Simulation de phishing pour PME : testez et formez vos équipes

Le phishing reste la porte d'entrée la plus courante : selon le CESIN (baromètre 2026), 55 % des attaques significatives subies par les entreprises françaises commencent par un email d'hameçonnage. Une simulation reproduit ce premier contact dans un cadre maîtrisé. Voici les étapes d'une campagne sur nophi.sh.

1. 1

   Importer les participants

   Par fichier CSV ou par synchronisation avec Microsoft 365 / Entra ID. Chaque personne est rattachée à un département et à son manager, ce qui permet ensuite de lire les résultats par équipe.

2. 2

   Autoriser les envois chez votre messagerie

   Vous déclarez les serveurs d'envoi de nophi.sh dans Microsoft 365 ou Google Workspace (liste blanche). C'est l'étape la plus technique ; la documentation donne les réglages exacts et Thomas peut vous guider.

3. 3

   Choisir un scénario

   Dans la bibliothèque (faux partage SharePoint, fausse facture, faux changement de RIB, faux colis…) ou en écrivant votre propre modèle. Chaque scénario a un niveau de difficulté : facile, moyen ou difficile.

4. 4

   Planifier et étaler les envois

   Par défaut, les emails partent du lundi au vendredi entre 9 h et 17 h, répartis dans le temps pour que les collègues ne se préviennent pas tous en même temps.

5. 5

   Former au moment de l'erreur

   La personne qui clique arrive sur une page qui lui montre les indices qu'elle a manqués. Une formation peut lui être assignée automatiquement, avec des relances.

6. 6

   Relancer selon le risque

   Le mode autopilote reteste chaque personne à un rythme qui dépend de son niveau de risque (tous les 7, 14 ou 30 jours). Les récidivistes sont revus plus souvent, les bons élèves moins.

Comptez environ 15 minutes de configuration pour une première campagne, hors liste blanche chez votre messagerie. Elle peut partir le jour même.

Oui, si elle sert à former et si les salariés en connaissent le principe. Tester ses équipes relève de la sécurité du système d'information, que l'employeur doit assurer. Quatre points à régler avant la première campagne :

Informer les salariés

Le Code du travail (article L1222-4) interdit de collecter des informations sur un salarié par un dispositif qu'il ne connaît pas. Annoncez donc le programme : « des exercices de phishing auront lieu dans l'année ». Vous n'avez pas à donner les dates ni les scénarios.

Consulter le CSE

Si vous avez un CSE, il doit être informé et consulté avant la mise en place d'un outil qui permet de suivre l'activité des salariés (article L2312-38). Présentez l'objectif pédagogique, les données collectées et leur durée de conservation.

RGPD : l'intérêt légitime

Les résultats nominatifs sont des données personnelles. La base légale habituelle est l'intérêt légitime de l'employeur à sécuriser son système d'information (article 6.1.f du RGPD). Inscrivez le traitement à votre registre, limitez les données au nécessaire et fixez une durée de conservation. Chez nophi.sh, les données sont hébergées en France et supprimées 30 jours après la fin du contrat.

Une charte et aucune sanction

Mentionnez les exercices dans votre charte informatique et engagez-vous par écrit à ne pas sanctionner un clic. Un salarié qui a peur de la sanction ne signale plus rien, et le signalement est justement le réflexe que vous cherchez à obtenir.

Le moment où quelqu'un vient de cliquer est celui où il écoute le mieux. La page d'atterrissage explique en 3 minutes ce qui aurait dû l'alerter dans cet email précis : l'adresse de l'expéditeur, le lien qui ne mène pas où il prétend, le ton pressant, la demande inhabituelle.

Ensuite, des règles que vous définissez (par catégorie de scénario ou par action : clic, saisie) assignent une formation. Le salarié reçoit des rappels à J+3 et J+6, puis son manager est prévenu si rien n'est fait.

• Un cours intégré, « Sensibilisation au phishing : les fondamentaux » : 5 leçons et un quiz de 10 questions (80 % pour valider), en français et en anglais.
• Un éditeur de cours pour ajouter votre propre contenu (procédure de virement, charte, consignes internes).
• 40 articles de base de connaissances (20 en français, 20 en anglais) et un jeu public pour s'entraîner à repérer les emails piégés.

Chaque outil a sa place. Le tableau résume les différences qui comptent pour une PME ; les comparatifs détaillés donnent les sources.

Quand choisir autre chose. Si vous devez simuler des SMS, des QR codes ou des appels, nophi.sh ne le fait pas aujourd'hui. Si vos équipes parlent 20 langues, le catalogue de KnowBe4 est plus large. Si vous êtes déjà en Microsoft 365 E5, commencez par l'outil inclus. Et si vous avez du temps technique et un besoin ponctuel, GoPhish fait le travail.