Le phishing désigne toute tentative d’obtenir des informations sensibles (identifiants, coordonnées bancaires, accès réseau) en se faisant passer pour un interlocuteur de confiance par email, SMS ou appel. La sensibilisation des salariés au phishing vise à modifier leurs réflexes face à ces sollicitations frauduleuses. Les recherches récentes nuancent toutefois l’efficacité réelle de ces programmes selon leur format et leur fréquence.
Phishing en entreprise : ce que montrent les données récentes
Un essai randomisé mené sur environ 19 500 salariés de UC San Diego Health (Ho et al., IEEE Symposium on Security and Privacy 2025) a mesuré l’impact d’un dispositif d’embedded training. Résultat : la réduction des clics n’atteint qu’environ 2 points, et la formation annuelle obligatoire n’a aucun effet statistiquement significatif sur la propension à cliquer sur un lien frauduleux.
Une revue de portée publiée en 2024 dans Computers & Security (Marshall, Sturman & Auton) confirme cette tendance. La plupart des programmes de sensibilisation améliorent les connaissances et les attitudes déclarées des collaborateurs, mais produisent un effet faible ou non significatif sur le comportement réel : clics sur des liens malveillants, signalement d’emails suspects, transmission de données.
Les gains comportementaux obtenus s’érodent rapidement si la sensibilisation n’est pas continue. Un module annuel suivi de quelques simulations espacées ne suffit pas à ancrer des réflexes durables face aux menaces de phishing.
Formation continue contre module annuel : l’écart de résultats en cybersécurité
La distinction entre formation ponctuelle et formation continue est le point de bascule. Selon les données compilées par KnowBe4 (2026), la susceptibilité au phishing chute significativement après un an de sensibilisation régulière, avec des campagnes de simulation espacées de quelques semaines plutôt que de quelques mois.
Le mécanisme est proche de celui de tout apprentissage procédural : un salarié qui reçoit un rappel contextuel au moment où il interagit avec un email suspect retient mieux le réflexe qu’un salarié formé six mois plus tôt dans une salle de réunion. Les programmes dits de « micro-learning », séquences courtes intégrées au flux de travail, montrent de meilleurs résultats sur le comportement réel que les sessions longues en présentiel.
Ce qui distingue un programme efficace
- Des simulations de phishing fréquentes (toutes les trois à six semaines) avec un retour immédiat quand le salarié clique sur un lien piégé, plutôt qu’un rapport différé envoyé des semaines plus tard.
- Une personnalisation des scénarios selon le poste et le niveau de risque du collaborateur : un comptable ne reçoit pas les mêmes tentatives qu’un développeur, et les attaques réelles ciblent déjà ces différences.
- Un suivi des indicateurs comportementaux (taux de clic, taux de signalement) plutôt que des seuls scores de quiz, qui mesurent la connaissance déclarative sans prédire le comportement en situation réelle.
La méta-analyse de Leiden University souligne que les gains s’érodent sans rappels réguliers. Un programme trimestriel produit des résultats mesurables là où un module unique n’en produit pas.
Obligations NIS2 et DORA : la sensibilisation des salariés devient réglementaire
Depuis 2024-2025, la directive européenne NIS2 et le règlement DORA ont transformé la sensibilisation en obligation légale pour les entités concernées. NIS2 impose une formation régulière de tous les employés, pas uniquement des équipes IT, et exige que la direction elle-même suive des formations en cybersécurité.
DORA, qui cible spécifiquement le secteur financier, rend obligatoires des programmes de sensibilisation adaptés aux risques opérationnels numériques. Ces deux textes partagent une logique commune : la gestion du risque humain ne peut plus être optionnelle ni cantonnée à un département technique.
Ce que ces textes changent concrètement
Pour les entreprises soumises à NIS2, ne pas former ses collaborateurs expose à des sanctions. Le texte ne prescrit pas un format unique, mais la régularité et la traçabilité des actions de formation sont des critères d’audit. Un simple module e-learning annuel sans suivi ne satisfait pas l’esprit du texte.
En France, selon le Baromètre France Num 2024, seules 34 % des TPE-PME ont mené des actions de sensibilisation ou de formation à la cybersécurité. L’écart entre cette réalité et les exigences de NIS2 est considérable, surtout pour les sous-traitants de grandes entreprises qui entrent dans le périmètre de la directive par effet de chaîne.
Attaques personnalisées par IA : adapter la sensibilisation au phishing ciblé
Les attaques de phishing ne ressemblent plus aux emails truffés de fautes d’orthographe des années 2010. ANOZR WAY a identifié plus de 2,6 milliards de données compromises exploitables pour personnaliser des campagnes. Les attaquants utilisent ces données volées, combinées à des outils d’IA générative, pour produire des emails contextualisés qui mentionnent le nom du manager, un projet en cours ou une facture récente.
Le NIST a développé la Phish Scale pour mesurer la difficulté de détection d’un email de phishing. Leur constat : plus un email est crédible et adapté à sa cible, plus il trompe, quel que soit le niveau de sensibilisation du destinataire. Les formations génériques, qui apprennent à repérer des signaux grossiers (expéditeur inconnu, URL suspecte), perdent leur utilité face à des messages soigneusement construits.
La réponse passe par des simulations qui reproduisent ce niveau de sophistication. Former les salariés uniquement sur des exemples basiques crée un faux sentiment de sécurité. Les scénarios de simulation doivent intégrer des techniques actuelles : usurpation d’adresse email légitime, pièces jointes imitant des documents internes, appels téléphoniques préparatoires (vishing) suivis d’un email piégé.
Mesurer l’impact réel d’un programme de sensibilisation cyber
Le taux de clic sur les simulations reste l’indicateur le plus utilisé, mais il ne suffit pas. Un programme qui réduit les clics sans augmenter les signalements d’emails suspects ne modifie qu’une partie du comportement. Le taux de signalement est un meilleur indicateur de maturité qu’un simple taux de non-clic.
- Le taux de clic mesure la vulnérabilité résiduelle, mais varie fortement selon la difficulté du scénario simulé.
- Le taux de signalement (emails transférés à l’équipe sécurité) reflète l’adoption d’un réflexe actif de protection.
- Le délai entre réception et signalement indique la rapidité de réaction, paramètre déterminant pour limiter la propagation d’une attaque réelle.
Suivre ces trois métriques dans la durée permet d’identifier les populations à risque et d’ajuster la fréquence des rappels. Sans cette boucle de mesure, un programme de formation reste un exercice de conformité sans effet vérifiable sur la posture de sécurité de l’entreprise.
La sensibilisation des salariés au phishing produit des résultats mesurables à une condition : qu’elle soit continue, personnalisée et indexée sur la sophistication réelle des attaques. Les cadres réglementaires NIS2 et DORA renforcent cette exigence. Les entreprises qui se limitent à un module annuel s’exposent à la fois aux sanctions et aux attaques, deux risques désormais documentés.
