Le hameçonnage reste l’un des moyens les plus courants utilisés par les attaquants pour accéder aux réseaux d’entreprise. Il imite les communications professionnelles quotidiennes légitimes, ce qui en fait une technique idéale pour collecter des informations professionnelles précieuses en toute discrétion. Dans le rapport Cyber Security Breaches Survey 2025 du gouvernement britannique, le hameçonnage était le type de fuite ou d’attaque le plus fréquent signalé par les entreprises ayant identifié des incidents, touchant 85 % d’entre elles et l’équivalent de 37 % de l’ensemble des entreprises.
La formation à la sensibilisation doit être un impératif pour l’entreprise, et pas seulement une tâche de conformité. Une seule tentative de hameçonnage réussie peut exposer des identifiants, donner accès aux systèmes internes et créer des problèmes qui se propagent bien au-delà de la boîte de réception d’un seul employé.
Le problème est que de nombreuses organisations s’appuient encore sur des efforts de sensibilisation ponctuels, alors que le hameçonnage évolue constamment. Un programme plus efficace peut offrir aux employés un entraînement régulier, des habitudes de signalement plus claires et des contrôles de soutien qui réduisent l’impact des erreurs.
À quoi ressemble le hameçonnage dans un contexte professionnel
Le hameçonnage en entreprise a évolué au-delà des messages manifestement faux et truffés de fautes d’orthographe. En pratique, les employés sont bien plus susceptibles de rencontrer des tentatives d’apparence réaliste, telles que :
- Des demandes de vérification de compte
- Des notifications de documents partagés
- Des pages de connexion pour les plateformes professionnelles courantes
- Des approbations de factures
- Des mises à jour des RH
- Des messages provenant de fournisseurs approuvés ou de cadres internes.
Si un membre de l’équipe répond, les attaquants peuvent alors utiliser les informations collectées sur les employés ou les entreprises pour rendre les messages plus persuasifs et réalistes, en particulier dans le cadre de campagnes plus ciblées.
Hameçonnage ciblé, usurpation d’identité de cadres et collecte d’identifiants
La formation de sensibilisation au hameçonnage doit préparer les équipes à plusieurs schémas à la fois. Le hameçonnage ciblé est l’une des variantes les plus courantes de l’hameçonnage. Au lieu d’envoyer un message générique à des milliers de destinataires, l’attaquant adapte le message à un rôle, un projet, un collègue ou une relation avec un fournisseur spécifique.
Le message semble plausible car il est construit autour de quelque chose que l’employé s’attendrait normalement à voir. Ce type de ciblage est souvent rendu plus convaincant par les informations recueillies sur les sites internet des entreprises, les profils publics ou d’autres sources en ligne.
Une autre variante de l’hameçonnage est l’usurpation d’identité de cadres, parfois appelée fraude au PDG. Ici, l’attaquant imite un dirigeant ou une partie prenante importante pour créer un sentiment d’urgence autour d’un paiement, d’un fichier ou d’une demande d’identifiants, faisant ainsi pression sur le personnel pour qu’il transfère de l’argent ou des informations sans suivre les processus de vérification habituels.
Un troisième schéma est la collecte d’identifiants. Dans ces attaques, l’employé est poussé vers une fausse page d’identifiants conçue pour capturer les noms d’utilisateur, les mots de passe et parfois même les codes OTP (mots de passe à usage unique).
La formation au hameçonnage doit refléter les flux de travail réels de l’entreprise plutôt que de donner des conseils génériques. De nombreuses pages de hameçonnage sont conçues pour ressembler à des outils que les employés utilisent déjà tous les jours.
Pourquoi les messages professionnels de routine sont-ils si efficaces ?
L’hameçonnage reste efficace au sein des organisations, car il se fond souvent dans les opérations quotidiennes. Une fausse invite d’identifiants a seulement besoin de paraître familière assez longtemps pour que quelqu’un agisse par automatisme. Il en va de même pour les messages des fournisseurs, les notifications de documents partagés ou les demandes internes urgentes.
C’est pourquoi la formation ne doit pas se concentrer uniquement sur une formulation suspecte ou une mauvaise grammaire. Les employés doivent également comprendre comment les attaquants exploitent les méthodes de travail normales. Réfléchissez au fonctionnement de votre organisation et à la manière dont vous pouvez aider le personnel à reconnaître les demandes qui sortent des processus habituels, en particulier lorsque de l’argent, des identifiants ou des informations sensibles sont en jeu.
Exemples récents de fuites de données
Les rapports récents sur les fuites de données renforcent l’idée que l’hameçonnage au sein des entreprises va désormais bien au-delà de simples escroqueries par boîte de réception.
Selon l’Observatoire des fuites de données de Proton, l’entreprise de cartes de vœux Hallmark Cards a été ciblée par le groupe de pirates d’extorsion criminelle connu sous le nom de ShinyHunters. Le groupe a obtenu des dossiers appartenant à Hallmark Cards auprès de Salesforce et a fixé à l’entreprise un délai d’extorsion. En fin de compte, le groupe a divulgué 2,8 millions de dossiers uniques.
ShinyHunters est prolifique et a ciblé de nombreuses entreprises de premier plan au cours des derniers mois. En janvier 2026, la marque de vêtements Canada Goose a été liée à une fuite de données concernant environ 600 000 dossiers clients. Les données provenaient d’une fuite de données tierce survenue en août 2025.
Ces exemples sont utiles car ils montrent à quoi ressemble l’hameçonnage dans le milieu professionnel actuel : pas seulement des tromperies par boîte de réception, mais des attaques visant les sous-traitants, les systèmes d’identité, les accès internes et les relations de confiance sur lesquelles les organisations s’appuient chaque jour.
Pourquoi la sensibilisation seule ne suffit pas
La sensibilisation à l’hameçonnage est importante, mais elle ne suffit pas à elle seule. Les employés ne commettent pas d’erreurs uniquement par manque d’informations. Ils en commettent également parce qu’ils sont occupés, distraits, sous pression ou qu’ils progressent rapidement dans des flux de travail où un message de hameçonnage peut facilement passer pour légitime au premier coup d’œil.
C’est pourquoi la formation ne doit pas être construite autour de l’idée que chaque employé peut repérer chaque tentative d’hameçonnage. Les organisations ne peuvent pas se fier uniquement à la détection par l’utilisateur. Certaines attaques passeront toujours, ce qui signifie que les contrôles techniques, les processus clairs et l’éducation des utilisateurs doivent fonctionner ensemble.
Un programme de formation à la sensibilisation à l’hameçonnage plus solide est construit autour de cette réalité. Il aide les employés à reconnaître les signes d’attention courants, à suspendre leur activité lorsque quelque chose semble anormal, à signaler rapidement et à travailler au sein de systèmes qui facilitent le confinement d’une erreur. Il se connecte également naturellement à la préparation aux incidents.
Si quelqu’un clique sur un lien malveillant ou partage des identifiants, l’organisation a besoin d’un chemin d’accès de réponse rapide et clair. La formation devient beaucoup plus efficace lorsque les employés savent ce qui se passe après un signalement et quel rôle ils jouent. Le guide de Proton sur la réponse aux incidents peut aider votre organisation à élaborer un plan.
À quoi ressemble un programme efficace de formation à la sensibilisation à l’hameçonnage ?
Un programme efficace de formation à la sensibilisation à l’hameçonnage n’est pas construit autour d’une seule session annuelle et de quelques exemples obsolètes. Il est continu, pratique et conçu autour de la façon dont les gens travaillent réellement. Cela signifie un renforcement régulier, des scénarios réalistes et des commentaires qui aident les employés à forger un meilleur jugement au fil du temps.
En pratique, la sensibilisation à l’hameçonnage devrait intervenir à plusieurs moments. Elle devrait faire partie de l’intégration, de la formation continue, de courts rappels basés sur des scénarios et des examens d’incidents, et non être une chose que les employés voient une seule fois et oublient. Elle doit également refléter l’exposition réelle.
Une personne traitant des factures, du support de direction, de la communication avec les fournisseurs, des accès privilégiés ou des dossiers sensibles est susceptible d’être confrontée à différents types de pressions liées au hameçonnage par rapport à quelqu’un travaillant dans un flux de travail à moindre risque. Les conseils du NCSC en matière de hameçonnage reflètent cette réalité en notant que le personnel ayant accès à des informations sensibles, à des actifs financiers ou à des systèmes informatiques peut être ciblé plus lourdement.
La pratique doit également être bien utilisée. L’hameçonnage simulé peut être utile, mais pas lorsqu’il se transforme en un exercice de blâme. Des simulations mal gérées peuvent nuire à la confiance et décourager les gens de signaler leurs erreurs s’ils ont l’impression d’être pris en défaut plutôt que d’être soutenus.
Un programme plus solide utilise les simulations avec précaution, donne des commentaires immédiats et augmente progressivement la difficulté. Il ne s’agit pas d’essayer de prouver que les employés sont faciles à duper. Il s’agit de les aider à développer la reconnaissance des schémas, les habitudes de signalement et une plus grande confiance dans les situations réelles.
Les cinq signaux d’alerte du hameçonnage que les employés ne voient toujours pas
De nombreux employés connaissent les signes d’avertissement classiques, mais ils ne voient toujours pas les indices plus subtils qui apparaissent lors de véritables attaques contre les entreprises. La formation de sensibilisation au hameçonnage est bien plus utile lorsqu’elle apprend aux personnes à reconnaître les schémas qui correspondent à leur travail quotidien.
1. Un message qui correspond au flux de travail, mais qui modifie le canal ou l’urgence
Les messages de hameçonnage les plus efficaces ne semblent pas du tout aléatoires. Ils ressemblent à des demandes de facturation, des documents partagés, des mises à jour de la paie ou des notifications de connexion que les employés s’attendent à recevoir.
Ce qui change, c’est l’urgence, le secret ou le processus. Un attaquant souhaite que la cible ignore les vérifications habituelles. Les conseils du NCSC avertissent spécifiquement que les attaquants exploitent les processus et les demandes de l’entreprise, y compris les demandes d’informations ou les paiements non autorisés.
2. Un nom d’expéditeur crédible masquant un mauvais domaine ou une source usurpée
Les employés se concentrent souvent sur le nom d’affichage et non sur l’adresse complète, le chemin de réponse ou le domaine. C’est l’une des raisons pour lesquelles les contrôles anti-usurpation sont importants, mais la formation doit tout de même apprendre aux personnes à ralentir lorsqu’une marque familière ou un collègue semble légèrement « inhabituel ».
Le NCSC conseille aux organisations de rendre l’usurpation d’adresse e-mail (spoofing) plus difficile grâce à des contrôles tels que le DMARC (Domain-based Message Authentication, Reporting, and Conformance), le SPF (Sender Policy Framework) et le DKIM (DomainKeys Identified Mail). Ensemble, ces vérifications d’authentification des messages aident les systèmes de réception à vérifier si un message provient réellement du domaine qu’il prétend être.
3. Une page de connexion qui semble assez normale
Les pages de collecte d’identifiants n’ont pas besoin d’être parfaites. Elles ont seulement besoin de paraître familières assez longtemps pour qu’un employé saisisse un nom d’utilisateur et un mot de passe. En pratique, l’indice le plus important peut être le contexte plutôt que la conception : pourquoi cette demande d’identifiants apparaît-elle maintenant, et pourquoi par ce chemin ?
4. Une demande qui privilégie la rapidité à la vérification
L’usurpation d’identité de cadres, la fraude à la facture et les escroqueries de fournisseurs s’appuient souvent sur l’urgence. Le message est conçu pour que la vérification semble peu pratique ou déloyale. Une formation solide au hameçonnage devrait enseigner qu’une urgence inattendue n’est pas seulement un langage suspect ; c’est un signal pour passer du mode de réponse par message au mode de vérification.
5. Une situation où le signalement est embarrassant
L’un des signes d’attention les plus négligés est interne plutôt que technique : un employé remarque quelque chose d’étrange, mais hésite à le signaler parce qu’il n’est pas sûr de lui, trop occupé ou qu’il craint de paraître négligent.
Le NCSC met en garde contre la réprimande des utilisateurs qui ont du mal à reconnaître le hameçonnage, car la peur des représailles empêche le signalement. Les programmes sains apprennent donc aux employés que signaler une préoccupation tôt est utile, même si le message s’avère inoffensif.
Ce qui se passe lorsque la formation échoue
Lorsque la formation au hameçonnage échoue, les dommages sont souvent mesurés en termes d’identifiants avant de l’être ailleurs. Un utilisateur saisit un mot de passe dans un faux portail, approuve une invite inattendue ou partage des informations de connexion via une demande d’apparence interne convaincante. À partir de ce moment, le problème ne concerne plus seulement une décision au niveau de la boîte de réception. Il devient un problème de contrôle d’accès.
C’est là que le lien entre le hameçonnage et l’hygiène des mots de passe devient si critique. Si le même mot de passe est réutilisé sur plusieurs services, un identifiant compromis peut devenir une porte d’entrée vers la messagerie, les outils SaaS, les plateformes cloud ou les systèmes d’administration. Si les identifiants partagés sont toujours gérés par des méthodes informelles ou non contrôlées, la responsabilité diminue encore davantage.
Le Data Breach Observatory Report de Proton note que les noms et les messages apparaissent dans 9 fuites de données sur 10, que 72 % des fuites contiennent des données de contact et que 49 % incluent des mots de passe. Cela signifie que les attaquants disposent souvent exactement de la matière première dont ils ont besoin pour rendre le hameçonnage plus convaincant et pour exploiter la réutilisation des mots de passe lorsqu’ils réussissent.
Des exemples de fuites récents illustrent le même point sous un autre angle. Dans les rapports de fuites de données de Proton, les incidents liés au hameçonnage en 2026 ne se sont pas arrêtés à un lien cliqué ; ils sont devenus des accès réseau, une exposition interne et des incidents commerciaux plus larges. C’est pourquoi la prévention des attaques de hameçonnage ne peut pas consister uniquement en la reconnaissance par les employés. Elle doit également réduire la portée des identifiants volés une fois qu’un compte est compromis.
L’utilisation de mots de passe uniques pour chaque service est l’un des contrôles les plus simples et les plus efficaces dans ce cas. Ils n’empêchent pas une tentative de hameçonnage de se produire, mais ils aident à limiter les conséquences. Si un mot de passe est volé, il ne devrait pas permettre d’accéder à cinq autres systèmes.
Un gestionnaire de mots de passe sécurisé pour entreprise soutient une stratégie de culture de sécurité. Proton Pass for Business est conçu pour aider les équipes à générer et à stocker des mots de passe forts et uniques pour chaque service, réduisant ainsi le risque qu’un événement de hameçonnage réussi se propage dans toute l’organisation.
Un modèle pratique de formation au hameçonnage pour les employés
Le meilleur point de départ n’est pas d’utiliser des supports de formation génériques, mais de partir de la manière dont votre organisation travaille réellement.
Concentrez-vous d’abord sur les scénarios de hameçonnage auxquels les employés sont les plus susceptibles d’être confrontés : invites de connexion, usurpation d’identité de fournisseurs, approbations de paiement, notifications de documents partagés, demandes de cadres ou attaques de fournisseurs d’identité. La formation devient bien plus utile lorsque les personnes peuvent y reconnaître leur propre réalité de travail.
Le signalement doit également être simple et sûr. Les conseils du NCSC en matière d’hameçonnage indiquent clairement que les organisations doivent aider les utilisateurs à identifier et à signaler les messages d’hameçonnage suspects, tandis que le site internet de signalement des fraudes(nouvelle fenêtre) constitue la voie de signalement officielle du Royaume-Uni pour l’hameçonnage et la cybercriminalité. Les employés doivent savoir où effectuer les signalements en interne, quels éléments inclure et ce qu’il faut faire immédiatement s’ils ont cliqué sur un lien, saisi des identifiants ou approuvé un accès.
La formation doit être appuyée par des contrôles qui réduisent le coût des erreurs. Cela comprend le filtrage des messages, les protections contre l’usurpation d’adresse e-mail (spoofing), les flux de connexion sécurisés, l’A2F et une meilleure hygiène des mots de passe. Les conseils de Proton aux entreprises sur la prévention des attaques par hameçonnage soulignent également l’importance de disposer de canaux de signalement clairs, d’une pratique répétée et d’une surveillance des identifiants compromis.
Enfin, ne vous contentez pas de mesurer les clics. Les taux de clics lors de simulations peuvent être utiles, mais les taux de signalement, le délai de signalement, les schémas d’échecs répétés et les incidents liés aux identifiants offrent souvent une image plus claire de l’amélioration de la résilience. Le NCSC recommande également de réfléchir soigneusement aux indicateurs d’hameçonnage afin que les organisations ne finissent pas par décourager les signalements sécurisés.
Une détection parfaite est impossible, mais une réponse plus forte l’est
La formation de sensibilisation à l’hameçonnage est plus efficace lorsqu’elle dépasse l’idée que les employés doivent être capables de repérer parfaitement chaque attaque. Un objectif plus réaliste est de constituer une équipe capable de reconnaître les signes d’attention familiers, de signaler rapidement les préoccupations et de réagir de manière à éviter qu’une erreur ne se transforme en un incident plus large.
Cela nécessite plus que de simples informations. Cela exige une pratique répétée, des exemples qui reflètent les rôles et les flux de travail réels, ainsi que des processus clairs sur lesquels les employés peuvent compter en cas de doute. Cela nécessite également des contrôles qui réduisent l’impact du vol d’identifiants lorsqu’une tentative d’hameçonnage réussit. Pour cette raison, la formation des employés à l’hameçonnage fonctionne mieux lorsqu’elle s’inscrit dans une culture de sécurité plus large, et non comme un exercice de sensibilisation autonome.
Les organisations qui réduisent efficacement les risques d’hameçonnage ont tendance à combiner les mêmes éléments : une formation pratique, des habitudes de signalement claires, une meilleure préparation aux incidents et une hygiène rigoureuse des identifiants. Les ressources de Proton sur les attaques par hameçonnage et la réponse aux incidents renforcent toutes le même principe : la sensibilisation est bien plus efficace lorsqu’elle est soutenue par des systèmes qui facilitent le confinement d’une compromission.
