Sensibilisation cybersécurité : collectivités et hôpitaux

La sensibilisation cybersécurité des collectivités et des hôpitaux doit viser les personnes qui décrochent le téléphone, pas seulement les informaticiens. Standard, accueil, comptabilité, secrétariat médical et services techniques reçoivent chaque jour des appels d'inconnus. Les fraudeurs le savent : ils cherchent la porte la moins gardée, et c'est souvent un poste d'accueil.

Cet article présente les trois scénarios d'appel les plus fréquents dans le secteur public et la santé. Il propose une méthode à répéter et une façon d'organiser l'entraînement. Il prolonge notre guide sur la sensibilisation cybersécurité et le vishing.

Pourquoi les collectivités et les hôpitaux sont exposés par téléphone

Ces organisations ont des points communs. Elles reçoivent beaucoup d'appels extérieurs, elles ont des services dispersés, et leurs agents ont pour mission d'aider. Un agent qui refuse de rendre service se sent vite en faute, ce qui joue en faveur de l'appelant.

Les chiffres nationaux montrent la direction. Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, publié le 26 mars 2026, les fraudes au virement ont augmenté de 170 %. Elles touchent désormais la facturation électronique et la gestion de la paie. L'usurpation de numéro de téléphone a progressé de 517 %.

Ces chiffres concernent tous les publics. Ils rappellent surtout que le numéro affiché ne prouve rien. Une demande de changement de coordonnées bancaires mérite une vérification, quel que soit le service.

Scénario 1 : le faux fournisseur qui change de RIB

Imaginons un appel à la comptabilité d'une mairie. L'interlocuteur dit représenter l'entreprise qui entretient les bâtiments communaux. Il demande : « Nous avons changé de banque, pouvez-vous mettre à jour notre RIB avant le prochain paiement ? » Un courriel de confirmation arrive quelques minutes plus tard, avec un logo correct.

Le piège repose sur la routine. Le fournisseur existe, la facture est réelle, et seule la destination du paiement change. La parade est une règle simple. Tout changement de coordonnées est confirmé par un rappel sur le numéro déjà connu du fournisseur, fait par une autre personne que celle qui a reçu la demande.

Ce scénario ressemble à celui décrit dans la fraude au président et au faux fournisseur, avec une particularité : dans le public, les marchés et les délais de paiement ajoutent une pression légitime.

Scénario 2 : le faux technicien qui veut un accès

Dans un hôpital, un appelant se présente comme le prestataire du logiciel de dossier patient. Il dit avoir détecté un incident. Il demande à un agent de lire un code, d'installer un outil de prise en main à distance ou de donner un mot de passe.

La pression vient de l'enjeu : « Si nous n'intervenons pas maintenant, le service perd l'accès aux dossiers. » L'agent veut protéger les soins, et cette envie est exactement ce que l'appelant exploite.

La réponse tient en une phrase : « Je ne donne aucun accès par téléphone. Je transmets votre demande à la direction des systèmes d'information, qui vous rappellera. » Le sujet est proche de celui des demandes de réinitialisation de mot de passe au service desk.

Scénario 3 : l'appel au standard ou à l'accueil

Le standard est un point d'entrée discret. Un fraudeur peut y chercher des noms, des organigrammes, des numéros de postes ou la date d'absence d'un responsable. Ces informations servent ensuite à préparer un appel plus crédible vers un autre service.

Un appel qui semble anodin peut être une étape. « Pouvez-vous me passer la directrice financière ? Elle est en congé ? Jusqu'à quand ? » Chaque réponse est polie, et chacune donne un élément de plus à l'appelant.

Le standardiste n'a pas à soupçonner tout le monde. Il a besoin d'une règle claire sur ce qu'il peut dire. Il lui faut aussi des phrases pour le dire sans froisser : « Je ne communique pas les présences par téléphone, mais je peux transmettre un message. »

Une méthode simple pour tous les agents

Dans un hôpital ou une mairie, les agents n'ont pas le même métier, mais la même méthode peut servir à tous. Elle doit tenir en quelques gestes mémorisables.

1. Écouter sans promettre. Laisser l'interlocuteur finir, puis dire : « Je note votre demande. »
2. Repérer le levier. Urgence, autorité, culpabilité, demande présentée comme minime. Nommer le levier aide à lui résister, comme l'explique l'article sur les leviers de l'ingénierie sociale.
3. Rappeler par un canal connu. Voir la procédure de rappel indépendant.
4. Signaler. Prévenir le référent sécurité, même si l'appel semble sans suite.

Pour le dernier point, une grille de notes à remplir pendant l'appel est proposée dans l'article sur le signalement d'un incident de sécurité.

Les phrases à avoir en tête

• « Je comprends que ce soit urgent. Je dois suivre la procédure, je vous rappelle. »
• « Je ne peux pas modifier des coordonnées bancaires sur simple appel. »
• « Je n'ai pas le droit de donner cette information par téléphone. »
• « Donnez-moi votre nom et votre numéro, je transmets au service compétent. »
• « Je préfère vérifier, et si c'est vrai, cela ne vous gênera pas. »

Une bonne phrase de refus ne se justifie pas longuement. Plus l'agent explique, plus l'appelant a de prises pour négocier. Cette idée est développée dans l'article sur comment dire non au téléphone sous pression.

Pourquoi la pratique orale compte dans ces métiers

Les agents publics et les soignants ont déjà beaucoup de modules à suivre. Un module de plus, cliqué entre deux tâches, laisse peu de traces. Ce qui reste, c'est le geste qu'on a déjà fait.

Un agent s'est entraîné à dire « je ne peux pas, je vous rappelle » devant une voix insistante. Il le dit plus naturellement le jour J. Il a vécu la gêne, le silence qui s'installe, la tentation de céder. Ce n'est pas la connaissance qui change, c'est la facilité à agir.

La mise en situation a aussi un avantage pour les équipes de santé : elle respecte le temps de chacun. Une séance courte, à la voix, au poste de travail, vaut mieux qu'une formation lourde difficile à planifier. D'autres exemples sur les conversations difficiles en milieu de soin.

Organiser l'entraînement avec des jeux de rôle

Face Up permet aux formateurs de créer leurs propres jeux de rôle, à partir des cas réels de leur établissement. Le formateur décrit le persona : un faux fournisseur qui insiste, un faux technicien qui s'énerve. L'agent lui répond à la voix. Il reçoit ensuite un débriefing avec ses points forts, ses points à améliorer et des citations de ce qu'il a dit.

Le contenu reste celui du terrain : un RIB à changer, un accès à distance demandé, un appel au standard. Le formateur choisit le niveau de pression et l'objectif attendu. L'agent peut rejouer autant de fois que nécessaire. Pour le cadre général, voir les jeux de rôle Face Up.

Erreurs fréquentes

Les formations de ce type échouent rarement par manque de bonne volonté. Elles échouent parce que les règles restent abstraites. Voici les erreurs que l'on rencontre le plus souvent.

• Réserver la sensibilisation aux informaticiens et aux cadres.
• Oublier l'accueil, le standard et le secrétariat, qui sont des portes d'entrée.
• Donner des règles sans phrases pour les appliquer.
• Ne pas dire clairement à qui signaler, ni comment.
• Traiter un appel raté comme une faute plutôt que comme une information.

La régularité compte autant que le contenu. Une séance courte et répétée, en petits groupes, s'organise plus facilement qu'une formation longue. Elle permet aussi au référent sécurité de recueillir les appels réels et d'en faire de nouveaux scénarios.

Cette boucle entre le terrain et la formation est la plus utile. Chaque tentative d'appel signalée devient un cas à rejouer, avec les mots exacts de l'appelant, et l'équipe progresse sur ce qu'elle rencontre vraiment.

Questions fréquentes

Qui former en premier dans une collectivité ?

Les agents qui touchent à l'argent, aux accès ou à l'information : comptabilité, paie, standard, accueil et support informatique. Une seule personne mal préparée suffit à ouvrir la porte.

Faut-il former les soignants au vishing ?

Oui, au moins ceux qui répondent au téléphone et ont accès aux systèmes. La formation doit être courte et liée à leurs situations, pas à un vocabulaire technique.

Comment aborder la question de la déontologie ?

La vigilance face aux appels fait partie de la probité du service. Le lien est traité dans notre article sur la formation déontologie dans la fonction publique.

Pour construire un scénario d'appel adapté à votre mairie ou à votre hôpital, demandez une démonstration.