Modèles GoPhish en français : 18 thèmes pour écrire les vôtres

Une installation neuve de GoPhish ne contient aucun modèle d’email : l’outil fournit le moteur de campagne, à vous d’écrire les messages et les pages. Ce guide part de là. Il liste 18 thèmes de campagne tirés des fraudes que reçoivent les entreprises françaises et, pour chacun, ce qu’il faut pour écrire votre propre modèle.

Le kit PDF gratuit de cette page détaille les 18 fiches : prémisse du scénario, difficulté de départ, signaux à enseigner, message de débrief à afficher après un clic et équipes à cibler en premier. Il ajoute une progression de difficulté, un calendrier sur 12 mois, les indicateurs à suivre et les précautions à prendre dans une entreprise française. Vous n’y trouverez aucun email prêt à envoyer, et c’est voulu : la section « Pourquoi aucun modèle prêt à l’emploi » explique ce choix.

Les 18 thèmes du kit

Les fiches 1 à 6 couvrent l’argent et les fournisseurs, les fiches 7 à 12 les comptes et les outils de travail, les fiches 13 à 15 les RH et la vie de l’entreprise, les fiches 16 à 18 les administrations et la vie courante. Le niveau indiqué est un point de départ.

N°	Thème	Départ	Équipes à cibler en premier
1	Changement de RIB d’un fournisseur	moyen	comptabilité fournisseurs, achats, trésorerie
2	Facture en retard	facile	comptabilité, assistants, dirigeants de petites structures
3	Fraude au président	difficile	direction financière, trésorerie, assistants de direction
4	Commande d’un nouveau client	moyen	commerciaux, administration des ventes
5	Cotisations sociales à régulariser	moyen	paie, comptabilité
6	Plateforme de facturation électronique	moyen	comptabilité, direction financière
7	Mot de passe Microsoft 365 à renouveler	facile	tous les salariés
8	Document partagé (OneDrive, SharePoint, Google Drive)	facile	tous, d’abord ceux qui échangent des fichiers avec l’extérieur
9	Signature électronique	moyen	direction, juridique, commerciaux, RH
10	Message vocal en attente	facile	tous, d’abord l’accueil
11	Support informatique	moyen	tous, d’abord les nouveaux arrivants
12	Bulletin de paie sur un nouveau portail	facile	tous les salariés
13	Un salarié demande à changer son RIB	difficile	RH, paie
14	Avantages du CSE	facile	tous les salariés
15	Candidature avec CV	moyen	RH, managers qui recrutent
16	Remboursement d’impôt	facile	tous les salariés, au printemps
17	Colis en attente	facile	tous, d’abord l’accueil et les services généraux
18	Avis de contravention d’un véhicule de société	moyen	gestion de flotte, services généraux

Certains thèmes sont très français. La fiche 6 s’appuie sur la réforme de la facturation électronique : depuis le 1er septembre 2026, toutes les entreprises doivent être en capacité de recevoir des factures électroniques (impots.gouv.fr, 28 septembre 2026), et ce calendrier rend crédible un faux message de « plateforme agréée ». La fiche 18 vise les gestionnaires de flotte, qui reçoivent de vrais avis de contravention pour les véhicules de l’entreprise.

Exemple de fiche : le changement de RIB d’un fournisseur

Voici la fiche 1 telle qu’elle figure dans le kit.

Prémisse : un fournisseur annonce un changement de banque et un nouvel IBAN pour ses prochaines factures. Difficulté de départ : moyen. Équipes à cibler en premier : comptabilité fournisseurs, achats, trésorerie.

Signaux à enseigner :

changement annoncé par email seulement, sans appel ;
adresse d’expéditeur qui diffère d’une lettre de l’habituelle ;
nouvel IBAN domicilié dans un autre pays que le fournisseur ;
message pressant : facture en retard, relance de la direction ;
numéro « pour confirmer » donné dans le même email.

Débrief à afficher après un clic :

Ce message était un exercice. Un changement de coordonnées bancaires ne se valide jamais sur la foi d’un email : rappelez le fournisseur au numéro enregistré dans sa fiche, jamais à celui du message. Ici, [l’adresse de l’expéditeur et le pays de la banque] permettaient de repérer la fraude.

À vérifier avant la campagne : utilisez un fournisseur fictif et un domaine qui vous appartient. Si l’email contient un IBAN, rendez-le invalide (clé de contrôle fausse) pour qu’aucun paiement ne puisse partir.

La fraude réelle et ses suites sont détaillées dans notre article sur l’arnaque au changement de RIB, et la parade dans la procédure anti-fraude au virement.

Pourquoi aucun modèle prêt à l’emploi

Un email de phishing en français, prêt à copier dans GoPhish, sert aussi bien un fraudeur qu’un responsable sécurité. Un PDF circule, et rien ne dit qui l’ouvre. Nous publions donc la conception des campagnes, sans les leurres.

La deuxième raison est pédagogique. Un modèle générique apprend moins qu’un scénario construit sur les outils et les procédures de l’équipe visée. La CNIL va dans ce sens : son guide de la sécurité des données personnelles (édition 2024, fiche 3) recommande des campagnes de sensibilisation « dont le contenu et le langage sont adaptés aux fonctions des destinataires ».

Enfin, ce que le salarié retient, c’est le débrief qui suit le clic. Du 23 au 27 mars 2026, l’opération Cactus du ministère de l’Éducation nationale a visé près de 10 millions d’élèves, de parents et de personnels : les 1 096 692 personnes qui ont cliqué, soit 12 % du public ciblé, ont été redirigées vers un message de sensibilisation avec une vidéo pédagogique (CNIL, 30 mars 2026). Chaque fiche du kit rédige ce message pour vous.

Du thème à la campagne GoPhish

Choisissez un thème et une équipe. Commencez au niveau facile pour tout le monde.
Écrivez l’email à partir de votre réalité : vos outils, vos procédures, un expéditeur fictif mais plausible et un domaine qui vous appartient. Placez volontairement les signaux de la fiche, dont au moins un que le salarié peut vérifier.
Préparez la page de destination dans « Landing Pages ». Pour un thème qui mesure le clic, la page affiche directement le débrief. Pour un thème qui mesure la saisie, cochez « Capture Submitted Data », laissez « Capture Passwords » décoché (la documentation de GoPhish prévient que les identifiants capturés sont stockés en clair) et renseignez « Redirect to » vers la page de débrief.
Planifiez l’envoi : un groupe par équipe dans « Users & Groups », un profil d’envoi SMTP qui passe les filtres de votre messagerie, puis une campagne étalée sur plusieurs heures avec « Send Emails By ».
Faites compter les signalements : dans « Account Settings », rubrique « Reporting Settings », GoPhish surveille en IMAP la boîte où les salariés transfèrent les emails suspects.

Les thèmes 1, 3 et 13 mesurent une réponse, que GoPhish ne compte pas : relevez les réponses à la main dans la boîte qui les reçoit, et ne mettez jamais de coordonnées bancaires valides dans un email d’exercice.

Monter en difficulté

La difficulté d’un email de simulation tient à deux facteurs : le nombre de signaux visibles, et la proximité du scénario avec le travail réel des destinataires. C’est la logique de la Phish Scale du NIST (note technique 2276, novembre 2023), qui compte les indices d’un email et note l’« alignement de la prémisse » sur le contexte de travail. Le kit en tire trois niveaux et huit règles, dont celles-ci :

gardez toujours au moins un signal vérifiable (l’adresse de l’expéditeur ou le domaine du lien, par exemple), sinon l’exercice ne mesure que la chance ;
changez une seule variable à la fois : rejouez un thème déjà vu un niveau au-dessus pour mesurer un progrès ;
montez d’un niveau quand le taux de signalement d’une équipe dépasse son taux de clic deux campagnes de suite ;
une campagne par personne et par mois au plus, avec des envois étalés, sinon les collègues se préviennent et vous mesurez le bouche-à-oreille.

Un calendrier sur 12 mois

Le calendrier du kit suit deux pistes : une campagne mensuelle pour tous les salariés, et des campagnes ciblées pour la comptabilité, la paie, la direction ou les commerciaux. Les thèmes saisonniers gardent leur place : le remboursement d’impôt au printemps, le changement de RIB fournisseur en juillet, quand des remplaçants valident les paiements, une pause en août, la restitution des résultats en octobre pendant le Cybermois, la fraude au président avant les clôtures de fin d’année. Pour la partie formation et communication, voir notre plan de sensibilisation sur 12 mois.

Mesurer : le signalement avant le clic

GoPhish enregistre l’ouverture, le clic, la saisie et le signalement. L’ouverture est peu fiable, puisque certaines messageries bloquent l’image de suivi et que d’autres la chargent toutes seules. Le clic et la saisie doivent baisser. Le taux de signalement doit monter, et c’est lui qui compte le plus : pendant une vraie attaque, quelques clics sont presque inévitables, et ce qui limite les dégâts est la vitesse à laquelle quelqu’un prévient l’équipe informatique. Un taux de clic qui baisse peut aussi venir de salariés qui lisent moins leurs emails ; un taux de signalement qui monte vient forcément de personnes qui ont reconnu le piège et l’ont dit.

Le kit donne le calcul de chaque indicateur et un repère simple : un taux de signalement supérieur au taux de clic, équipe par équipe. Pour créer ce réflexe, lisez notre guide quand personne ne signale les emails suspects. Pour situer votre taux de clic, voyez les benchmarks publiés par secteur.

Avant de lancer dans une entreprise française

Ces précautions ne remplacent pas l’avis de votre DPO ou d’un avocat en droit du travail.

Faites signer un mandat écrit par la direction : objectifs, équipes, calendrier, personnes qui voient les résultats individuels, suite donnée à un clic.
Dans les entreprises d’au moins 50 salariés, le CSE « est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés » (Code du travail, article L2312-38). Un programme qui enregistre qui clique peut être lu ainsi : présentez-le au CSE avant la décision.
« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L1222-4). Annoncez le programme avant la première campagne, sans en donner les dates ni les scénarios.
Traitez les résultats comme des données personnelles : inscription au registre, durée de conservation, accès limité, avis du DPO. Notre page RGPD et phishing détaille ce cadre.
Publiez des résultats par équipe d’au moins cinq personnes, jamais de noms ni de classement. Un clic déclenche un débrief et, si besoin, une formation courte, et aucune sanction.
Écartez les leurres qui promettent ce que l’entreprise ne donnera pas (prime, augmentation) et ceux qui touchent à la santé ou aux licenciements. N’utilisez jamais le domaine réel d’un fournisseur ou d’une administration : prenez un domaine qui vous appartient.

Et sans serveur à maintenir ?

Si vous préférez ne plus administrer GoPhish, nophi.sh lance ce type de campagnes depuis une plateforme hébergée en France : 80 scénarios prêts à l’emploi en français et en anglais, une formation courte assignée automatiquement après un test échoué, le signalement par simple transfert ou par le bouton Signaler de Microsoft 365, et un rapport d’audit PDF par département. Le comparatif nophi.sh et GoPhish chiffre les deux options, et la page simulation de phishing présente le produit.

FAQ

Où trouver des modèles GoPhish en français ?

GoPhish n’en fournit pas : une installation neuve ne contient aucun modèle d’email, il faut les écrire ou les importer. Le kit de cette page donne de quoi écrire les vôtres : 18 thèmes de fraude courants en France, avec pour chacun la prémisse, les signaux à placer, le message de débrief et les équipes à cibler. Il ne contient volontairement aucun email prêt à envoyer.

Le kit contient-il des emails à importer dans GoPhish ?

Non. Il contient la conception des campagnes : prémisse, difficulté, signaux, débrief, équipes, calendrier et indicateurs. Les emails et les pages de destination s’écrivent à partir de vos outils et de vos procédures, ce qui les rend plus crédibles pour vos équipes qu’un modèle générique.

Faut-il prévenir les salariés avant une simulation de phishing ?

Le Code du travail interdit de collecter une information personnelle sur un salarié par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L1222-4). Par précaution, annoncez le programme avant la première campagne, dans la charte informatique ou une note interne, sans en donner les dates ni les scénarios.

Faut-il consulter le CSE avant une campagne GoPhish ?

Dans les entreprises d’au moins 50 salariés, le CSE est informé et consulté, avant la décision de mise en œuvre, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés (article L2312-38 du Code du travail). Un programme qui enregistre qui clique peut être lu ainsi : par précaution, présentez-le au CSE avant de lancer, et faites valider l’analyse par votre DPO ou votre conseil.

Comment GoPhish compte-t-il les signalements ?

GoPhish marque un destinataire « Email Reported » quand il retrouve l’email de campagne dans une boîte qu’il surveille en IMAP. Le réglage se trouve dans Account Settings, rubrique Reporting Settings. Demandez aux salariés de transférer les messages suspects à cette adresse, et comptez à la main les signalements faits par un autre canal.

Quelle difficulté choisir pour une première campagne ?

Le niveau facile, pour tout le monde : un thème grand public avec plusieurs signaux visibles. La première campagne mesure un point de départ. Montez d’un niveau quand le taux de signalement d’une équipe dépasse son taux de clic deux campagnes de suite.

Sources

Code du travail, article L1222-4 et article L2312-38, Légifrance, consultés le 14 octobre 2026
CNIL, Guide pratique RGPD : sécurité des données personnelles, édition 2024 mise à jour en 2026, fiche 3
CNIL, Opération Cactus 2026, 30 mars 2026
NIST, Phish Scale User Guide, note technique 2276, novembre 2023
Documentation GoPhish : Landing Pages, Campaigns, Email Reporting
impots.gouv.fr, Facturation électronique, 28 septembre 2026