Si votre entreprise travaille sous Microsoft 365, vous avez peut-être déjà croisé Attack Simulation Training, souvent appelé Attack Simulator. C’est l’outil de simulation de phishing de Microsoft, intégré au portail Defender. Bonne nouvelle : il est natif et sérieux. Moins bonne nouvelle : il n’est pas inclus dans les licences les plus courantes des PME.
Cette page fait trois choses : elle explique quelles licences donnent accès à l’outil et à quel prix, elle décrit sa mise en route en cinq étapes, et elle compare ce qu’il apporte à une PME française avec ce que fait nophi.sh. Les informations viennent de la documentation Microsoft Learn et des pages de prix de microsoft.com, consultées le 13 octobre 2026.
À retenir
- Attack Simulation Training est réservé à Microsoft 365 E5 et à Defender for Office 365 Plan 2 (Microsoft Learn). Les clients E3 n’ont qu’un essai limité au vol d’identifiants ; Business Premium n’y donne pas accès.
- Prix publics en France : 58,13 € HT par utilisateur et par mois pour E5, 4,30 € HT pour l’option Plan 2, en paiement annuel (microsoft.com). Pour 100 collaborateurs, le Plan 2 coûte 5 160 € HT par an ; nophi.sh 249 € HT par mois jusqu’à 200 utilisateurs, soit 2 988 € HT.
- L’outil teste des pièces jointes piégées, le consentement OAuth et les QR codes, en plus du vol d’identifiants. nophi.sh simule l’email avec de fausses pages de connexion.
- Ses charges utiles visent un public international. nophi.sh fournit 80 scénarios écrits pour les fraudes qui visent les PME françaises, une formation assignée après chaque clic et un avis rapide sur les vrais emails suspects.
- Les deux outils se combinent bien pour une organisation déjà en E5.
Attack Simulation Training en bref
Attack Simulation Training fait partie de Microsoft Defender for Office 365 Plan 2. Il s’utilise depuis le portail Microsoft Defender, rubrique Email et collaboration. Les simulations partent de l’infrastructure Microsoft vers les boîtes de votre tenant : pas de serveur d’envoi à configurer, pas de domaine à acheter.
Microsoft propose six techniques d’ingénierie sociale tirées du référentiel MITRE ATT&CK, plus un « guide pratique » pédagogique : vol d’identifiants, pièce jointe malveillante, lien dans une pièce jointe, lien vers un fichier malveillant, drive-by URL et consentement OAuth. Les liens peuvent prendre la forme d’un QR code. Les données de simulation sont stockées avec les autres données Microsoft 365 du tenant, et l’outil est disponible dans la région Europe, France comprise.
Ce qu’Attack Simulator fait bien
Natif dans Microsoft 365
Les simulations arrivent dans les boîtes sans réglage de délivrabilité, et les résultats remontent dans le même portail que le reste de votre sécurité Microsoft. Pour une équipe qui administre déjà Defender, la prise en main est rapide.
Plus de techniques que la plupart des outils
Pièces jointes, liens vers des fichiers, consentement OAuth, QR codes : Attack Simulator teste des vecteurs que beaucoup de plateformes ne simulent pas.
Des simulations tirées de vraies attaques
Les automatisations de charges utiles (« payload harvesting ») réutilisent des versions inoffensives d’emails de phishing réellement détectés dans Microsoft 365. Les automatisations de simulation planifient des campagnes récurrentes avec plusieurs techniques. Le taux de compromission prédit (PCR) aide à calibrer la difficulté.
Une formation intégrée
Des modules de formation, disponibles dans une quarantaine de langues dont le français, s’assignent après une simulation ou dans une campagne de formation dédiée.
Un essai de 90 jours
Microsoft propose un essai de 90 jours de Defender for Office 365 Plan 2, qui permet de tester l’outil avant d’acheter des licences.
Mettre en route Attack Simulator en 5 étapes
- Vérifiez les licences et les droits. Il faut E5 ou Defender for Office 365 Plan 2 pour les collaborateurs que vous voulez tester, et un rôle adapté : Attack Simulation Administrator pour créer et gérer les campagnes, Attack Payload Author pour préparer des charges utiles. Évitez d’utiliser un compte d’administrateur général.
- Ouvrez l’outil. Dans le portail Microsoft Defender (security.microsoft.com), allez dans Email et collaboration, puis Attack simulation training.
- Créez une première simulation. Choisissez la technique (commencez par le vol d’identifiants), la charge utile et la page de connexion, les utilisateurs ciblés, la formation assignée selon l’action de chacun, les notifications envoyées aux collaborateurs et le calendrier d’envoi. Pour reproduire une fraude française, créez votre propre charge utile en copiant un modèle existant.
- Suivez les résultats. Les rapports montrent qui a reçu le message, qui a cliqué ou saisi ses identifiants, qui l’a signalé et qui a suivi la formation. Pour comparer les départements, lancez des simulations identiques ciblées par département.
- Mesurez les signalements. Configurez le bouton Signaler de Microsoft 365 pour que les signalements des collaborateurs remontent dans les rapports : un bon programme fait progresser le taux de signalement autant qu’il fait baisser le taux de clic.
Les limites d’Attack Simulator pour une PME française
Le mur de la licence
La plupart des PME françaises sont en Business Premium ou en E3. Passer à E5 coûte bien plus que la simulation, et l’option Plan 2 se paie pour chaque collaborateur testé : 5 160 € HT par an pour 100 personnes. Le Plan 2 apporte d’autres protections, mais si seule la simulation vous intéresse, le calcul mérite d’être fait.
Un catalogue international
Les charges utiles intégrées imitent des services connus dans le monde entier. Les fraudes qui visent les PME françaises (faux RIB fournisseur, faux avis des impôts, faux colis d’un transporteur français, faux message de la direction) sont à écrire vous-même, puis à maintenir.
Une administration à prévoir
Rôles, charges utiles, pages de connexion, notifications, automatisations : l’outil est complet, et cette richesse demande du temps. Un responsable informatique à temps partagé doit prévoir des heures de paramétrage avant la première campagne utile.
Pas d’avis rapide sur les vrais emails suspects
Attack Simulator entraîne et mesure. Il ne répond pas au collaborateur qui hésite devant un vrai email douteux : dans l’écosystème Microsoft, l’analyse des messages signalés relève d’autres outils Defender et de l’équipe qui les administre.
Des preuves à mettre en forme
Les rapports du portail sont détaillés, mais aucun rapport d’audit prêt à verser à un dossier NIS2 n’est produit tel quel. Il faut exporter et mettre en forme.
Ce que nophi.sh fait différemment
Un outil indépendant de votre licence Microsoft. Tous vos collaborateurs sont testables, qu’ils soient en Business Premium, E3 ou E5, pour un forfait : 99 € HT par mois jusqu’à 50 utilisateurs, 249 € HT jusqu’à 200.
80 scénarios écrits pour la France. En français et en anglais, sur trois niveaux de difficulté et 16 catégories, dont la fraude au président, le changement de RIB fournisseur, les fausses factures, les fausses notifications Microsoft 365, Teams ou SharePoint et les faux messages des impôts. Vous pouvez écrire vos propres modèles. Les fausses pages de connexion imitent Microsoft 365 ou Google Workspace, et les mots de passe saisis ne sont jamais enregistrés.
Une formation après chaque clic. Débrief de 3 minutes, module court assigné automatiquement, relances automatiques avant l’échéance, puis alerte au manager. Le pilote automatique reteste chaque personne tous les 7, 14 ou 30 jours selon son niveau de risque.
Un avis sur les vrais emails douteux. Le collaborateur transfère le message à nophi.sh, ou utilise le bouton Signaler de Microsoft 365 configuré vers l’adresse nophi.sh, et reçoit un verdict motivé, en général en une à deux minutes.
Un rapport d’audit PDF et un export CSV, utiles comme preuves pour le volet sensibilisation de vos audits NIS2, ISO 27001 (A.6.3) ou DORA. Ce rapport documente le volet formation, l’une des mesures que demande NIS2.
Des données hébergées en France par Nextmap, opérateur français. Les utilisateurs se synchronisent depuis Microsoft 365 (Entra ID) ou s’importent par CSV. Environ 15 minutes de configuration, hors liste blanche chez votre messagerie, et une première campagne le jour même. Pour aller plus loin sur ce cas, lisez notre guide de la simulation de phishing sous Microsoft 365.
Pour qui choisir Attack Simulator, pour qui choisir nophi.sh ?
Attack Simulator est un bon choix si :
- vous êtes déjà en Microsoft 365 E5 : l’outil est payé ;
- votre équipe administre déjà Microsoft Defender et a le temps de construire des charges utiles adaptées ;
- tout votre environnement est Microsoft et vous voulez un seul portail.
nophi.sh est un bon choix si :
- vous êtes en Business Premium ou en E3 et vous ne voulez pas payer une licence par collaborateur pour simuler ;
- vous voulez des scénarios français prêts à l’emploi et une formation qui se déclenche seule ;
- vos collaborateurs doivent pouvoir demander un avis sur un vrai email douteux ;
- vous devez fournir un rapport d’audit sans le construire à la main ;
- l’hébergement en France compte pour vous.
Utiliser les deux ensemble
Une organisation en E5 peut garder Attack Simulator pour ses techniques propres (pièces jointes, consentement OAuth, QR codes) et confier à nophi.sh les scénarios français, la formation après un clic, la vérification des emails suspects et le rapport d’audit. Alternez les campagnes pour ne pas saturer les collaborateurs, et gardez un seul tableau de bord comme référence pour vos preuves.
Vous hésitez avec un outil open source ? Notre comparatif GoPhish, Attack Simulator ou nophi.sh met les trois côte à côte.
Verdict
Attack Simulation Training est un bon outil, natif, qui simule plus de techniques que nophi.sh. Pour une organisation déjà en E5 avec une équipe qui administre Defender, c’est le premier outil à utiliser.
Pour une PME française en Business Premium ou en E3, le calcul change : une licence par collaborateur pour simuler, des scénarios français à écrire et des preuves à mettre en forme. nophi.sh répond à ce cas avec un forfait, 80 scénarios prêts à l’emploi, une formation automatique et des données en France.
Pour comparer sur vos propres équipes, ouvrez un essai nophi.sh de 14 jours : environ 15 minutes de configuration, première campagne le jour même, sans carte bancaire.
Sources : Microsoft Learn, Get started using Attack simulation training (licences, essai E3, techniques, QR codes, régions, rôles, mis à jour en juillet 2026), Microsoft Learn, modules de formation (langues), Microsoft, Defender for Office 365 (Plan 1 à 1,73 € HT et Plan 2 à 4,30 € HT par utilisateur et par mois, paiement annuel), Microsoft 365 Entreprise, offres et prix (E5 à 58,13 € HT, E5 sans Teams à 50,71 € HT, E3 à 37,78 € HT), consultés le 13 octobre 2026. Tarifs nophi.sh : page tarifs. Ce comparatif ne constitue pas un engagement contractuel.
Questions fréquentes
Quel est le prix de Microsoft Attack Simulation Training ?
Attack Simulation Training ne se vend pas seul : il faut Microsoft 365 E5 (58,13 € HT par utilisateur et par mois en paiement annuel, ou 50,71 € HT sans Teams) ou l'option Defender for Office 365 Plan 2 (4,30 € HT par utilisateur et par mois), selon les prix publics de microsoft.com en octobre 2026. Pour 100 collaborateurs, l'option Plan 2 représente 5 160 € HT par an, et apporte d'autres protections que la simulation. nophi.sh coûte 249 € HT par mois jusqu'à 200 utilisateurs, soit 2 988 € HT par an.
Attack Simulation Training est-il inclus dans Microsoft 365 Business Premium ou E3 ?
Non. Microsoft réserve Attack Simulation Training aux licences Microsoft 365 E5 et Defender for Office 365 Plan 2. Les clients E3 disposent seulement d'un essai limité : une charge utile de vol d'identifiants et deux parcours de formation. Business Premium inclut Defender for Office 365 Plan 1, sans Attack Simulation Training.
Attack Simulation Training existe-t-il en français ?
L'interface du portail Defender et les modules de formation existent en français, parmi une quarantaine de langues. Les charges utiles intégrées sont pensées pour un public international : pour reproduire les fraudes qui visent les PME françaises (changement de RIB fournisseur, faux avis des impôts, faux colis), il faut créer vos propres modèles. nophi.sh fournit 80 scénarios écrits en français et en anglais.
Comment lancer une première simulation avec Attack Simulator ?
Ouvrez le portail Microsoft Defender (security.microsoft.com), rubrique Email et collaboration, puis Attack simulation training. Créez une simulation : choisissez la technique (par exemple le vol d'identifiants), la charge utile et la page de connexion, les utilisateurs ciblés, la formation à assigner, les notifications et le calendrier. Il faut un rôle adapté, comme Attack Simulation Administrator, et une licence E5 ou Plan 2 pour les collaborateurs ciblés.
Peut-on utiliser Attack Simulation Training et nophi.sh en même temps ?
Oui. Une organisation en E5 peut garder Attack Simulation Training pour ses techniques propres (pièces jointes, consentement OAuth, QR code) et utiliser nophi.sh pour les scénarios français, la formation après un clic, la vérification des vrais emails suspects et le rapport d'audit. Espacez les campagnes pour ne pas saturer les collaborateurs.
Attack Simulator ou nophi.sh : lequel choisir ?
Si vous êtes déjà en E5, commencez par Attack Simulation Training : il est payé, natif et couvre de nombreuses techniques. Si vous êtes en E3 ou Business Premium, comparez le prix du Plan 2 pour tous vos collaborateurs à celui d'une plateforme dédiée. nophi.sh convient aux PME qui veulent des scénarios français prêts à l'emploi, une formation automatique après un clic, un avis rapide sur les vrais emails suspects et des données hébergées en France.