Un mardi matin de mars, la comptable d'une PME du 9e reçoit un mail signé du gérant : virement urgent de 8 400 € vers un nouveau fournisseur, dossier confidentiel, ne pas en parler avant la validation du comité. Le ton est pressant, l'orthographe impeccable, et l'adresse mail ressemble à s'y méprendre à celle du vrai patron — un caractère près. Elle hésite, puis appelle le gérant sur son portable plutôt que de répondre au mail. Ce coup de fil de trente secondes évite une arnaque au président classique. Aucun antivirus n'aurait détecté ce mail : pas de pièce jointe piégée, juste une histoire bien racontée et une urgence fabriquée. C'est ça la vraie faille de sécurité chez la plupart des petites structures que je vois à Paris — pas le réseau, l'humain en face de l'écran.
L'humain est la porte d'entrée, pas le matériel
Sur les interventions que je fais pour des PME, la quasi-totalité des incidents commence par un clic, une confiance mal placée ou une pression bien calculée — jamais par une faille technique exotique. J'ai détaillé les mécaniques précises de l'arnaque au faux support technique dans un article à part. Ce qui compte ici, c'est que ces arnaques marchent parce qu'elles ciblent des réflexes humains normaux, pas parce que la victime est négligente. Former son équipe, ce n'est pas lui apprendre l'informatique, c'est lui donner six réflexes simples à sortir automatiquement, même un lundi matin fatigué. Pour les protections techniques en complément — pare-feu, sauvegardes, mises à jour —, mon article sur protéger son entreprise contre les cyberattaques couvre cette partie-là.
Les six réflexes à ancrer
Vérifier tout changement de paiement par un appel téléphonique
Nouveau RIB, facture urgente d'un fournisseur habituel : le réflexe unique à ancrer est d'appeler la personne sur un numéro déjà connu — pas celui du mail — avant de valider quoi que ce soit. Ça prend deux minutes et ça arrête la quasi-totalité des tentatives d'arnaque au président.
Survoler un lien avant de cliquer
Passer le curseur sur un lien sans cliquer affiche l'adresse réelle en bas du navigateur. Un lien qui prétend mener vers « microsoft.com » mais qui pointe vers une adresse à rallonge truffée de tirets est presque toujours du phishing. Ça se montre en trente secondes et ça doit devenir automatique.
Ne jamais communiquer un code de vérification
Un code reçu par SMS ou par appli d'authentification ne doit jamais être dicté à qui que ce soit, même à un interlocuteur qui prétend être du support technique ou de la banque. Ce code prouve que c'est vous qui vous connectez, pas que la personne au téléphone est légitime. Quelqu'un qui le demande, c'est le signal d'alarme le plus net qui existe.
Signaler sans crainte d'être blâmé
C'est le réflexe le plus négligé et le plus rentable. Un collaborateur qui a cliqué sur un lien douteux doit pouvoir le dire dans la minute, pas le cacher trois jours par peur de se faire remonter les bretelles. Changer un mot de passe cinq minutes après un clic n'a rien à voir avec le découvrir une semaine plus tard.
Utiliser un gestionnaire de mots de passe
Réutiliser le même mot de passe sur plusieurs comptes professionnels reste l'habitude la plus dangereuse que je croise. Un gestionnaire — intégré à Microsoft 365 ou une solution dédiée comme Bitwarden — génère un mot de passe unique par service et le remplit automatiquement. Je le configure souvent avec un accompagnement Microsoft 365.
Verrouiller l'écran en quittant le poste
Windows+L, ou Ctrl+Cmd+Q sur Mac, chaque fois qu'on quitte son poste, même deux minutes pour un café. Dans un open space ou un accueil partagé avec du public, un ordinateur déverrouillé est une porte ouverte — pas besoin de piratage sophistiqué si n'importe qui peut s'asseoir et fouiller la boîte mail.
Organiser soi-même une session de 45 minutes — l'agenda concret
Pas besoin d'un prestataire en costume ni d'une plateforme d'e-learning à plusieurs milliers d'euros par an. Voici l'agenda que j'utilise chez un client. Cinq minutes pour un exemple réel et récent — une actu locale, ou un cas anonymisé vécu par l'entreprise — ça capte l'attention bien mieux qu'une slide de statistiques. Quinze minutes pour une démonstration en direct sur un vrai mail de phishing désarmé, projeté à l'écran : on survole le lien, on regarde l'en-tête, on repère la fausse urgence. Les six réflexes passent ensuite, chacun illustré par un exemple tiré de l'activité de l'entreprise. Cinq minutes de mise en situation : deux ou trois mails, vrais ou fabriqués, que l'équipe trie en « sûr » ou « suspect ». Les cinq dernières minutes sont pour les questions et la signature de la charte, debout dans la salle de pause, pas dans un amphi. Ça marche mieux avec huit personnes maximum ; au-delà, je scinde en deux groupes.
Le test de phishing simulé — le faire proprement
Envoyer un faux mail piégé à toute l'équipe pour voir qui clique est tentant, et ça marche pour mesurer l'impact réel de la session. Mais fait n'importe comment, l'exercice tourne au flicage et casse la confiance que la formation cherche à construire. Trois règles que je m'impose : le dirigeant est informé à l'avance, jamais les employés eux-mêmes ; les résultats restent anonymes ou réservés à l'encadrement ; et personne n'est sanctionné pour avoir cliqué. La personne qui clique reçoit un message immédiat et bienveillant expliquant comment repérer le piège la prochaine fois, pas un rapport disciplinaire. Un outil gratuit comme GoPhish suffit. Et si un vrai lien piégé passe un jour et qu'un collaborateur clique pour de bon, mon article sur que faire avec un compte piraté détaille les gestes de la première heure.
Intégrer un nouvel employé dès le premier jour
Le nouvel arrivant est statistiquement le plus exposé : il ne connaît pas encore les habitudes de l'entreprise, il veut bien faire, et il n'a aucune référence pour repérer ce qui sort de l'ordinaire. Les six réflexes doivent passer le jour même de son arrivée, pas trois mois plus tard. Je recommande un compte créé avec un mot de passe unique généré par le gestionnaire — jamais un « Bienvenue2026 » tapé à la va-vite —, la charte signée avant qu'il touche à sa boîte mail, et tout de suite le nom et le numéro de la personne à contacter en cas de doute.
La charte interne d'une page — ce qu'il faut écrire dedans
Une charte de dix pages finit dans un tiroir sans être lue. Une page, en revanche, se relit en trois minutes et s'affiche près d'un poste de travail. Elle doit couvrir : les six réflexes résumés en une phrase chacun, le nom et le numéro direct de la personne à appeler en cas de doute, l'obligation d'utiliser le gestionnaire de mots de passe fourni, l'interdiction de communiquer un code de vérification, la règle du verrouillage d'écran, et une phrase claire sur le fait que signaler une erreur ne sera jamais puni. Je la rédige souvent avec le gérant, ça prend vingt minutes une fois les réflexes expliqués.
À quelle fréquence répéter la formation
Une session longue une fois par an s'oublie en trois mois. Je préfère un rappel court — dix ou quinze minutes — chaque trimestre, plus une piqûre de rappel dès qu'une vague d'arnaques touche le secteur ou fait l'actualité. Un nouvel employé reçoit la session complète dès son arrivée, sans attendre le prochain rappel collectif. Cette fréquence légère coûte moins cher, en temps comme en argent, qu'une seule grosse session annuelle vite oubliée.
Tarifs réalistes si un technicien anime la session
Pour une PME parisienne qui préfère déléguer, une session de 45 minutes sur place pour une équipe jusqu'à huit personnes tourne autour de 180 à 250 €, matériel et charte compris. Un test de phishing simulé ajoute 100 à 150 € selon le nombre de comptes ciblés. Pour une entreprise suivie en maintenance informatique régulière, j'intègre volontiers un rappel trimestriel dans le forfait plutôt que de le facturer à part — c'est aussi une prestation que je propose en intervention freelance ponctuelle. Si vous préférez la faire vous-même, ça ne coûte rien d'autre que les 45 minutes de votre équipe.
Questions fréquentes
Faut-il un budget formation officiel pour former son équipe à la sécurité informatique ?
Non. Une session de 45 minutes animée en interne ou par un technicien, plus une charte d'une page, suffit pour la plupart des petites structures. Pas besoin d'une plateforme d'e-learning ni d'un budget formation officiel pour commencer.
Le test de phishing simulé est-il légal en France ?
Oui si le dirigeant est informé et que le test vise la pédagogie, pas la sanction. Les résultats doivent rester anonymes ou réservés à l'encadrement. Le but reste d'apprendre, jamais de piéger quelqu'un pour le blâmer.
Combien de temps doit durer une session pour être efficace ?
Quarante-cinq minutes est la durée qui fonctionne le mieux dans mon expérience : assez long pour couvrir les six réflexes, assez court pour que l'attention reste entière jusqu'à la fin. Au-delà de 90 minutes, l'essentiel se perd.
Que faire si un employé clique quand même sur un lien piégé ?
Pas de panique ni de reproche : faites-le signaler tout de suite, changez le mot de passe concerné depuis un appareil sain et vérifiez les sessions actives. Mon article sur ce qu'il faut faire après un compte piraté détaille la marche à suivre dans l'heure qui suit.