Vous pouvez couvrir 80 % du risque humain sans dépenser un euro. L’État met à disposition des ressources gratuites conçues pour des salariés non techniciens (formation en ligne, kit d’affiches, entraînement à la crise), et une simulation d’hameçonnage — un faux e-mail ou SMS envoyé exprès pour tester les réflexes — peut se mener soit à la main, soit avec un outil open source, soit avec un prestataire.
Cette fiche s’adresse à une TPE ou PME de moins de vingt salariés, sans service informatique. Elle liste les ressources officielles, explique comment monter une simulation de phishing (interne ou externalisée) sans se mettre en faute côté CNIL et RH, et donne le protocole à trois mois. Éléments relevés le 31 août 2026 sur cybermalveillance.gouv.fr, cyber.gouv.fr (ANSSI), cnil.fr et documentations éditeurs.
Ce que la sensibilisation change réellement
Les attaques par rançongiciel qui touchent les TPE et PME commencent, dans l’immense majorité des cas, par un e-mail piégé qu’un salarié ouvre. Former, c’est réduire la surface d’attaque humaine — la seule qui ne se patche pas.
| Indicateur ANSSI 2024 | Chiffre | Sens |
|---|---|---|
| Événements de sécurité traités par l’ANSSI | 4 386 (+15 % vs 2023) | Le volume monte, année après année |
| Attaques par rançongiciel connues | 144 | Stable en volume, plus ciblées |
| Part des PME/TPE/ETI dans les victimes rançongiciel | 37 % (+3 pts vs 2023) | Cible n°1, en hausse |
| Établissements d’enseignement supérieur touchés | 12 % | Élargissement des cibles |
Source: ANSSI — Panorama de la cybermenace 2024, cyber.gouv.fr, relevé le 31 août 2026.
Une sensibilisation qui prend fait baisser le taux de clic sur une pièce jointe piégée et, plus important encore, fait monter le taux de signalement — l’indicateur qui compte, parce qu’un signalement rapide arrête une attaque en cours.
Les ressources gratuites officielles
Trois dispositifs suffisent à couvrir l’essentiel pour une petite structure. Tous sont gratuits et pensés pour des non-spécialistes.
| Ressource | Ce que c’est | Format | Pour qui |
|---|---|---|---|
| SensCyber | E-sensibilisation aux cyberattaques courantes et aux bons réflexes | Formation en ligne, 3 modules d’environ 30 min | Tous les collaborateurs |
| Kit de sensibilisation | Supports prêts à diffuser pour une campagne interne | 9 thématiques, 6 formats (fiches, mémos, affiches, BD, vidéos, quiz) | Pour animer la sensibilisation dans la durée |
| SenCy-Crise | Entraînement en ligne à la gestion d’une crise cyber | Formation en ligne, scénarios | Dirigeant, responsable, référent |
| SecNumacadémie (ANSSI) | MOOC sur les fondamentaux | En refonte 2026 — à vérifier sur cyber.gouv.fr | Ceux qui veulent approfondir |
Source: cybermalveillance.gouv.fr et cyber.gouv.fr (ANSSI), relevé le 31 août 2026.
SensCyber est le socle : il fait comprendre les attaques les plus fréquentes — hameçonnage, rançongiciel, faux ordre de virement — et les réflexes qui les évitent. Le kit prend le relais dans la durée, en donnant de quoi entretenir l’attention sans rien produire soi-même.
Tester par des simulations d’hameçonnage : email et SMS
Une formation ne se mesure vraiment que quand elle est mise à l’épreuve. La simulation d’hameçonnage consiste à envoyer volontairement un faux e-mail (« phishing ») ou un faux SMS (« smishing ») imitant une attaque réaliste, puis à mesurer les comportements. Deux objectifs, pas plus :
- Voir ce qui passe encore malgré la formation (points de non-vigilance à travailler au prochain module).
- Renforcer le réflexe de signalement : chaque simulation doit s’accompagner d’une communication rappelant l’existence du bouton « Signaler un e-mail suspect » ou de l’adresse dédiée.
Scénarios réalistes à faire tourner
Les simulations réussies collent à ce que vos équipes voient vraiment passer, pas à des scénarios de laboratoire.
| Vecteur | Scénario réaliste | Signal à repérer |
|---|---|---|
| Faux message d’un fournisseur signalant un changement de RIB | Adresse expéditeur légèrement modifiée, RIB en pièce jointe | |
| Fausse invitation de la « DRH » à consulter un « bulletin de paie » | URL de connexion qui n’est pas celle du portail habituel | |
| Prétendu message du dirigeant demandant un virement urgent (fraude au président) | Ton pressant, secret demandé, contournement de procédure | |
| SMS | Faux SMS Chronopost / La Poste : « colis en attente, réglez les frais » | Lien raccourci, orthographe, domaine inconnu |
| SMS | Faux SMS DGFiP ou Ameli : « remboursement disponible » | Aucune administration ne demande vos identifiants par SMS |
| Prétendu partage de fichier Microsoft/Google avec bouton « Ouvrir » | URL de destination qui n’est pas celle du service invoqué |
Source: typologies documentées par cybermalveillance.gouv.fr et signal-spam.fr, 31 août 2026.
Progressivité : commencer naïf, finir ciblé
Un test toujours facile ne fait pas monter les compétences ; un test brutal démoralise. La bonne courbe :
- Test naïf (mois 1) : fautes d’orthographe, adresse d’expéditeur en
.xyz, formule impersonnelle. Sert de baseline. - Test moyen (mois 2) : usurpation crédible d’un service utilisé (Slack, Microsoft 365, banque), URL proche mais non identique. Sépare les vigilants des distraits.
- Test ciblé (mois 3) : fraude au président ou usurpation d’un fournisseur connu, personnalisation légère (prénom, secteur). Révèle les scénarios réellement dangereux.
Après chaque simulation, un débriefing collectif de 15 minutes, jamais nominatif, qui explique où l’attaque prenait et pointe deux ou trois signaux ratés.
Cadre juridique et RH : ce qu’il faut prévenir avant de tester
Une simulation d’hameçonnage est légale, mais soumise à trois obligations.
- Information préalable des salariés (article L1222-4 du Code du travail) : les salariés doivent être informés, avant la mise en place, que des simulations peuvent être menées. La formulation peut rester générale (pas besoin d’annoncer chaque date), mais elle doit exister. Un e-mail au personnel ou une mention à la charte informatique suffit.
- Consultation du CSE au-delà de 50 salariés (article L2312-38 du Code du travail) : le comité social et économique est informé et consulté sur les moyens de contrôle de l’activité des salariés. Une simulation d’hameçonnage entre dans ce champ.
- RGPD et proportionnalité : minimiser les données collectées (taux de clic global, jamais un fichier nominatif des personnes qui ont cliqué), et interdire toute sanction individuelle fondée sur le résultat d’une simulation. C’est la position constante de la CNIL sur les tests de sensibilisation.
Un débriefing nominatif ou une sanction transforme la simulation en dispositif disciplinaire déguisé. C’est illégal, et cela ruine l’adhésion des équipes pour les campagnes suivantes.
Faire en interne, ou passer par un prestataire ?
Trois voies possibles selon votre taille, votre compétence IT interne et votre budget annuel disponible.
Le tableau ci-dessous résume les trois options.
| Approche | Ce qu’il faut | Coût pour 10 personnes | Ce qu’on gagne |
|---|---|---|---|
| À la main | Une adresse e-mail neutre + tableur pour compter | 0 € | Simplicité, aucun outil à maintenir |
| GoPhish (open source) | Serveur (Docker/Linux), 1 à 2 j-h d’installation | 0 € de licence + hébergement | Scénarios réutilisables, reporting automatique |
| Plateforme SaaS | Abonnement (Riot, Sophos Phish Threat, KnowBe4) | 300 à 1 500 €/an HT | Bibliothèque de scénarios FR, micro-formations poussées automatiquement à qui clique |
| Prestataire full-service | Cabinet cyber local + plateforme comprise | 1 500 à 4 000 €/an HT | Débriefing animé, scénarios sur mesure, obligations légales couvertes |
Source: relevé sur getgophish.com, sophos.com/products/phish-threat, tryriot.com, knowbe4.com et devis TPE octobre 2025 – août 2026.
Cybermalveillance.gouv.fr ne fournit pas de plateforme de simulation phishing directement. Le service oriente vers ses partenaires labellisés ExpertCyber pour l’accompagnement.
Le protocole en trois mois
Un déploiement propre tient sur un trimestre, en gardant du temps pour laisser passer les congés et les périodes commerciales chargées.
Passé le trimestre, on entre en régime de croisière : une simulation tous les deux à trois mois, un débriefing bref à chaque fois, et un module SensCyber ou une capsule vidéo du kit tous les six mois pour ancrer.
Ce que mesurer, et comment débriefer sans humilier
Trois indicateurs suffisent, tous mesurés en taux collectif, jamais nominatifs.
| Indicateur | Calcul | Ce qu’il dit |
|---|---|---|
| Taux de clic | Nombre de clics ÷ nombre d’e-mails ouverts | Point de départ. Objectif : baisser d’une simulation à l’autre |
| Taux de signalement | Nombre de signalements ÷ nombre d’e-mails reçus | Objectif : monter. C’est l’indicateur qui protège vraiment |
| Temps de réaction | Délai médian entre envoi et premier signalement | Une simulation signalée en 15 min interrompt une attaque réelle |
Source: bonnes pratiques cybermalveillance.gouv.fr, CNIL et documentation GoPhish, relevé le 31 août 2026.
Le débriefing tient en 15 minutes, en réunion d’équipe. Trois règles :
- Jamais de nom. On parle du taux collectif et des signaux ratés, pas des personnes.
- Reconnaître l’astuce. L’attaque était crédible ; se faire prendre n’est pas honteux, c’est une donnée.
- Rappeler le geste attendu : bouton « Signaler » ou adresse dédiée, dans les 15 minutes.
En clair, par où démarrer
Si rien n’est en place, informez l’équipe (et le CSE si vous êtes concerné) cette semaine, puis lancez SensCyber pour tout le monde. Dans les trente jours qui suivent, déployez le bouton « Signaler un e-mail » sur les boîtes pro et diffusez deux affiches du kit cybermalveillance. Au bout de deux mois, envoyez une première simulation naïve — à la main si vous êtes moins de dix, avec GoPhish ou une plateforme au-delà — et débriefez collectivement en 15 minutes. Répétez tous les deux à trois mois en montant progressivement en difficulté. Ne sanctionnez jamais individuellement : c’est illégal, et cela casse la mécanique.
Sur des sujets voisins, le test faut-il digitaliser mon entreprise situe la cyber dans les priorités numériques d’une TPE, ranger ses fichiers dans une arborescence qui tient traite la couche « données » que la sensibilisation protège, et évaluer un organisme de formation sert de garde-fou si vous partez sur un prestataire cyber accompagné.
Sources
- SensCyber, e-sensibilisation à la cybersécurité, cybermalveillance.gouv.fr — cybermalveillance.gouv.fr/tous-nos-contenus/senscyber-e-sensibilisation-cybersecurite
- Se former à la cybersécurité, cybermalveillance.gouv.fr — cybermalveillance.gouv.fr/tous-nos-contenus/actualites/formation-cybersecurite
- Panorama de la cybermenace 2024, ANSSI — cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2024-mobilisation-et-vigilance-face-aux-attaquants
- Formations et MOOC SecNumacadémie, ANSSI — cyber.gouv.fr/se-former-la-cybersecurite
- Charte informatique et information des salariés (art. L1222-4, L2312-38 Code du travail), Légifrance
- Simulation d’hameçonnage : cadre CNIL — cnil.fr/fr/la-cybersecurite-au-quotidien
- GoPhish, projet open source — getgophish.com
