Simulation de phishing : bonnes pratiques pour tester sans briser la confiance

Selon l’édition 2026 du Verizon Data Breach Investigations Report, 62 % des violations impliquent l’élément humain. Ce seul chiffre explique pourquoi la simulation de phishing est devenue un contrôle standard de tout programme de sécurité sérieux. Mais il cache une seconde vérité : un programme de simulation mal conçu peut faire de vrais dégâts. Il use la confiance, étouffe les signalements d’incident et apprend aux salariés que l’équipe sécurité cherche à les piéger.

Ce n’est pas l’outil qui fait la différence entre ces deux issues, c’est la conception du programme. Ce guide présente les pratiques qui distinguent les simulations qui changent les comportements de celles qui produisent du ressentiment, en s’appuyant sur ce que les données actuelles de Verizon, KnowBe4 et du NIST permettent réellement d’affirmer.

Pourquoi la simulation fonctionne, quand elle est bien faite

Les données en faveur des programmes bien conçus sont solides. Le benchmark KnowBe4 Phishing by Industry 2026 repose sur 42 millions d’e-mails de phishing simulés envoyés à 14,8 millions d’utilisateurs dans 64 000 organisations. Les organisations non formées y partent d’un taux de vulnérabilité au phishing de 33,2 % : environ un salarié sur trois interagit avec l’e-mail du test initial. Lorsque formation et simulation sont menées ensemble, ce taux descend à 20,1 % après quatre-vingt-dix jours et à 4,2 % après douze mois.

Nous citons volontairement les taux publiés et non un pourcentage de baisse : les propres résumés de KnowBe4 ont donné des chiffres de réduction différents pour les mêmes données, alors que deux taux se vérifient par n’importe qui.

Ce que cela signifie pour vous : c’est la continuité qui produit le résultat, pas un test ponctuel. La simulation doit être construite comme une boucle de mesure et d’entraînement, pas comme un événement annuel.

Et le résultat le plus important de cette boucle n’est pas le clic, c’est le signalement. Un e-mail de phishing signalé en deux minutes, c’est une longueur d’avance pour la réponse à incident. Un e-mail supprimé en silence, ou cliqué en silence, ne rapporte rien. Chaque décision de conception doit pousser dans une seule direction : plus de signalements, plus vite.

Le but d’une simulation de phishing n’est pas de prendre un salarié en faute. C’est de rendre le signalement d’un e-mail suspect aussi machinal que le verrouillage de son écran.

Huit bonnes pratiques pour la simulation de phishing

1. Définir l’objectif avant le premier envoi

« Réduire les clics » n’est pas un objectif, c’est un effet secondaire. Écrivez ce que vous cherchez vraiment à changer : le délai avant le premier signalement, la part des salariés qui signalent au lieu d’ignorer, le nombre de récidivistes dans les équipes à risque. Faites valider ces objectifs et les règles du jeu (aucune sanction, aucune exposition publique) par la direction. Le programme sera ainsi protégé le jour où un cadre dirigeant cliquera. Et un cadre dirigeant cliquera.

2. Établir une base de référence honnête

Lancez la première campagne avant toute annonce ou formation, avec un modèle de difficulté moyenne, sur l’ensemble de l’organisation. C’est la seule mesure non biaisée dont vous disposerez jamais, et toute amélioration revendiquée plus tard en dépendra. Résistez à la tentation d’adoucir le premier test pour obtenir de meilleurs chiffres.

3. Tester chaque mois, tout rendre aléatoire

Les réflexes s’émoussent et les effectifs changent. Un rythme mensuel, avec des heures d’envoi aléatoires, une rotation des modèles et des groupes cibles échelonnés, évite les deux échecs classiques : la « saison du phishing » trimestrielle que tout le monde apprend à anticiper, et l’envoi massif unique éventé en quelques minutes sur la messagerie interne.

4. Doser la difficulté délibérément

Si chaque simulation est facile à repérer, vos indicateurs vous flattent. Si chaque simulation est un spear phishing parfaitement ciselé, les salariés apprennent l’impuissance. La NIST Phish Scale permet de noter de façon reproductible la difficulté de détection de chaque modèle, selon les indices qu’il contient et son adéquation au contexte. Vous pouvez alors mélanger les niveaux à dessein et interpréter les taux de clic équitablement : 12 % de clics sur un modèle difficile valent mieux que 4 % sur un modèle évident.

Un exemple concret : un avis de « Colis Express », un transporteur fictif écrivant depuis colisexpress.example, qui annonce « adresse de livraison incomplète » est un modèle facile ; domaine d’expéditeur, formule d’appel générique et urgence s’y cumulent. La version du même avis qui correspond à une commande que le salarié attend réellement et imite un circuit d’achat interne est bien plus difficile. Peser les deux résultats sur la même balance vous induirait en erreur.

5. Ne jamais sanctionner un clic

C’est le point sur lequel il ne faut pas céder. Les programmes qui retirent des primes, exposent des noms ou menacent de licenciement après un échec en simulation obtiennent toujours le même résultat : les signalements s’effondrent, les salariés se préviennent entre eux et l’équipe sécurité perd la relation dont elle a le plus besoin pendant un vrai incident. Accompagnez les personnes, ne faites remonter que les comportements durables, et écrivez tout cela noir sur blanc dans la charte du programme.

6. Mesurer le signalement, pas seulement le clic

Le taux de clic est l’indicateur vitrine de la simulation de phishing. Les chiffres qui prédisent la résilience réelle sont le taux de signalement, le ratio signalements/clics et le délai médian entre la réception de l’e-mail et le premier signalement. Une équipe à 8 % de clics et 70 % de signalements est bien plus sûre qu’une équipe à 3 % de clics où personne ne signale rien.

Nous détaillons le calcul et la restitution de ces indicateurs dans notre article sur les indicateurs de simulation de phishing.

7. Aller au-delà de l’e-mail

Les vrais attaquants l’ont fait depuis longtemps. Le phishing vocal (vishing), le phishing par SMS (smishing), les leurres par QR code (quishing) et les rafales de notifications MFA sont devenus des techniques d’accès initial ordinaires. Un programme limité à l’e-mail mesure le modèle de menace d’hier. Intégrez des scénarios SMS et QR code à votre rotation, et complétez les simulations par des mises en situation pour les canaux que vous ne pouvez pas simuler sans risque. Nous suivons l’évolution du mélange des canaux dans notre synthèse des statistiques d’ingénierie sociale.

8. Segmenter selon le risque, pas selon l’organigramme

La finance valide les paiements, les assistants de direction gèrent agendas et déplacements, les administrateurs informatiques détiennent des accès privilégiés. Chacun fait face à des leurres différents et mérite des scénarios différents. Les programmes matures attribuent à chaque salarié un niveau de risque selon son rôle, ses accès et son historique en simulation, puis ajustent la difficulté et la fréquence en conséquence. C’est exactement le problème que résout le Human Risk Score (score de risque humain) : transformer des résultats de simulation épars en un signal de risque individuel sur lequel agir.

Un plan de déploiement sur 90 jours

Jours 1 à 15 : les fondations. Rédigez la charte du programme (objectifs, règles du jeu, absence de sanction), obtenez la validation de la direction, installez et faites connaître le bouton de signalement du phishing. Si les salariés n’ont aucun moyen de signaler en un clic, réglez ce point avant tout le reste.

Jours 16 à 30 : la base de référence. Lancez la campagne initiale non annoncée, avec un modèle de difficulté moyenne noté selon la Phish Scale. Relevez le taux de clic, le taux de signalement et le délai avant le premier signalement. Présentez les résultats à la direction sans nommer personne.

Jours 31 à 60 : le premier cycle de formation. Annoncez le programme continu. Proposez des formations courtes et adaptées au rôle : les travaux sur la vitesse d’oubli plaident pour des séances brèves et fréquentes plutôt qu’un marathon annuel. Lancez la deuxième campagne avec rotation des modèles et envois aléatoires.

Jours 61 à 90 : l’ancrage dans la routine. Passez au rythme mensuel. Ajoutez un scénario hors e-mail. Démarrez la boucle d’accompagnement des récidivistes. Publiez un tableau de bord du programme montrant la tendance des taux de clic et de signalement : la transparence sur les résultats agrégés construit la confiance que les programmes punitifs détruisent.

À partir du 91ᵉ jour, le programme devient un volant d’inertie : simuler, mesurer, accompagner, augmenter la difficulté, recommencer. La simulation de phishing NOUSEC automatise la mécanique (rotation des modèles, réglage de la difficulté, planification individuelle et formation au moment du clic), pour qu’une petite équipe sécurité puisse mener un programme à l’échelle d’une grande entreprise.

Les erreurs qui font échouer les programmes

Les mêmes schémas d’échec reviennent sans cesse :

• tester à intervalles trimestriels que tout le monde anticipe ;
• juger le programme sur le seul taux de clic ;
• utiliser des leurres à forte charge émotionnelle (fausse prime, faux plan de licenciement) qui provoquent un rejet au lieu d’un apprentissage ;
• exclure les dirigeants des tests ;
• considérer la simulation comme le produit lui-même plutôt que comme un instrument de mesure.

Le phishing, l'usurpation (spoofing) et leurs variantes sont des menaces bien assez réelles ; inutile de fabriquer de la colère en interne.

Un programme de simulation de phishing est, au fond, un travail de construction de la confiance mené à grande échelle. Conduit avec des objectifs clairs, une mesure honnête et zéro sanction, il vous donne ce que vous voulez le jour où une vraie attaque arrive dans une boîte de réception : moins de clics, et beaucoup plus de signalements.