Mes employés cliquent sur tout : que faire ?

Un collaborateur a validé un « changement de RIB » douteux. Un autre a transféré un colis suspect à toute l’équipe en demandant « c’est un vrai ? ». Un troisième a cliqué sur une fausse facture — et vous ne l’avez appris que par hasard. Vu de votre bureau, le constat est brutal : vos employés cliquent sur tout.

Ce guide s’adresse au dirigeant, au DAF ou à l’office manager qui fait ce constat — pas au spécialiste sécurité. Il répond à trois questions dans l’ordre : pourquoi cela arrive (ce n’est pas ce que vous croyez), ce que vous pouvez changer dès cette semaine sans dépenser un euro, et comment rendre le progrès durable et mesurable.

À retenir

Cliquer n’est pas de la négligence : il faut en médiane moins de 60 secondes pour tomber dans un phishing — 21 secondes pour cliquer, 28 de plus pour saisir ses données (Verizon DBIR 2024, voir nos statistiques de référence).

Sans entraînement, un tiers des employés cliquent (33,1 % de taux de clic moyen, KnowBe4 2025). Votre équipe n’est pas exceptionnellement faible : elle est dans la norme.

La sanction aggrave le problème : seuls 11 % des utilisateurs ayant cliqué signalent ensuite l’email (Verizon DBIR 2024). Punir le clic, c’est garantir le silence au prochain incident.

Trois mesures gratuites cette semaine : la règle du canal secondaire, un point de signalement unique, un brief des fonctions exposées (comptabilité, RH, direction).

Avec un programme régulier, le taux de clic baisse d’environ 40 % en 90 jours et de 86 % en un an (KnowBe4 2025). Le problème se règle — à condition de le mesurer.

Pourquoi vos employés cliquent (et pourquoi ce n’est pas de la bêtise)

La première réaction devant un clic malheureux est presque toujours la même : « comment a-t-il pu tomber là-dedans ? ». C’est la mauvaise question. Le phishing moderne n’est pas conçu pour tromper les distraits : il est conçu pour exploiter le fonctionnement normal d’une personne qui travaille.

Un email professionnel se traite en quelques secondes, souvent sur téléphone, entre deux tâches. Les attaquants le savent et construisent leurs messages autour de trois leviers d’ingénierie sociale : l’urgence (« votre compte sera suspendu ce soir »), l’autorité (un message qui semble venir du dirigeant, de la banque, de Microsoft) et l’habitude (une notification de partage de document identique à celles reçues dix fois par jour). Le clic n’est pas une décision réfléchie qui a mal tourné : c’est un automatisme détourné. Les données le confirment : en médiane, moins de 60 secondes s’écoulent entre l’ouverture d’un email piégé et la saisie des identifiants (Verizon DBIR 2024).

C’est pourquoi le problème ne se limite ni à votre entreprise ni à certains « profils à risque ». 62 % des violations de données impliquent le facteur humain (Verizon DBIR 2026), et en France, 55 % des cyberattaques significatives ont le phishing comme vecteur d’entrée (baromètre CESIN 2026). Sans entraînement, le taux de clic moyen sur une simulation est de 33,1 % — près d’un tiers des destinataires (KnowBe4 2025). Si vous voulez comprendre les mécanismes psychologiques en détail, notre article sur les biais cognitifs exploités par le phishing montre pourquoi les profils les plus diplômés cliquent aussi.

Retenez surtout ceci : si vos employés « cliquent sur tout », c’est que personne ne leur a montré, en situation, à quoi ressemble une attaque qui les vise eux. Ce n’est pas un problème de personnes. C’est un problème d’entraînement — et cela change tout, parce qu’un problème d’entraînement se corrige.

Le vrai danger n’est pas le clic, c’est le silence

Un clic sur un lien malveillant est rarement une catastrophe en soi. Ce qui transforme l’incident en sinistre, c’est le temps qui s’écoule avant que quelqu’un le sache. Or, seuls 11 % des utilisateurs qui ont cliqué signalent ensuite l’email (Verizon DBIR 2024). Les autres se taisent — par honte, par peur d’être réprimandés, ou simplement parce qu’ils n’ont pas réalisé.

Chaque réaction agacée, chaque remarque devant l’équipe, renforce ce silence. La priorité absolue n’est donc pas d’empêcher tout clic (objectif inatteignable), mais d’obtenir que chaque clic soit signalé dans les minutes qui suivent. Une entreprise où l’on ose dire « j’ai cliqué, je ne suis pas sûr » est déjà bien plus solide que la moyenne.

Ce que vous pouvez faire cette semaine, sans aucun outil

Aucune des mesures suivantes ne demande de budget ni de compétence technique. Ensemble, elles couvrent les scénarios qui causent le plus de dégâts dans les PME.

Parlez-en, sans chercher de coupable

Réunissez l’équipe 15 minutes. Le message tient en trois phrases : les emails piégés qui nous visent sont de mieux en mieux faits ; personne ne sera jamais sanctionné pour un clic ou pour une fausse alerte ; à partir d’aujourd’hui, au moindre doute, on signale. Ce cadrage vaut plus que n’importe quel logiciel, parce qu’il détermine si vous serez prévenu au prochain incident.

Instaurez la règle du canal secondaire

C’est la règle qui bloque les fraudes les plus coûteuses : toute demande sensible reçue par email doit être confirmée par un autre canal. Un fournisseur annonce un nouveau RIB ? On l’appelle au numéro déjà enregistré — jamais à celui indiqué dans l’email. Le « dirigeant » demande un virement urgent ? On le confirme de vive voix. Une « banque » demande de valider une opération ? On passe par l’application ou le numéro habituel. Formalisez ce point pour la comptabilité avec notre procédure anti-fraude au virement, qui fournit un modèle prêt à adapter.

Créez un point de signalement unique

Une adresse dédiée (par exemple alerte@votre-domaine.fr) ou un référent désigné, communiqué à toute l’équipe, avec un engagement simple : chaque signalement reçoit une réponse. Sans canal clair, l’email suspect finit à la corbeille — et l’information avec lui. Pour aider chacun à se faire un premier avis avant de signaler, diffusez notre guide des 9 signaux d’un email frauduleux.

Briefez les fonctions les plus exposées

Tous les postes ne sont pas égaux face au phishing. La comptabilité (virements, factures, RIB), les RH (données de paie — voir notre article sur la fraude à la paie par phishing) et la direction concentrent les attaques ciblées. Prenez 30 minutes avec ces personnes pour passer en revue les scénarios qui les visent spécifiquement. Notre guide pour protéger les emails des dirigeants complète ce brief.

Limitez les dégâts d’un clic réussi

Même avec les meilleurs réflexes, un clic finira par arriver. L’authentification multifacteur fait qu’un mot de passe volé ne suffit plus à ouvrir la messagerie : si elle n’est pas encore active partout, suivez notre guide de déploiement du MFA. Et affichez près des postes la marche à suivre en cas de doute : notre guide que faire en cas de phishing détaille les premières minutes.

Ce qu’il faut construire sur 90 jours

Les mesures de la semaine stoppent l’hémorragie. Pour changer durablement les comportements, il faut trois choses : un cadre écrit, un rythme, et une mesure.

Jours 1 à 15 — poser le cadre. Mettez par écrit les trois réflexes (vérifier l’expéditeur, canal secondaire, signalement) et intégrez-les à votre charte informatique si vous en avez une — sinon, c’est l’occasion d’en rédiger une courte. Établissez aussi un point de départ honnête : combien d’incidents ou de quasi-incidents ces six derniers mois ? Combien de signalements spontanés ? Ces chiffres, même approximatifs, vous serviront de référence.

Jours 16 à 45 — installer le rythme. Un rituel mensuel de 10 minutes suffit : un exemple réel d’email reçu par l’entreprise, décortiqué ensemble, sans désigner personne. Ajoutez le sujet à l’accueil des nouveaux arrivants — notre guide d’onboarding cybersécurité propose un déroulé — car chaque recrue arrive avec le taux de clic d’une personne jamais entraînée.

Jours 46 à 90 — mesurer et ajuster. C’est ici que la plupart des démarches s’essoufflent : sans mesure, impossible de savoir si les réflexes progressent ou si tout le monde a simplement cessé d’en parler. Comptez les signalements reçus sur votre adresse dédiée (leur hausse est un excellent signe), refaites un point d’équipe, et structurez la suite avec notre plan de sensibilisation sur 12 mois. Les ordres de grandeur observés à grande échelle donnent le cap : environ −40 % de taux de clic après 90 jours de programme régulier, et −86 % après un an (KnowBe4 2025).

Quand un outil de simulation devient utile

Arrivé à ce stade, vous faites déjà, manuellement, ce qu’un programme de sensibilisation structuré fait de façon systématique : montrer des exemples réalistes, entretenir le réflexe de signalement, mesurer l’évolution. La simulation de phishing est la version industrialisée de cette démarche : des emails d’entraînement réalistes envoyés à intervalles réguliers, un débrief pédagogique immédiat pour ceux qui cliquent, et des taux de clic et de signalement suivis dans le temps.

Soyons honnêtes sur les critères : un outil se justifie si vous dépassez une quinzaine de collaborateurs (en dessous, vos rituels manuels peuvent suffire), si vous avez besoin de chiffres datés — pour un assureur cyber, un questionnaire de sécurité client ou un audit —, ou si personne en interne n’a le temps de fabriquer des scénarios crédibles chaque mois. À l’inverse, une équipe de cinq personnes très soudée tirera davantage profit des mesures gratuites de ce guide que d’une plateforme.

Si vous êtes à l’aise techniquement, l’option open source existe : GoPhish est gratuit, mais demande un vrai investissement en temps et montre vite ses limites en entreprise — nous les détaillons sans langue de bois dans GoPhish en entreprise : pourquoi ça ne suffit pas. Pour comparer les solutions du marché sur des critères concrets, consultez notre comparatif des solutions de simulation et notre modèle de cahier des charges anti-phishing, qui liste les questions à poser avant de signer.

Questions fréquentes

Faut-il sanctionner un employé qui clique sur un email de phishing ?

Non — c’est contre-productif. Seuls 11 % des utilisateurs ayant cliqué signalent ensuite l’email (Verizon DBIR 2024), et chaque sanction réduit encore ce chiffre. L’objectif est qu’un collaborateur qui a cliqué vienne le dire dans les cinq minutes : c’est ce qui transforme un incident grave en incident maîtrisé.

Mes équipes sont compétentes, pourquoi tombent-elles quand même dans le panneau ?

Parce que le phishing attaque l’attention, pas l’intelligence. En médiane, moins de 60 secondes s’écoulent entre l’ouverture et la saisie des données (Verizon DBIR 2024). Les messages exploitent l’urgence, l’autorité et les habitudes — les mêmes automatismes qui rendent vos équipes efficaces.

Notre filtre anti-spam ne suffit-il pas ?

Non. Les attaques qui atteignent les boîtes de réception sont celles conçues pour contourner les filtres. En France, 55 % des cyberattaques significatives ont toujours le phishing comme vecteur d’entrée (CESIN 2026). La dernière ligne de défense reste la personne qui lit l’email.

Combien d’employés cliquent en moyenne lors d’un premier test ?

33,1 % au niveau mondial, 24,6 % dans les structures de 1 à 250 salariés (KnowBe4 2025). Un quart de clics au premier test est la norme, pas une anomalie de votre équipe.

Combien de temps faut-il pour voir une vraie amélioration ?

Environ −40 % de taux de clic après 90 jours de programme régulier, et un passage de 33,1 % à 4,1 % après 12 mois, soit −86 % (KnowBe4 2025). La régularité compte plus que l’intensité.

Par où commencer si je n’ai ni budget ni temps ?

Trois actions gratuites cette semaine : une réunion de 15 minutes sans culpabilisation, la règle du canal secondaire pour toute demande sensible, et une adresse de signalement unique. Elles couvrent les scénarios les plus coûteux.

Une formation annuelle en salle règle-t-elle le problème ?

Rarement seule : les connaissances s’estompent bien avant la session suivante, alors que les emails malveillants arrivent chaque semaine. Ce qui fonctionne, ce sont des rappels courts et réguliers, complétés par des mises en situation réalistes — nous expliquons pourquoi dans pourquoi le e-learning ne suffit plus.

Vos employés ne cliquent pas sur tout parce qu’ils sont négligents : ils cliquent parce qu’ils n’ont jamais été entraînés face à des attaques conçues pour les piéger en moins d’une minute. La réunion de 15 minutes, la règle du canal secondaire et l’adresse de signalement ne coûtent rien et changent déjà la donne cette semaine. La suite — mesurer, entraîner, progresser — est une affaire de régularité.