Mis à jour le samedi 14 novembre 2026
Réponse courte : pour sensibiliser ses salariés au phishing dans une PME, il faut combiner une courte formation de départ, des simulations d’hameçonnage régulières sans sanction, une procédure de signalement simple et des protections techniques (double authentification, filtrage). Le parcours gratuit SensCyber de Cybermalveillance.gouv.fr et des rappels trimestriels suffisent à installer les bons réflexes.
Points clés
- L’hameçonnage est la première menace traitée par Cybermalveillance.gouv.fr en 2025, tous publics confondus, en hausse de 70 %.
- Selon le rapport Verizon DBIR 2025, l’élément humain intervient dans environ 60 % des violations de données.
- Une formation gratuite existe : SensCyber, trois modules de 25 à 45 minutes, avec attestation de suivi.
- Une simulation de phishing par trimestre, suivie d’un débriefing sans sanction, entretient les réflexes dans la durée.
- Le bon indicateur n’est pas seulement le taux de clic, mais le taux de signalement et sa rapidité.
La sensibilisation au phishing en PME est devenue une mesure de base, au même titre que l’antivirus ou la sauvegarde. Les pirates visent d’abord les personnes : un comptable pressé, une assistante qui reçoit un faux bon de livraison, un dirigeant en déplacement. Ce guide explique comment former vos salariés à l’hameçonnage, organiser des simulations, mesurer les progrès et éviter les erreurs qui découragent les équipes.
Pourquoi le phishing est-il la première menace pour les PME ?
Le phishing est la première menace parce qu’il est peu coûteux pour l’attaquant et qu’il contourne les protections techniques en trompant directement un salarié.
L’hameçonnage (ou phishing) désigne un e-mail, un SMS ou un appel frauduleux qui se fait passer pour un tiers de confiance (banque, fournisseur, administration, Microsoft) afin d’obtenir des identifiants, des coordonnées bancaires ou l’ouverture d’une pièce jointe piégée. C’est la définition retenue par Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes.
Dans son communiqué du 26 mars 2026, Cybermalveillance.gouv.fr indique avoir assisté plus de 500 000 victimes en 2025, soit 20 % de plus qu’en 2024. L’hameçonnage arrive au premier rang des menaces, tous publics confondus, en hausse de 70 %. Les fraudes au virement, souvent consécutives à un piratage de compte, progressent de 170 %.
Les chiffres internationaux vont dans le même sens. Le rapport Verizon Data Breach Investigations Report (DBIR) 2025 attribue environ 60 % des violations de données à un facteur humain. Il relève aussi que le rançongiciel est présent dans 88 % des violations subies par les petites et moyennes organisations étudiées, contre 39 % pour les grandes. Or un rançongiciel commence très souvent par un identifiant volé ou une pièce jointe ouverte.
Pourquoi les PME sont-elles plus exposées que les grands groupes ?
Une PME n’a généralement ni équipe sécurité, ni centre de supervision. Un salarié a souvent plusieurs casquettes et accès à la messagerie, à la banque et aux fichiers clients. Un seul clic peut donc ouvrir l’ensemble du système, alors qu’un grand groupe cloisonne les accès.
Comment sensibiliser ses salariés au phishing, étape par étape ?
La méthode la plus efficace consiste à former une fois, tester régulièrement et corriger sans sanctionner, en appuyant le tout sur des protections techniques.
Voici la procédure que nous recommandons pour une TPE ou une PME de 5 à 50 salariés :
- Faire un état des lieux : Listez les adresses e-mail, les comptes Microsoft 365 ou Google Workspace, et repérez les postes exposés : comptabilité, direction, accueil, RH.
- Poser les protections techniques de base : Activez la double authentification sur toutes les messageries, le filtrage anti-hameçonnage et un bouton de signalement dans Outlook ou Gmail.
- Organiser une session de lancement : Réunissez l’équipe 45 minutes à 1 heure, avec des exemples réels reçus par l’entreprise et la règle unique : en cas de doute, on signale.
- Faire suivre le parcours SensCyber : Inscrivez chaque salarié au parcours gratuit de Cybermalveillance.gouv.fr et conservez les attestations de suivi.
- Lancer une première simulation : Envoyez un faux e-mail réaliste mais inoffensif, sans collecter de mot de passe, pour mesurer le taux de clic et le taux de signalement.
- Débriefer sans sanctionner : Présentez les résultats de façon collective et anonyme, expliquez les indices qui trahissaient le piège et félicitez ceux qui ont signalé.
- Répéter chaque trimestre : Planifiez une simulation et un rappel de 10 à 15 minutes par trimestre, en variant les scénarios : faux colis, faux Microsoft 365, faux RIB fournisseur.
Si vous souhaitez déléguer ces étapes, notre offre de sensibilisation au phishing pour les PME couvre la session de lancement, les campagnes de simulation et le suivi des résultats.
Que faut-il apprendre aux salariés pour repérer un e-mail de phishing ?
Il faut apprendre à vérifier quatre éléments avant tout clic : l’expéditeur réel, l’adresse du lien, le ton d’urgence et la demande inhabituelle.
Les signaux d’alerte à connaître
- L’adresse de l’expéditeur : le nom affiché peut être « Service comptabilité » alors que l’adresse réelle provient d’un domaine inconnu ou légèrement modifié.
- Le lien : en survolant le lien avec la souris, sans cliquer, l’adresse réelle s’affiche. Une page de connexion Microsoft hébergée ailleurs que sur un domaine Microsoft est un piège.
- L’urgence : « votre compte sera suspendu dans 24 h », « paiement à effectuer aujourd’hui ». La pression vise à empêcher la réflexion.
- La demande inhabituelle : changement de RIB d’un fournisseur, virement confidentiel demandé par la direction, carte cadeau à acheter.
- La pièce jointe inattendue : facture, bon de livraison ou fichier compressé que personne n’attendait.
Le cas du faux changement de RIB mérite une attention particulière, car il touche directement la trésorerie. Nous l’avons détaillé dans notre article sur la fraude au faux ordre de virement en PME.
La règle unique à retenir
Un salarié n’a pas besoin de devenir expert. Il doit retenir une seule règle : en cas de doute, on ne clique pas et on signale. Toute demande d’argent ou de changement de coordonnées bancaires se vérifie par un appel au numéro habituel, jamais à celui indiqué dans le message.
Qu’est-ce qu’une simulation de phishing et comment l’organiser ?
Une simulation de phishing est l’envoi volontaire d’un faux e-mail piégé, inoffensif, pour mesurer et entraîner la vigilance des salariés en conditions réelles.
La simulation transforme la théorie en réflexe. Un salarié qui a « mordu » une fois à un faux mail et compris pourquoi retient bien mieux la leçon qu’après une présentation. Le faux lien mène vers une page pédagogique qui explique les indices manqués.
Les règles d’une simulation réussie
- Informer l’équipe qu’un programme de sensibilisation existe, sans annoncer la date des envois.
- Ne jamais collecter de vrais mots de passe : la page de connexion factice ne doit rien enregistrer.
- Choisir des scénarios crédibles pour votre activité : faux colis, faux partage de document, faux message Microsoft 365, faux fournisseur.
- Prévenir la direction et le service informatique pour éviter une fausse alerte.
- Exploiter les résultats de façon collective et anonyme.
Quels indicateurs suivre ?
Le taux de clic mesure la part de salariés ayant cliqué sur le lien. Le taux de saisie mesure ceux qui ont entré un identifiant. Le taux de signalement mesure ceux qui ont prévenu le service informatique. C’est ce dernier qui compte le plus : un seul signalement rapide permet de bloquer une vraie attaque pour toute l’entreprise.
Quelles solutions choisir pour former une petite équipe ?
Une PME peut combiner des ressources publiques gratuites, une plateforme de simulation et un accompagnement par un prestataire, selon sa taille et son temps disponible.
| Option | Contenu | Avantages | Limites |
|---|---|---|---|
| SensCyber (Cybermalveillance.gouv.fr) | E-sensibilisation gratuite, 3 modules de 25 à 45 min, attestation de suivi | Gratuit, officiel, adapté aux TPE et PME | Pas de simulation sur votre messagerie |
| Guides de l’ANSSI | Guide TPE/PME en treize questions, guide d’hygiène informatique | Référence officielle, utile pour le dirigeant | Lecture, pas d’entraînement pratique |
| Simulation intégrée à Microsoft 365 | Outil de simulation d’attaques inclus dans certaines licences Microsoft Defender | Directement dans votre environnement | Selon la licence, paramétrage technique |
| Plateforme spécialisée | Campagnes automatiques, modules courts, tableaux de bord | Suivi fin, scénarios variés | Abonnement, temps d’administration |
| Accompagnement par un prestataire | Session sur site, campagnes, débriefing, suivi | Clé en main, adapté à vos vrais risques | Sur devis |
Pour une TPE, le duo SensCyber et une simulation trimestrielle est souvent suffisant. Au-delà de 15 à 20 postes, l’intégration à l’infogérance PME et TPE permet de suivre les résultats dans la durée, en même temps que les mises à jour et les sauvegardes. Si vous êtes sous Microsoft 365, notre page administration Microsoft 365 et Google Workspace détaille les réglages de sécurité de la messagerie.
Quelles protections techniques doivent accompagner la formation ?
La formation ne suffit jamais seule : la double authentification, le filtrage des e-mails et une procédure de réponse rapide limitent les dégâts quand un salarié se fait piéger.
La double authentification (ou authentification multifacteur) exige un second élément, comme une application sur le téléphone, en plus du mot de passe. Un identifiant volé par phishing devient alors beaucoup plus difficile à exploiter. Nous expliquons sa mise en place dans notre article sur la double authentification Microsoft 365 en PME.
Le filtrage anti-hameçonnage de la messagerie, l’affichage d’une bannière « expéditeur externe » et un bouton « Signaler » dans Outlook réduisent le volume de messages piégés et facilitent les signalements. Enfin, des sauvegardes déconnectées et testées garantissent que l’entreprise peut repartir même après un rançongiciel.
Pour vérifier l’ensemble de ces points, un audit de cybersécurité PME dresse la liste des failles prioritaires. Notre checklist cybersécurité pour PME offre aussi un premier contrôle rapide.
Que faire quand un salarié a cliqué sur un lien de phishing ?
Il faut agir dans l’heure : prévenir le référent informatique, changer le mot de passe concerné, couper les sessions ouvertes et surveiller les comptes.
Le salarié ne doit pas avoir peur d’avouer son erreur. Un clic signalé en cinq minutes se traite facilement ; un clic caché pendant une semaine peut finir en fraude au virement ou en chiffrement des données. Cybermalveillance.gouv.fr recommande aussi de conserver les preuves, notamment le message reçu, et de porter plainte en cas de préjudice.
Le déroulé détaillé est expliqué dans notre guide que faire après avoir cliqué sur un lien de phishing. Si l’attaque est en cours, notre service de réponse à incident cyber intervient 24 h/24 et 7 j/7.
Où signaler le message ?
En France, un e-mail suspect se signale sur Signal Spam, un SMS frauduleux au 33700 (gratuit) et un site d’hameçonnage sur Phishing Initiative, qui fait bloquer l’adresse. Ces signalements, recommandés par Cybermalveillance.gouv.fr, aident à protéger les autres victimes.
Erreurs à éviter
- Sanctionner ou afficher nominativement les salariés piégés : ils cesseront de signaler leurs erreurs, ce qui est le pire scénario.
- Former une seule fois puis ne plus rien faire : les réflexes s’effacent en quelques mois sans rappel.
- Oublier la direction : les dirigeants et la comptabilité sont les cibles favorites de la fraude au virement.
- Collecter de vrais mots de passe lors d’une simulation : cela crée un risque inutile et nuit à la confiance.
- Compter uniquement sur la formation sans double authentification ni sauvegarde testée.
L’avis de l’expert
Dans les grands comptes où j’ai piloté le patch management, la leçon était toujours la même : la technique corrige les failles des logiciels, mais pas celles des habitudes. Les campagnes de simulation y étaient organisées comme les mises à jour, avec un calendrier fixe, des indicateurs et un retour d’expérience après chaque cycle.
Pour une PME, je conseille de caler la sensibilisation sur le même rythme que les correctifs : un cycle par trimestre. Le mois 1, une simulation ; le mois 2, un débriefing de 15 minutes avec les vrais exemples reçus ; le mois 3, un contrôle des protections (double authentification, sauvegardes). Mon indicateur favori est le délai entre l’envoi et le premier signalement. Quand il passe sous les dix minutes, l’équipe est devenue un vrai capteur d’alerte.
Et pour les PME du 92 ?
SOSPC82 accompagne les TPE et PME des Hauts-de-Seine : La Garenne-Colombes, Colombes, Courbevoie, Nanterre, Puteaux, Rueil-Malmaison, Levallois-Perret, Neuilly-sur-Seine, Boulogne-Billancourt et les communes voisines. Nous organisons la session de sensibilisation dans vos locaux, avec des exemples tirés de votre propre messagerie, puis nous pilotons les simulations à distance.
En cas de clic malheureux ou de compte piraté, nous intervenons sur place 24 h/24 et 7 j/7 dans le département, et à distance partout en France. Consultez nos zones d’intervention dans les Hauts-de-Seine pour vérifier votre commune.
Questions fréquentes
Combien de temps faut-il pour former ses salariés au phishing ?
Une première session de 45 minutes à 1 heure suffit pour poser les bases, complétée par le parcours gratuit SensCyber de Cybermalveillance.gouv.fr (trois modules de 25 à 45 minutes). Ensuite, des rappels courts de 10 à 15 minutes chaque trimestre entretiennent les réflexes.
Est-il légal d’envoyer de faux mails de phishing à ses salariés ?
Oui, une simulation d’hameçonnage est possible si elle sert la sécurité et reste proportionnée. Il faut informer les salariés qu’un programme de sensibilisation existe, ne pas collecter de vrais mots de passe et ne pas utiliser les résultats pour sanctionner. Consultez le CSE s’il existe.
Que doit faire un salarié qui a cliqué sur un lien de phishing ?
Il prévient immédiatement son responsable ou son prestataire informatique, sans attendre ni supprimer le message. S’il a saisi un mot de passe, celui-ci doit être changé tout de suite et les sessions ouvertes déconnectées. Plus le signalement est rapide, plus les dégâts sont limités.
La sensibilisation au phishing suffit-elle à protéger une PME ?
Non. Elle réduit fortement le risque, mais doit être combinée à des mesures techniques : double authentification, filtrage des e-mails, mises à jour, sauvegardes testées. Un salarié bien formé finira un jour par cliquer ; ces protections limitent alors les conséquences.
Où signaler un e-mail ou un SMS de phishing en France ?
Un e-mail suspect se signale sur Signal Spam, un SMS frauduleux au 33700 et un faux site sur Phishing Initiative. En entreprise, il faut aussi le signaler en interne pour que les collègues soient prévenus et que le message soit bloqué.
Existe-t-il une formation gratuite au phishing pour les TPE ?
Oui. SensCyber, proposé par Cybermalveillance.gouv.fr, est gratuit et ouvert aux collaborateurs des TPE et PME, avec une attestation de suivi. L’ANSSI met aussi à disposition le guide « La cybersécurité pour les TPE/PME en treize questions ».
En résumé
- L’hameçonnage est la première menace signalée en France en 2025 : la sensibilisation des salariés est une priorité pour toute PME.
- La méthode efficace : une formation courte, le parcours gratuit SensCyber, une simulation par trimestre et un débriefing sans sanction.
- La formation doit s’appuyer sur la double authentification, le filtrage des e-mails et des sauvegardes testées.
Vous voulez former votre équipe et mesurer sa vigilance ? Découvrez notre accompagnement en sensibilisation au phishing pour PME ou appelez le 07 69 36 92 60 : devis gratuit sous 24 h.
K.A, fondateur SOSPC82
Sources
- Cybermalveillance.gouv.fr dévoile les tendances de la menace cyber en France, Cybermalveillance.gouv.fr, 26 mars 2026
- Que faire en cas de phishing ou hameçonnage ?, Cybermalveillance.gouv.fr, mise à jour du 26 octobre 2026
- SensCyber, une e-sensibilisation à la cybersécurité, Cybermalveillance.gouv.fr, mise à jour du 28 janvier 2026
- La cybersécurité pour les TPE/PME en treize questions, ANSSI
- Verizon 2025 DBIR: Key Takeaways for Modern Email Security, Abnormal AI, 25 avril 2025
- Verizon’s 2025 DBIR: The state of play in cybersecurity, Retarus, 2025