contextes locaux (FAQ officielle, septembre 2026). Pas de catalogue prêt à l’emploi type faux Ameli, faux Chronopost ou fraude au RIB — le cœur des 90+ scénarios français de nophi.sh.
- Pour une PME sans E5, la comparaison budgétaire et opérationnelle penche vers une plateforme spécialisée : à 50 utilisateurs, nophi.sh coûte 1 188 €/an tout compris, se déploie en 15 minutes et génère les rapports NIS2 automatiquement.
- Pour une organisation déjà en E5, la bonne question n’est pas « AST ou nophi.sh » mais « AST suffit-il ? » : les deux outils sont combinables, AST pour la simulation native, nophi.sh pour les scénarios français, le micro-learning automatique et la conformité.
Microsoft Attack Simulation Training en bref
Attack Simulation Training est le module de simulation de phishing de Microsoft Defender for Office 365, accessible depuis le portail Defender (security.microsoft.com). Ce n’est pas un produit autonome : c’est une fonctionnalité de la suite de sécurité email de Microsoft, disponible dans Defender for Office 365 Plan 2 — inclus dans Microsoft 365 E5, A5 et G5, ou achetable en add-on — mais absente du Plan 1 fourni avec Business Premium, selon la description de service officielle (septembre 2026).
Un changement récent mérite d’être noté : depuis le 1er juillet 2026, Microsoft inclut Defender for Office 365 Plan 1 dans les licences E3 (même source). Cela améliore la protection des tenants E3, mais ne donne pas accès à l’AST complet : les clients E3 disposent uniquement d’un sous-ensemble d’essai — un payload Credential Harvest et deux parcours de formation génériques, « aucune autre capacité », précise la documentation.
Côté capacités, AST couvre les principales techniques d’ingénierie sociale, inspirées du framework MITRE ATT&CK : collecte d’identifiants, pièce jointe malveillante, lien vers malware, drive-by URL, consentement OAuth, avec prise en charge des payloads par QR code (quishing). La bibliothèque combine des payloads globaux fournis par Microsoft et des payloads personnalisés par tenant, avec une fonctionnalité remarquable : les « payload automations », qui transforment de vrais emails de phishing signalés par vos utilisateurs en simulations inoffensives. Les formations, fournies en partenariat avec Terranova Security, comptent entre 85 et 94 modules selon les pages de la FAQ officielle (septembre 2026 — la documentation Microsoft donne les deux chiffres).
En résumé : AST est un module solide, bien documenté, profondément intégré à l’écosystème Microsoft — conçu comme une brique d’une suite enterprise, avec le modèle de licence qui va avec.
Ce que Microsoft Attack Simulation Training fait bien
Reconnaissons d’abord les forces du produit : elles sont réelles, et pour certaines organisations, décisives.
L’intégration native au tenant : zéro problème de délivrabilité
C’est l’avantage structurel d’AST. Les emails de simulation circulent à l’intérieur de l’infrastructure Microsoft 365 : pas de configuration SMTP, pas de réputation de domaine à construire, pas de règles de liste blanche à maintenir face aux filtres Exchange Online Protection. Tout éditeur tiers — nophi.sh compris — doit documenter une mise en liste blanche de ses domaines de simulation ; AST s’en dispense par construction. Pour un administrateur, c’est un vrai confort.
Les payload automations : s’entraîner sur les vraies attaques
La fonctionnalité la plus intelligente d’AST : capturer des versions inoffensives des vrais emails de phishing observés dans le tenant et signalés par les utilisateurs, pour les rejouer en simulation (documentation officielle, septembre 2026). Vous testez vos équipes avec les attaques qu’elles reçoivent réellement. Le suivi du signalement est également natif : quand un collaborateur utilise le bouton « Signaler » d’Outlook sur une simulation, l’événement alimente directement le rapport de campagne.
Un moteur de simulation complet et automatisable
Techniques multiples (y compris QR codes, avec remplacement dynamique de l’image pour le tracking), automatisations de simulations avec planification aléatoire, taux de compromission prédit (PCR) pour calibrer la difficulté, suivi des récidivistes, API Microsoft Graph pour extraire les données : le socle technique est riche et régulièrement enrichi, comme en atteste la fréquence de mise à jour de la documentation.
Un coût marginal nul pour les organisations déjà en E5
Si votre organisation paie déjà Microsoft 365 E5 — pour Defender for Endpoint, l’analytique, la téléphonie ou la conformité —, AST est un livrable inclus. Dans ce cas précis, aucun outil tiers ne peut rivaliser sur le prix : le coût marginal d’AST est zéro. C’est le scénario où le réflexe « utilisons ce qu’on a déjà » est parfaitement rationnel, et nous le disons sans détour.
Un essai officiel de 90 jours
Microsoft propose un essai gratuit de 90 jours de Defender for Office 365 Plan 2 via le hub d’essais du portail Defender (documentation, septembre 2026). Une organisation en Business Premium peut donc évaluer AST en conditions réelles avant toute décision de licence — une transparence qu’il faut saluer.
Les limites d’Attack Simulation Training pour les PME françaises
Les points qui suivent s’appuient sur la documentation publique de Microsoft et ses grilles tarifaires (septembre 2026). Ce sont moins des défauts du produit que les conséquences d’un choix de conception : AST est une brique de suite enterprise, pas un produit autonome pour PME.
Le mur de la licence : E5 ou Plan 2 pour chaque utilisateur ciblé
La contrainte centrale : Attack Simulation Training requiert Microsoft 365 E5 ou Defender for Office 365 Plan 2 (documentation, septembre 2026), et la couverture de licence concerne les utilisateurs visés par les simulations — pas seulement les administrateurs qui les lancent. Une PME de 100 personnes en Business Premium qui veut simuler sur tout l’effectif doit licencier tout l’effectif.
Le calcul, sur la base des prix publics France de Microsoft (septembre 2026, HT, paiement annuel) : l’add-on Plan 2 à 4,30 €/utilisateur/mois représente environ 5 160 €/an pour 100 utilisateurs ; le passage à E5 (58,13 €/utilisateur/mois) représenterait près de 69 800 €/an — injustifiable pour la seule simulation. À comparer aux 2 988 €/an de nophi.sh pour 200 utilisateurs, tarif public, toutes fonctionnalités incluses.
Un catalogue mondial, une France en option
Microsoft annonce « 40+ payloads localisés disponibles en 29+ langues », dont le français, et explique ne pas traduire automatiquement ses payloads — position défendable pédagogiquement, mais qui laisse le travail de localisation à l’administrateur : la FAQ officielle recommande de créer des payloads personnalisés pour les contextes locaux (septembre 2026). Concrètement, il n’existe pas de catalogue prêt à l’emploi des arnaques typiquement françaises — faux avis Chronopost, faux remboursement Ameli, fausse contravention, fraude au changement de RIB. Reproduire ces scénarios dans AST est possible, mais c’est un travail manuel, payload par payload, à maintenir dans le temps.
Une charge d’administration réelle
AST vit dans le portail Defender et suppose une organisation qui s’y sent chez elle : rôles dédiés (Attack Simulation Administrator, Attack Payload Author), journalisation d’audit obligatoire sous peine de rapports vides et de formations bloquées, pas de cmdlets PowerShell, RBAC unifié Defender XDR non pris en charge (FAQ officielle, septembre 2026). Pour un RSSI outillé, rien d’insurmontable. Pour le responsable IT d’une PME de 80 personnes qui gère aussi le réseau et le support, c’est une courbe d’apprentissage sans accompagnement.
Des angles morts documentés par Microsoft lui-même
La FAQ officielle liste sans détour les limites opérationnelles (septembre 2026) : boîtes aux lettres partagées non prises en charge, simulations inter-organisations impossibles, reporting réduit pour les boîtes on-premises, risque de blocage des URLs de simulation par Google Safe Browsing dans Chrome (« nous n’avons pas toujours une couverture complète », écrit Microsoft), et faux événements de clic générés par les proxys ou antivirus. Cette transparence est tout à l’honneur de Microsoft — mais ces limites existent, et une PME sans équipe sécurité les découvrira seule.
Un périmètre borné à la simulation et à la formation
AST simule et forme — c’est son mandat. Il ne propose ni vérification d’email à la demande côté collaborateur (l’analyse des menaces réelles relève d’autres modules Defender, pour administrateurs), ni rapport de conformité NIS2 prêt pour l’audit : les rapports natifs et l’API Graph fournissent les données brutes, la compilation réglementaire reste à votre charge. Enfin, AST ne fonctionne que dans l’écosystème Microsoft : les organisations en Google Workspace, ou hybrides, sont hors périmètre.
Ce que nophi.sh fait différemment
nophi.sh n’essaie pas de rejouer le match de l’intégration native au tenant : Microsoft le gagnera toujours chez Microsoft. Les choix de conception répondent à un autre besoin — celui d’une PME française qui veut des résultats sans équipe sécurité.
Un produit autonome, pas une brique de suite
nophi.sh se déploie en 15 minutes, en self-service : création de compte, import des collaborateurs (CSV ou annuaire Microsoft 365/Google Workspace), première campagne. Pas de matrice de licences à décoder, pas de rôles Defender à attribuer, pas de journalisation à activer. Le produit fonctionne pareil que vous soyez en Business Standard, Business Premium, E3 ou Google Workspace — et l’essai gratuit de 14 jours porte sur le plan Pro complet.
90+ scénarios écrits pour la France
Le catalogue nophi.sh est construit sur ce que reçoivent réellement les boîtes mail françaises : faux avis Chronopost, faux remboursement Ameli, fausse contravention ANTAI, fraude au changement de RIB, usurpation de la direction — en email, SMS (smishing) et QR code (quishing), avec variables dynamiques (nom, département, manager). Là où AST vous donne un moteur et vous laisse écrire les scénarios français, nophi.sh vous les livre prêts à l’emploi, maintenus et renouvelés.
Le micro-learning automatique post-échec
Quand un collaborateur clique sur un lien simulé, il est immédiatement redirigé vers un module de 3 à 5 minutes adapté au piège précis dans lequel il est tombé, avec un parcours progressif selon son historique. Chez AST, la formation est un module Terranova assigné après la campagne, avec échéance à 7, 15 ou 30 jours et relances par notification (documentation, septembre 2026). Le choix nophi.sh est différent : former dans la seconde qui suit l’erreur, quand l’attention est maximale, sans assignation à gérer.
La vérification d’email par IA
Entre deux campagnes, quand un vrai email douteux arrive, le collaborateur le transfère à nophi.sh et reçoit en 30 secondes un verdict motivé : en-têtes, authentification SPF/DKIM/DMARC, liens, expéditeur. C’est un assistant de décision dans les mains du collaborateur — une fonctionnalité sans équivalent dans AST, où l’analyse des menaces réelles reste un outil d’administrateur. Testez le principe avec le test de sécurité email.
Les rapports NIS2 prêts pour l’audit
nophi.sh génère automatiquement les rapports de conformité : historique des campagnes, taux de participation aux formations, progression par département, export PDF prêt pour l’auditeur. Inclus dans chaque plan. Avec AST, les données existent (rapports natifs, API Graph) mais la mise en forme réglementaire NIS2 reste un travail manuel.
L’hébergement 100 % France et un budget forfaitaire
Les données nophi.sh sont hébergées intégralement en France — quand les données AST résident dans le cloud Microsoft 365, selon la région de votre tenant. Et le modèle tarifaire est forfaitaire par paliers (tarifs publics) : 99 €/mois jusqu’à 50 utilisateurs, 249 €/mois jusqu’à 200, facturation mensuelle sans engagement. Pas de licence par tête à provisionner, pas d’utilisateur « non couvert » exclu des campagnes.
Pour qui choisir Attack Simulation Training, pour qui choisir nophi.sh ?
Attack Simulation Training est un bon choix si :
- Vous êtes déjà sous Microsoft 365 E5 (ou Defender for Office 365 Plan 2) : AST est inclus, son coût marginal est nul — commencez par là.
- Vous avez un RSSI ou une équipe sécurité à l’aise dans le portail Defender, capable de créer des payloads personnalisés français et d’exploiter l’API Graph.
- L’intégration native est prioritaire : zéro configuration SMTP, harvesting des vraies attaques signalées, bouton de signalement Outlook natif.
- Votre programme est 100 % Microsoft : utilisateurs sous Exchange Online, pas de boîtes partagées à tester, pas d’environnement Google Workspace.
- Vous acceptez de construire vous-même la localisation française des scénarios et la compilation des preuves de conformité.
nophi.sh est un bon choix si :
- Vous n’êtes pas en E5 (Business Standard, Business Premium, E3, Google Workspace) : le coût d’accès à AST devient un vrai budget de licences, à comparer au forfait nophi.sh.
- Vous êtes une PME de 50 à 500 collaborateurs sans équipe sécurité : déploiement en 15 minutes, fonctionnement autonome, support en français.
- Vous voulez des scénarios français prêts à l’emploi — faux Ameli, faux Chronopost, fraude au RIB — sans en écrire un seul.
- La formation doit être automatique : micro-learning post-clic immédiat, sans assignation ni relances à piloter.
- La conformité NIS2 est un sujet : rapports d’audit générés en un clic, inclus.
- L’hébergement 100 % France est un critère imposé par votre secteur ou vos clients.
Utiliser Attack Simulation Training et nophi.sh ensemble
Particularité de ce comparatif : si vous êtes en E5, AST est déjà dans votre tenant — la question de la « migration » ne se pose pas comme avec un concurrent classique. La vraie question est celle de la complémentarité, et elle se joue en quatre points.
1. Gardez AST pour ce qu’il fait de mieux. Le harvesting des vrais emails de phishing signalés (payload automations) et les simulations natives dans le tenant sont des capacités uniques d’AST. Si vous êtes en E5, continuez à les exploiter — c’est inclus.
2. Ajoutez nophi.sh pour le contexte français et le multicanal. Les 90+ scénarios français (email, SMS, QR code) couvrent ce que le catalogue global d’AST ne fournit pas prêt à l’emploi. Vos collaborateurs sont testés sur les arnaques qu’ils reçoivent vraiment en France, sans travail de création de payloads.
3. Laissez le micro-learning et la vérification tourner en continu. Le micro-learning post-clic et la vérification d’email par IA fonctionnent toute l’année, indépendamment du calendrier de vos simulations AST. La liste blanche des domaines de simulation nophi.sh dans votre tenant prend quelques minutes (guide fourni).
4. Consolidez la conformité côté nophi.sh. Les rapports NIS2 automatiques documentent l’ensemble de votre programme de sensibilisation pour l’auditeur — y compris, dans votre dossier de preuves, l’existence de vos campagnes AST.
Et si vous n’êtes pas en E5 ? Alors le montage « les deux » n’a pas de sens économique : comparez simplement le coût des licences Plan 2 pour tout votre effectif au forfait nophi.sh, et le périmètre fonctionnel de chacun. Notre comparatif GoPhish vs Attack Simulator vs nophi.sh détaille ce calcul pour plusieurs tailles d’entreprise.
Verdict
Attack Simulation Training est un bon produit dans son cadre : celui d’une organisation sous licence Microsoft 365 E5, dotée d’une équipe sécurité, qui veut un moteur de simulation natif, sans configuration de délivrabilité, capable de rejouer les vraies attaques reçues par le tenant. Dans ce cadre, il est inclus, solide et documenté avec une transparence que nous saluons — et aucune plateforme tierce ne battra son coût marginal nul. Le reste du marché, Microsoft l’assume : localisation française à construire soi-même, formation assignée plutôt qu’immédiate, conformité à compiler manuellement, et surtout un accès conditionné à des licences (E5 à 58,13 € HT ou Plan 2 à 4,30 € HT par utilisateur et par mois, prix France septembre 2026) qui excluent de fait la majorité des PME françaises.
nophi.sh est construit pour précisément ces PME : 50 à 500 collaborateurs, pas d’équipe sécurité, une licence Microsoft standard ou Google Workspace, et le besoin d’un programme qui produise des résultats cette semaine — scénarios français prêts à l’emploi, micro-learning automatique, vérification d’email en 30 secondes, rapports NIS2 en un clic, hébergement 100 % France, pour un forfait public à partir de 99 €/mois. Si vous êtes en E5 avec un RSSI, commencez par AST, et évaluez nophi.sh en complément pour le contexte français et la conformité. Si vous ne l’êtes pas, l’essai gratuit de 14 jours vous donnera la réponse plus vite que n’importe quel tableau de licences.
Prêt à comparer par vous-même ? Essayez nophi.sh gratuitement pendant 14 jours et lancez votre première campagne de simulation de phishing en 15 minutes — sans engagement, sans rendez-vous commercial.
Sources : Microsoft Learn — Get started using Attack simulation training (septembre 2026), Microsoft Learn — Simulate a phishing attack (septembre 2026), Microsoft Learn — Attack simulation training FAQ (septembre 2026), Microsoft Learn — Training modules (septembre 2026), Microsoft Learn — Description de service Defender for Office 365 (septembre 2026), Microsoft — Plans et tarifs Microsoft 365 Entreprise (France) (septembre 2026, prix HT), Microsoft — Defender for Office 365, tarifs France (septembre 2026, prix HT), Microsoft — 2026 M365 packaging & pricing updates (septembre 2026). Tarifs nophi.sh : page tarifs. Les prix Microsoft sont les prix publics affichés en septembre 2026, hors taxes, en paiement annuel ; ils peuvent varier selon le canal d’achat. Ce comparatif ne constitue pas un engagement contractuel et les fonctionnalités mentionnées peuvent avoir évolué depuis la date de rédaction.
Questions fréquentes
Quel est le prix de Microsoft Attack Simulation Training ?
Attack Simulation Training n'a pas de prix propre : il est inclus dans Microsoft 365 E5 et dans Microsoft Defender for Office 365 Plan 2. En France (septembre 2026), Microsoft affiche M365 E5 à 58,13 € HT par utilisateur et par mois, et Defender for Office 365 Plan 2 à 4,30 € HT par utilisateur et par mois en paiement annuel. La licence doit couvrir les utilisateurs concernés par les simulations, pas seulement les administrateurs. Pour 100 collaborateurs hors E5, l'add-on Plan 2 représente environ 5 160 € HT par an. nophi.sh coûte 99 €/mois jusqu'à 50 utilisateurs et 249 €/mois jusqu'à 200, toutes fonctionnalités incluses.
Attack Simulation Training ou nophi.sh : lequel choisir ?
Si votre organisation est déjà sous licence Microsoft 365 E5 ou Defender for Office 365 Plan 2, Attack Simulation Training est inclus : c'est le point de départ naturel, avec une intégration native au tenant et zéro configuration SMTP. Si vous êtes une PME française en Business Standard, Business Premium ou E3, AST n'est pas inclus dans votre licence : nophi.sh offre alors des scénarios français prêts à l'emploi, un micro-learning automatique, une vérification d'email par IA et des rapports NIS2, pour un budget forfaitaire souvent inférieur au coût des licences additionnelles. Les deux approches sont d'ailleurs combinables.
Attack Simulation Training est-il inclus dans Microsoft 365 Business Premium ou E3 ?
Non. Business Premium inclut Defender for Office 365 Plan 1, qui ne comprend pas Attack Simulation Training. Depuis le 1er juillet 2026, Microsoft 365 E3 et Office 365 E3 incluent également le Plan 1 — mais toujours pas l'AST complet : les clients E3 n'ont accès qu'à un sous-ensemble d'essai (payload Credential Harvest et deux parcours de formation), selon la documentation Microsoft (septembre 2026). Pour l'AST complet, il faut Microsoft 365 E5 ou l'add-on Defender for Office 365 Plan 2 (4,30 € HT/utilisateur/mois en France).
Attack Simulation Training existe-t-il en français ?
Partiellement. La documentation Microsoft (septembre 2026) annonce « 40+ payloads localisés disponibles en 29+ langues », dont le français, et des modules de formation Terranova Security disponibles en français. Microsoft précise ne pas traduire automatiquement ses payloads pour éviter les incohérences, et recommande de créer des payloads personnalisés pour les besoins locaux. Il n'existe pas de catalogue prêt à l'emploi reproduisant les arnaques typiquement françaises (faux avis Chronopost, faux remboursement Ameli, fraude au RIB) : c'est précisément le terrain des 90+ scénarios de nophi.sh.
Peut-on utiliser Attack Simulation Training et nophi.sh en même temps ?
Oui, et c'est un scénario pertinent pour les organisations déjà en E5. AST couvre la simulation native dans le tenant Microsoft (y compris le harvesting de vrais emails de phishing signalés), tandis que nophi.sh apporte les scénarios français multicanal (email, SMS, QR code), le micro-learning automatique post-clic, la vérification d'email par IA et les rapports NIS2 prêts pour l'audit. Les deux outils ne se gênent pas : il suffit de mettre en liste blanche les domaines de simulation nophi.sh dans votre tenant.
Quelles sont les limites documentées d'Attack Simulation Training ?
Selon la documentation Microsoft elle-même (septembre 2026) : les boîtes aux lettres partagées ne sont pas prises en charge, les simulations inter-organisations non plus ; les boîtes on-premises ont un reporting réduit ; la journalisation d'audit doit être activée sous peine de rapports vides ; Google Safe Browsing peut bloquer les URLs de simulation dans Chrome ; et des proxys ou antivirus peuvent générer de faux clics dans les rapports. S'y ajoute la contrainte principale : la licence E5 ou Plan 2 doit couvrir les utilisateurs ciblés par les simulations.