Mes employés cliquent sur tout : que faire ?

Un collaborateur a validé un « changement de RIB » douteux. Un autre a cliqué sur une fausse facture, et vous ne l’avez appris que par hasard. Vu de votre bureau, le constat est brutal : vos employés cliquent sur tout.

Ce guide s’adresse au dirigeant, au DAF ou à l’office manager qui fait ce constat. La réponse courte :

Pourquoi ça arrive : un email piégé se traite en quelques secondes, entre deux tâches, et il joue sur l’urgence ou sur l’autorité d’un expéditeur. Sans entraînement, un salarié sur trois clique : KnowBe4 mesure un taux de clic moyen de 33,1 % avant toute formation (2025). Votre équipe est dans la norme.
Ce que vous changez cette semaine, sans budget : une réunion de 15 minutes sans chercher de coupable, la règle du canal secondaire pour toute demande sensible, une adresse de signalement unique.
Ce que vous construisez ce trimestre : mesurer qui clique et qui signale, puis entraîner chaque mois avec des exemples réalistes et un débrief immédiat. C’est le rôle d’un programme de sensibilisation à la cybersécurité, que vous pouvez aussi mener à la main au début.

La suite détaille chaque point.

Pourquoi vos employés cliquent

La première réaction devant un clic malheureux est presque toujours la même : « comment a-t-il pu tomber là-dedans ? ». La question est mal posée. Le phishing exploite le fonctionnement normal d’une personne qui travaille, et la distraction n’explique pas tout.

Un email professionnel se traite vite, souvent sur téléphone, entre deux réunions. Les attaquants construisent leurs messages en conséquence : l’urgence (« votre compte sera suspendu ce soir »), l’autorité (un message qui semble venir du dirigeant, de la banque, de Microsoft) et l’habitude (une notification de partage de document identique à celles reçues dix fois par jour). Le clic est un automatisme détourné. Verizon mesure un délai médian de 21 secondes entre l’ouverture d’un email de phishing et le clic, puis de 28 secondes pour saisir ses données (DBIR 2024, résumé exécutif).

Le problème dépasse donc votre entreprise et les « profils à risque ». L’élément humain intervient dans 62 % des violations de données (Verizon DBIR 2026). En France, le phishing est le vecteur de 55 % des attaques significatives (baromètre CESIN 2026, cesin.fr). Ces chiffres et leurs sources sont réunis dans nos statistiques du phishing en France. Pour les mécanismes psychologiques en détail, notre article sur les biais cognitifs exploités par le phishing montre pourquoi les profils les plus diplômés cliquent aussi.

Si vos employés « cliquent sur tout », c’est que personne ne leur a montré, en situation, à quoi ressemble une attaque qui les vise eux. Le problème vient d’un manque d’entraînement, et un manque d’entraînement se corrige.

Le vrai danger : le silence après le clic

Un clic sur un lien malveillant est rarement une catastrophe en soi. Ce qui transforme l’incident en sinistre, c’est le temps qui passe avant que quelqu’un le sache. Dans les exercices de sensibilisation analysés par Verizon, 11 % seulement des utilisateurs qui avaient cliqué ont aussi signalé l’email (DBIR 2024). Les autres se taisent, par honte, par peur d’être réprimandés, ou parce qu’ils ne s’en sont pas rendu compte.

Chaque réaction agacée, chaque remarque devant l’équipe renforce ce silence. Empêcher tout clic est impossible ; la priorité est que chaque clic soit signalé dans les minutes qui suivent. Une entreprise où l’on ose dire « j’ai cliqué, je ne suis pas sûr » est déjà bien plus solide que la moyenne.

Ce que vous pouvez faire cette semaine, sans aucun outil

Aucune des mesures suivantes ne demande de budget ni de compétence technique. Ensemble, elles couvrent les scénarios qui causent le plus de dégâts dans les PME.

Parlez-en, sans chercher de coupable

Réunissez l’équipe 15 minutes. Le message tient en quelques phrases : les emails piégés qui nous visent sont de mieux en mieux faits ; personne ne sera sanctionné pour un clic ou pour une fausse alerte ; à partir d’aujourd’hui, au moindre doute, on signale. Ce cadrage décide si vous serez prévenu au prochain incident.

Instaurez la règle du canal secondaire

C’est la règle qui bloque les fraudes les plus coûteuses : toute demande sensible reçue par email se confirme par un autre canal. Un fournisseur annonce un nouveau RIB ? On l’appelle au numéro déjà enregistré, jamais à celui indiqué dans l’email. Le « dirigeant » demande un virement urgent ? On le confirme de vive voix. Une « banque » demande de valider une opération ? On passe par l’application ou le numéro habituel. Formalisez ce point pour la comptabilité avec notre procédure anti-fraude au virement, un modèle prêt à adapter, et lisez notre analyse de l’arnaque au changement de RIB pour comprendre comment elle se déroule.

Créez un point de signalement unique

Une adresse dédiée (par exemple alerte@votre-domaine.fr) ou un référent désigné, communiqué à toute l’équipe, avec un engagement simple : chaque signalement reçoit une réponse. Sans canal clair, l’email suspect finit à la corbeille, et l’information avec lui. Pour aider chacun à se faire un premier avis avant de signaler, diffusez notre guide pour reconnaître un email frauduleux.

Briefez les fonctions les plus exposées

Tous les postes ne sont pas égaux face au phishing. La comptabilité (virements, factures, RIB), les RH (données de paie, voir notre article sur la fraude à la paie par phishing) et la direction concentrent les attaques ciblées. Prenez 30 minutes avec ces personnes pour passer en revue les scénarios qui les visent. Pour la direction, notre dossier sur la fraude au président décrit le mode opératoire.

Limitez les dégâts d’un clic réussi

Même avec les meilleurs réflexes, un clic finira par arriver. Avec l’authentification multifacteur, un mot de passe volé ne suffit plus à ouvrir la messagerie : si elle n’est pas encore active partout, suivez notre guide de déploiement du MFA. Et affichez près des postes la marche à suivre en cas de doute : notre guide que faire en cas de phishing détaille les premières minutes.

Ce qu’il faut construire sur 90 jours

Les mesures de la semaine stoppent l’hémorragie. Pour changer durablement les comportements, il vous faut un cadre écrit, un rythme et une mesure.

Jours 1 à 15 : poser le cadre

Mettez par écrit les réflexes (vérifier l’expéditeur, canal secondaire, signalement) et intégrez-les à votre charte informatique si vous en avez une ; sinon, c’est l’occasion d’en rédiger une courte. Établissez aussi un point de départ honnête : combien d’incidents ou de quasi-incidents ces six derniers mois ? Combien de signalements spontanés ? Ces chiffres, même approximatifs, vous serviront de référence.

Jours 16 à 45 : installer le rythme

Un rituel mensuel de 10 minutes suffit : un exemple réel d’email reçu par l’entreprise, décortiqué ensemble, sans désigner personne. Ajoutez le sujet à l’accueil des nouveaux arrivants, car chaque recrue arrive sans connaître vos habitudes ni vos procédures. Notre guide comment former ses salariés à la cybersécurité propose un déroulé pour la première semaine d’un nouvel arrivant, et la méthode complète pour le reste de l’équipe.

Jours 46 à 90 : mesurer et ajuster

C’est ici que la plupart des démarches s’essoufflent : sans mesure, impossible de savoir si les réflexes progressent ou si tout le monde a cessé d’en parler. Comptez les signalements reçus sur votre adresse dédiée (leur hausse est un bon signe), refaites un point d’équipe, et structurez la suite avec notre plan de sensibilisation sur 12 mois. Le cap est connu : dans les données de KnowBe4, le taux de clic moyen passe de 33,1 % à 4,1 % après 12 mois de simulations et de formation régulières (Phishing by Industry Benchmarking Report 2025).

Quand un outil de simulation devient utile

Arrivé à ce stade, vous faites déjà à la main ce qu’un programme structuré fait de façon systématique : montrer des exemples réalistes, entretenir le réflexe de signalement, mesurer l’évolution. La simulation de phishing en est la version outillée : des emails d’entraînement réalistes envoyés à intervalles réguliers, un débrief immédiat pour ceux qui cliquent, des taux de clic et de signalement suivis dans le temps.

Soyons francs sur les critères. Un outil se justifie si vous dépassez une quinzaine de collaborateurs (en dessous, vos rituels manuels peuvent suffire), si vous avez besoin de chiffres datés pour un assureur cyber, un questionnaire de sécurité client ou un audit, ou si personne en interne n’a le temps de fabriquer des scénarios crédibles chaque mois. À l’inverse, une équipe de cinq personnes très soudée tirera davantage des mesures gratuites de ce guide que d’une plateforme.

Si vous passez à l’outil, notre plateforme de sensibilisation à la cybersécurité reprend ce cycle : 80 scénarios en français et en anglais, une formation courte assignée automatiquement après un clic, des résultats par département. Vos salariés peuvent aussi transférer un email suspect à nophi.sh et recevoir un verdict motivé, en général en une à deux minutes. La formule Starter coûte 99 € HT par mois jusqu’à 50 utilisateurs ; le détail des prix du marché est dans notre comparatif des tarifs.

Si vous êtes à l’aise techniquement, l’option open source existe : GoPhish est gratuit, mais demande un vrai investissement en temps et montre vite ses limites en entreprise, que nous détaillons dans les limites de GoPhish en entreprise. Pour comparer les solutions du marché sur des critères concrets, consultez notre comparatif des solutions et notre modèle de cahier des charges anti-phishing, qui liste les questions à poser avant de signer.

Questions fréquentes

Faut-il sanctionner un employé qui clique sur un email de phishing ?

Non. La personne qui a cliqué détient l’information la plus utile du moment : une attaque est en cours. Or, dans les exercices de sensibilisation analysés par Verizon, 11 % seulement des utilisateurs qui avaient cliqué ont aussi signalé l’email (DBIR 2024). Chaque sanction risque de le faire baisser encore. L’objectif est qu’un collaborateur qui a cliqué vienne le dire dans les cinq minutes, sans crainte.

Mes équipes sont compétentes, pourquoi tombent-elles quand même dans le panneau ?

Parce que le phishing vise l’attention de personnes compétentes qui vont vite. Verizon mesure un délai médian de 21 secondes entre l’ouverture d’un email de phishing et le clic, puis de 28 secondes pour saisir ses données (DBIR 2024). Les messages jouent sur l’urgence, l’autorité d’un expéditeur et les habitudes de travail : les automatismes qui rendent vos équipes efficaces le reste du temps.

Combien d’employés cliquent en moyenne lors d’un premier test ?

Environ un tiers. KnowBe4 mesure un taux de clic moyen de 33,1 % avant toute formation (Phishing by Industry Benchmarking Report 2025). Si un quart ou un tiers de votre équipe clique au premier test, vous êtes dans la norme : c’est un point de départ.

Combien de temps faut-il pour voir une vraie amélioration ?

Quelques mois pour les premiers effets, un an pour un changement installé. Dans les données de KnowBe4, le taux de clic moyen passe de 33,1 % avant formation à 4,1 % après 12 mois de simulations et de formation (Phishing by Industry Benchmarking Report 2025). La régularité compte plus que l’intensité : des rappels courts et fréquents valent mieux qu’une grande formation annuelle.

Par où commencer si je n’ai ni budget ni temps ?

Par trois actions gratuites cette semaine : une réunion de 15 minutes pour poser les réflexes sans culpabiliser personne, la règle du canal secondaire pour toute demande sensible (rappeler un numéro connu avant tout virement ou changement de RIB), et une adresse de signalement unique communiquée à tous. Elles couvrent les scénarios qui coûtent le plus cher.

Pour lundi : réunissez l’équipe 15 minutes, annoncez la règle du canal secondaire et communiquez l’adresse de signalement. Ces mesures ne coûtent rien. Mesurer et entraîner ensuite est une affaire de régularité : notre plan de sensibilisation sur 12 mois donne le rythme, et notre comparaison formation cybersécurité ou simulation explique pourquoi une formation annuelle seule ne suffit pas.