Prise de position · sensibilisation et processus
Chaque année, la même scène : un module de quarante minutes, un jeu-questionnaire réussi, un certificat versé au dossier d'audit. La case est cochée. Puis, quelques mois plus tard, un employé reçoit un appel du « soutien technique », suit la procédure qu'on lui décrit, et l'attaquant est connecté avant qu'il ait raccroché. Le rapport d'incident conclut : erreur humaine. Et l'on programme une formation de rappel.
Notre thèse est simple, et elle dérange : la formation de sensibilisation annuelle, seule, ne protège personne. Elle prouve à un auditeur que vous avez formé. Elle ne prouve pas que votre organisation résiste. Ce qui protège, ce sont des processus qui ne dépendent pas de la vigilance d'un employé un mardi après-midi, et des exercices courts, fréquents, qui ressemblent aux vraies attaques.
Précisons tout de suite ce que nous ne disons pas. Nous ne disons pas que former est inutile. Nous disons que le module annuel est devenu un alibi : il permet de blâmer l'employé pour ce qui est, presque toujours, un défaut de processus. C'est une prise de position, pas une vérité établie, et nous l'avons écrite pour en débattre.
Ce que disent les données
Une des plus grandes études contrôlées sur le sujet a été menée à l'UC San Diego Health et présentée au symposium IEEE sur la sécurité et la vie privée en 2025 (Ho, Mirian, Savage, Voelker et coll.). Pendant huit mois, dix campagnes d'hameçonnage simulé ont été envoyées à plus de 19 500 employés, avec des groupes témoins tirés au hasard. Statut : étude primaire, confirmé par les auteurs.
- La formation annuelle : aucune relation significative entre le fait d'avoir suivi récemment le module annuel et la probabilité de cliquer sur un lien piégé.
- La formation intégrée, affichée juste après un clic sur une simulation : une réduction du taux d'échec statistiquement significative, mais d'environ 2 points seulement.
- L'engagement : plus de la moitié des séances de formation se terminent en moins de dix secondes, et moins de 24 % des employés vont formellement au bout de la formation.
- L'exposition : sur la durée de l'étude, 56 % des employés (11 077 sur 19 789) ont cliqué au moins une fois, formés ou non. Un thème bien choisi (une fausse nouvelle politique de vacances) a dépassé 30 % de clics.
Les auteurs citent une étude antérieure, quinze mois de formation intégrée auprès de 14 000 employés, qui ne trouvait elle non plus aucun effet positif (rapporté). Leur conclusion : sous leur forme actuelle, ces programmes ont peu de chances de réduire le risque d'hameçonnage de façon significative.
Ce que l'actualité vient de rappeler
Fin octobre, quatre grands cabinets d'avocats canadiens ont été compromis par de faux appels du service TI, que nous avons racontés dans notre récap du 2 novembre. Statut : confirmé par trois des cabinets, rapporté par le Globe and Mail pour le quatrième. Ces cabinets comptent parmi les mieux outillés du pays ; on peut présumer qu'ils ont leur programme de sensibilisation. Le 28 octobre, le Centre canadien pour la cybersécurité a publié l'alerte AL26-028 sur cette campagne continue d'hameçonnage vocal se faisant passer pour le soutien technique. Statut : confirmé.
Regardez ce que l'alerte recommande. Renforcer la vérification des réinitialisations de MFA, de la récupération de compte et de l'inscription de nouveaux appareils. Déployer une MFA résistante à l'hameçonnage, comme les clés FIDO2 ou les clés d'accès liées à l'appareil. Exiger des appareils gérés. Restreindre les communications externes dans Teams. Surveiller les nouvelles inscriptions de MFA. Le volet humain tient en deux consignes : vérifier de façon indépendante tout appel TI inattendu, quel que soit l'afficheur et quelle que soit l'urgence, et disposer d'un canal clair pour signaler. Presque tout le reste, ce sont des processus et des contrôles.
Nous l'écrivions déjà après Abbott : un appel téléphonique suffit quand le processus de réinitialisation fait confiance à la voix.
Trois processus qui ne demandent pas d'être vigilant
1. La réinitialisation qui ne fait pas confiance à la voix. Le soutien technique ne réinitialise ni mot de passe ni MFA sur la seule foi d'un appel. Il rappelle l'employé à un numéro déjà inscrit au dossier, ou exige une vérification en personne ou par vidéo avec pièce d'identité, et prévient le gestionnaire. Le technicien n'a pas à juger si la voix « semble légitime » : la procédure juge pour lui.
2. La MFA qui refuse le faux site. Un code par texto, une notification à approuver ou un code à six chiffres se relaient en temps réel par une fausse page. La CISA le dit depuis 2022 dans sa fiche « Implementing Phishing-Resistant MFA » : l'authentification FIDO/WebAuthn est la seule forme largement disponible qui résiste à l'hameçonnage, et l'agence presse toutes les organisations de l'adopter. Statut : confirmé. Avec une clé FIDO2 ou une clé d'accès, l'employé peut se tromper de site ; la clé, elle, ne se trompe pas.
3. Le rappel pour tout virement. Toute demande de paiement, de changement de coordonnées bancaires ou de virement urgent se confirme par un rappel au numéro déjà connu du fournisseur ou du dirigeant, jamais à celui qui figure dans le courriel ou qui vient d'appeler. Au-delà d'un seuil, deux personnes signent. Avec l'hypertrucage vocal, « j'ai reconnu sa voix » n'est plus une preuve.
Former autrement, pas moins
Former reste utile, à condition de changer de forme.
Court et fréquent. Cinq minutes par mois, sur l'attaque qui circule ce mois-ci, valent mieux que quarante minutes par an sur un catalogue de menaces génériques.
Ciblé sur les rôles exposés. Le soutien technique, les comptes fournisseurs, les adjoints de direction et les administrateurs ne courent pas le même risque que le reste du personnel. Leur exercice doit reproduire leur vraie journée : l'appel pressé, la demande de changement de coordonnées, la réinitialisation un vendredi à 16 h 55.
Mesuré sur le signalement, pas sur le clic. Le NIST, dans sa publication SP 800-50 Rév. 1 (septembre 2024), parle désormais de programme d'apprentissage en cycle de vie, orienté vers le changement de comportement et doté de métriques pour s'améliorer. Le bon indicateur n'est pas le taux de clics, que l'étude de l'UC San Diego montre très variable d'un leurre à l'autre. C'est le délai entre le premier signalement et la réaction de l'équipe.
Sans honte. Un employé qui a cliqué et qui le signale dans les cinq minutes vient de rendre un service. S'il craint d'être blâmé, il se taira, et c'est le silence qui coûte cher.
Et un exercice sur table de soixante minutes teste la direction, pas seulement les employés : qui coupe la session, qui appelle le client, qui décide.
Les objections que nous prenons au sérieux
« La formation est exigée par l'assureur, par le client ou par le référentiel. » C'est vrai, et il faut la garder. Mais une exigence de conformité n'est pas une mesure d'efficacité. Gardez le module pour la case ; investissez dans les processus pour le risque.
« L'étude porte sur un seul hôpital et sur l'hameçonnage par courriel. » C'est vrai aussi. Elle ne prouve pas que toute formation est inutile partout. Mais elle est contrôlée, à grande échelle, et rejoint d'autres travaux. La charge de la preuve s'est inversée : c'est au module annuel de démontrer qu'il réduit le risque.
« Les processus coûtent plus cher que la formation. » Rappeler un numéro connu ne coûte rien, une clé FIDO2 moins qu'une heure de réponse à incident. Ce qui coûte cher, c'est le compte compromis.
Et vous, qu'en pensez-vous ?
Nous savons que la position divise. Certains responsables de la sensibilisation y verront une attaque ; c'est au contraire un appel à leur donner de meilleurs outils. D'autres diront que la culture se construit justement par la répétition annuelle. Dites-nous en commentaire sous notre publication LinkedIn : votre dernier incident lié à l'hameçonnage, l'aurait-on évité avec une formation de plus, ou avec un processus de moins fondé sur la confiance ?
Où FortaRisks intervient
Forta Conformité rattache vos contrôles de sensibilisation, de réinitialisation et d'authentification à plus de 40 référentiels, avec leurs preuves datées : le module annuel y reste, mais à côté des processus qui protègent. Forta Actions transforme les écarts en tâches assignées et suivies, du durcissement de la procédure du soutien technique au déploiement des clés FIDO2. Pour situer vos processus les plus exposés sur votre cas, trente minutes avec un expert suffisent, et nos outils gratuits donnent un premier état des lieux.
Sources : Ho et coll., Understanding the Efficacy of Phishing Training in Practice, IEEE Symposium on Security and Privacy (2025) · Centre canadien pour la cybersécurité, alerte AL26-028 (28 oct. 2026) · CISA, Implementing Phishing-Resistant MFA (2022) · NIST, SP 800-50 Rév. 1, Building a Cybersecurity and Privacy Learning Program (septembre 2024)