Sensibiliser ses salariés à l’hameçonnage : guide pour TPE

Pour sensibiliser une équipe à l’hameçonnage, combinez quatre éléments : quelques réflexes simples expliqués à tous, une procédure claire pour signaler un message douteux sans crainte de reproche, des exercices réguliers et encadrés, et des ressources publiques gratuites. Un exercice simulé ne se lance qu’avec l’accord de la direction et en prévenant le cadre de l’opération ; il sert à apprendre, pas à piéger. Aucune formation ne rend une entreprise infaillible, mais elle réduit les occasions où un clic isolé devient un incident.

Ce guide s’adresse aux dirigeants de très petites entreprises. Il ne remplace pas un avis juridique pour les exercices simulés ni un diagnostic de sécurité. Notre page sensibilisation à la cybersécurité présente l’accompagnement que nous proposons, et la page cybersécurité l’approche plus générale.

Qu’est-ce que l’hameçonnage, et pourquoi vise-t-il les petites entreprises ?

L’hameçonnage (phishing) consiste à se faire passer pour un tiers de confiance (banque, administration, fournisseur, collègue) afin d’obtenir des identifiants, des coordonnées bancaires ou de pousser à une action : ouvrir une pièce jointe, cliquer sur un lien, régler une facture. Cybermalveillance.gouv.fr le qualifie de principale menace en ligne pour les particuliers, les entreprises, les collectivités et les administrations (dossier hameçonnage).

Une petite structure n’est pas épargnée : les messages sont envoyés en masse, et un compte de messagerie piraté permet ensuite de s’en prendre aux clients et fournisseurs. Les escroqueries aux faux ordres de virement visent souvent les dirigeants et les personnes qui paient les factures (fiche réflexe FOVI).

Quels réflexes faut-il apprendre à toute l’équipe ?

Limitez-vous à une courte liste, facile à retenir. La même source cite des signaux d’alerte : offre trop alléchante, apparence suspecte, pièce jointe inattendue, expéditeur fantaisiste (comment reconnaître un message d’hameçonnage). Traduisez-les en réflexes :

• Ralentir : un message qui presse, menace ou promet un gain mérite une pause.
• Vérifier l’expéditeur et le lien : survolez le lien sans cliquer, vérifiez le domaine réel et l’adresse de réponse.
• Ne jamais saisir de mot de passe depuis un lien reçu : passez par le site ou l’application habituelle.
• Se méfier des pièces jointes inattendues, y compris de contacts connus.
• Confirmer par un autre canal toute demande de virement, de changement de coordonnées bancaires ou de données sensibles : appel au numéro déjà connu, jamais celui du message.
• Activer l’authentification multifacteur sur la messagerie et les services importants : un mot de passe volé suffit alors moins.

Ces réflexes se complètent d’une règle de gestion : un virement inhabituel demande une double validation, même si la demande semble venir de la direction.

Que faire quand quelqu’un a cliqué ?

C’est le moment où la culture de l’entreprise compte. Si les salariés craignent des sanctions, ils cacheront l’erreur et l’incident s’aggravera. Annoncez dès le début que signaler vite est attendu et bien accueilli.

Cybermalveillance.gouv.fr recommande de conserver les preuves (en particulier le message reçu), de signaler le message (Signal Spam, 33700 pour les SMS, Phishing Initiative pour un site frauduleux) et de traiter les conséquences selon le cas, avec ses fiches sur le piratage de compte et la fraude à la carte bancaire (dossier hameçonnage). Ajoutez en interne :

1. Prévenir immédiatement la personne désignée.
2. Changer les mots de passe concernés depuis un appareil sain et fermer les sessions ouvertes.
3. Vérifier la messagerie : règles de transfert ou de suppression créées par un tiers.
4. Prévenir banque et partenaires en cas de coordonnées ou paiements concernés.
5. Évaluer les données personnelles touchées : une violation peut entraîner des obligations de notification (voir la CNIL).

Le service d’assistance de Cybermalveillance.gouv.fr propose un diagnostic pour être orienté vers les bonnes ressources.

Comment organiser une sensibilisation sans y passer des jours ?

Une séance courte et répétée vaut mieux qu’une formation unique. Une trame possible :

Pour le contenu, appuyez-vous sur des ressources publiques gratuites : la fiche réflexe sur l’hameçonnage publiée en 2026 (PDF Cybermalveillance.gouv.fr), le programme d’e-sensibilisation SensCyber et le kit de sensibilisation du dispositif. Vérifiez la licence de chaque ressource avant de l’adapter ou de la diffuser avec votre logo.

Les exercices d’hameçonnage simulé sont-ils une bonne idée ?

Ils peuvent aider à vérifier que les réflexes fonctionnent, mais ils demandent des précautions. Quelques principes de bon sens :

• Accord écrit de la direction, avec un périmètre, une durée et un responsable de l’opération.
• Information des salariés sur l’existence de la démarche : le principe d’exercices de sensibilisation périodiques peut être annoncé sans en préciser la date. Le droit du travail encadre la collecte d’informations sur les salariés et le rôle des représentants du personnel ; faites valider votre cadre par un juriste, et par le DPO s’il existe.
• Objectif pédagogique : on mesure la capacité de l’organisation à réagir, pas à punir des individus. Les résultats se présentent de façon agrégée.
• Scénarios réalistes mais respectueux : évitez les thèmes anxiogènes (menace de licenciement, santé, deuil) ou les fausses primes qui créent de la rancœur.
• Pas d’usurpation d’une marque réelle sans accord ; pas de collecte de vrais mots de passe : la page de test doit s’arrêter avant toute saisie.
• Débriefing immédiat pour ceux qui ont cliqué : explication des indices manqués, sans reproche.
• Outil et prestataire encadrés : si un tiers envoie les messages, un contrat doit prévoir la protection des données collectées.

Dans une équipe de quelques personnes, un échange oral et une étude de cas peuvent suffire, sans simulation.

Quelles mesures techniques complètent la sensibilisation ?

La formation ne doit pas porter seule la sécurité. Associez-la à des protections qui limitent l’effet d’une erreur : authentification multifacteur, mises à jour des postes, comptes administrateur séparés, filtrage de messagerie et configuration des enregistrements SPF, DKIM et DMARC de votre domaine pour compliquer l’usurpation, ainsi que des sauvegardes testées (voir notre article sur les sauvegardes 3-2-1). Notre checklist de maintenance rappelle aussi de protéger les accès d’administration du site.

Exemple fictif : une entreprise de cinq personnes

Cet exemple est fictif et ne décrit ni un client ni un résultat mesuré.

Une entreprise de cinq personnes tient une séance de trente minutes avec des exemples de messages reçus. Elle adopte une règle de double validation des virements, active l’authentification multifacteur sur la messagerie et désigne une personne à qui transmettre tout message douteux. Quelques mois plus tard, la direction annonce un exercice, prépare un message de test sans saisie de mot de passe et organise un échange sans nominations. Dans cet exemple, aucun résultat chiffré n’est revendiqué : l’équipe a surtout appris à signaler et à vérifier.

FAQ

Faut-il prévenir les salariés d’un exercice simulé ?

Informez-les du principe de ces exercices et du cadre, même sans en donner la date. Faites valider la démarche par un juriste, car le droit du travail et la protection des données s’appliquent.

À quelle fréquence sensibiliser ?

Il n’existe pas de fréquence réglementaire unique. Un rappel régulier court est généralement plus efficace qu’une séance annuelle isolée ; adaptez-le à votre exposition.

Les ressources de Cybermalveillance.gouv.fr sont-elles gratuites ?

Le dispositif met à disposition des fiches, un quiz et un programme d’e-sensibilisation en accès public. Vérifiez les conditions de chaque document avant de le réutiliser.

Conclusion

Sensibiliser à l’hameçonnage revient à rendre quelques gestes automatiques, à faciliter le signalement et à vérifier que cela fonctionne dans un cadre accepté. Commencez par une séance courte, une procédure de signalement et une règle de double validation des paiements. Pour construire une session adaptée à votre équipe, consultez notre page sensibilisation à la cybersécurité ou contactez-nous.