Sensibilisation au phishing pour les salariés des PME de Nice

Parce qu'il ne vise pas la machine mais la personne pressée. Un faux e-mail de fournisseur qui change ses coordonnées bancaires, un faux message du dirigeant demandant un virement urgent, une fausse notification de livraison : aucun antivirus ne bloque une action volontaire de l'utilisateur, effectuée avec ses propres identifiants sur un site qui ressemble au vrai.

C'est aussi la porte la moins coûteuse à refermer. Là où la remise à niveau d'un parc demande un budget et un calendrier, la sensibilisation produit un effet mesurable en quelques semaines — et elle profite à toutes les autres protections, puisqu'elle réduit le nombre d'incidents à traiter.

Nous envoyons de faux e-mails d'hameçonnage calibrés sur votre activité — fausse facture d'un fournisseur, faux message du dirigeant, fausse notification bancaire — et nous mesurons qui clique, sans jamais nommer personne. Le résultat qui vous est remis est un taux, accompagné d'une analyse des scénarios qui ont fonctionné et de ceux qui n'ont trompé personne.

Les scénarios sont adaptés au secteur : faux virement pour un cabinet comptable, fausse livraison pour un commerce, faux support informatique pour une PME industrielle. Une campagne générique ne mesure rien d'utile : c'est la vraisemblance qui donne au résultat sa valeur.

Il part des résultats de votre campagne, pas d'un support générique. Une heure, sur site à Nice ou en visioconférence, pour apprendre à reconnaître une adresse d'expéditeur falsifiée, à vérifier un lien avant de cliquer, et à réagir à une demande urgente de virement — le scénario qui coûte le plus cher aux PME.

L'atelier se termine par la règle la plus utile de toutes : en cas de doute, on décroche son téléphone et on appelle l'expéditeur sur un numéro connu, jamais sur celui indiqué dans le message.

Suivre une procédure écrite et affichée, préparée à l'avance : à qui signaler un e-mail douteux, et quoi faire dans les dix minutes qui suivent un clic. Ces dix minutes valent souvent plus que tout le reste du dispositif : changer le mot de passe concerné, prévenir le référent, vérifier les règles de redirection créées dans la boîte aux lettres, alerter la comptabilité si un virement est en cours.

La procédure tient sur une page. Elle nomme une personne, pas un service, et elle affirme explicitement qu'un signalement rapide ne sera jamais reproché. Une PME où l'on n'ose pas signaler découvre ses incidents des semaines trop tard.

La session est facturée au forfait. Une seconde campagne trois mois plus tard mesure le progrès réel : c'est cette comparaison, et non le taux initial, qui dit si le dispositif a servi. Dans les PME que nous accompagnons, le taux de clic chute fortement entre la première et la deuxième campagne.

C'est l'action la moins coûteuse du plan d'action de sécurité, et souvent la plus rentable. Elle se renouvelle utilement une à deux fois par an, en particulier après des arrivées dans l'équipe.