Sensibilisation cybersécurité : entraîner les équipes au vishing

Une sensibilisation à la cybersécurité efficace entraîne les équipes à réagir à un appel, pas seulement à reconnaître un courriel piégé. Le vishing, l'hameçonnage par téléphone, contourne les outils techniques : l'attaquant obtient un code, une validation ou un virement de la victime elle-même. Le réflexe qui l'arrête, vérifier par un autre canal, se construit par la pratique orale sous pression.

Ce guide pose les bases d'un programme de sensibilisation qui intègre la voix. Il couvre les gestes à installer, les métiers à cibler, le signalement et la mesure. Il sert aussi de point d'entrée vers les articles détaillés de notre dossier.

Pourquoi la voix est le maillon oublié de la sensibilisation

La plupart des programmes de sensibilisation sont nés autour du courriel : repérer un lien suspect, vérifier un expéditeur, signaler un message. Cet apprentissage est utile. Il laisse pourtant de côté un canal où l'attaquant dispose de tous les avantages.

Au téléphone, il n'y a ni lien à survoler, ni en-tête à examiner, ni temps de réflexion. Il y a une voix, un contexte inventé et une demande. L'attaquant peut s'adapter à chaque réponse. Il relance, s'agace, rassure, flatte.

Notre article sur la définition du vishing et ses exemples détaille ces appels. Retenons ici l'essentiel : le vishing est une conversation, et une conversation se prépare en conversant. Côté courriel, voir aussi la définition du phishing et ses exemples.

Ce que disent les chiffres de la menace

Dans son rapport d'activité 2025, publié le 26 mars 2026, Cybermalveillance.gouv.fr indique avoir assisté plus de 500 000 victimes. C'est 20 % de plus qu'en 2024. Il note que l'hameçonnage arrive au premier rang des menaces, tous publics confondus, avec une hausse de 70 %. Le communiqué précise que les vagues d'hameçonnage se font par SMS, courriels ou même appels audio.

Le même document relève plusieurs hausses qui concernent directement le téléphone :

• la fraude au faux conseiller bancaire, en hausse de 159 % ;
• les fraudes au virement, en hausse de 170 % ;
• l'usurpation de numéro de téléphone, en hausse de 517 %.

Il décrit aussi un marché de la donnée volée désormais structuré, avec des centres d'appels de faux téléconseillers spécialisés en manipulation. Les attaquants disposent de données fraîches pour personnaliser leurs appels. Face à cette industrialisation, une sensibilisation limitée à un module annuel ne fait pas le poids.

Ce que l'attaque contre Crédit Mutuel Arkéa rappelle

Le 4 novembre 2026, le groupe Crédit Mutuel Arkéa a annoncé avoir été victime d'une cyberattaque et a porté plainte le jour même. Selon les informations relayées par l'AFP et franceinfo, la banque évoque une attaque sophistiquée venue de l'extérieur. Elle est passée par la plateforme d'un de ses prestataires. La banque écarte l'erreur humaine. Les montants sont en cours d'évaluation, et le parquet de Paris a ouvert une enquête.

Cet épisode n'est pas un cas de vishing, et il ne faut pas l'utiliser comme tel. Il rappelle autre chose : la sensibilisation n'est qu'une couche de défense, à côté de la sécurité des prestataires et des outils. Aucune formation ne remplace une architecture solide.

La banque a toutefois mis en garde ses clients contre des tentatives d'hameçonnage usurpant son identité. C'est un schéma connu : après un événement médiatisé, les escroqueries de faux conseillers et de faux services sécurité profitent de la confusion. Nous détaillons cette mécanique dans notre article sur la vague d'arnaques qui suit une cyberattaque.

Les cinq gestes qui sauvent face à un appel suspect

Un programme efficace choisit peu de règles et les rend automatiques. Voici cinq gestes à installer.

1. Comprendre les leviers de l'attaquant

Urgence, autorité, culpabilité, isolement : les appelants actionnent les mêmes ressorts. Les connaître permet de les repérer à l'oreille. Ils sont décrits dans notre article sur l'ingénierie sociale.

2. Ne pas se fier à la voix ni au numéro affiché

Un numéro peut être usurpé, et une voix peut être imitée. Notre article sur le clonage de voix par IA montre pourquoi reconnaître un interlocuteur ne suffit plus. Un mot convenu à l'avance et le rappel deviennent des garde-fous.

3. Vérifier l'identité par des moyens fiables

Poser des questions dont la réponse est publique ne prouve rien. Il faut des vérifications que l'attaquant ne peut pas obtenir en ligne, détaillées dans les questions pour vérifier l'identité d'un appelant.

4. Rappeler par un canal indépendant

C'est le geste le plus efficace : raccrocher, puis rappeler un numéro connu de l'organisation, jamais celui donné par l'appelant. La procédure de contre-appel casse la plupart des scénarios de vishing.

5. Savoir dire non sans se justifier

Le refus est un geste social, pas technique. Il s'apprend en le prononçant. Voir comment tenir un refus face à un appelant qui insiste.

Les métiers à entraîner en priorité

Tous les salariés ne reçoivent pas les mêmes appels. Un programme efficace adapte ses scénarios aux postes les plus exposés.

• Comptabilité et trésorerie : fausse demande de virement, changement de RIB. Voir la fraude au président par téléphone.
• Service desk : demande de réinitialisation de mot de passe ou de facteur d'authentification. Voir l'ingénierie sociale au support informatique.
• Conseillers clientèle : appels de faux clients et de clients victimes de faux conseillers. Voir le mode opératoire du faux conseiller bancaire et la formation au vishing dans la banque.
• Collectivités et hôpitaux : standards, accueils, services techniques. Voir la sensibilisation dans le secteur public et les hôpitaux.

Cette liste n'est pas exhaustive. Le bon point de départ reste l'analyse des appels réellement reçus par l'organisation. Les formateurs connaissent mieux les situations de leurs équipes que n'importe quel catalogue.

Construire un programme en quatre étapes

Un programme de sensibilisation au vishing ne demande pas de refonte complète. Il se construit par étapes, en partant de l'existant.

1. Recenser les appels réels. Quels appels suspects les équipes ont-elles reçus ? Quels postes ont été sollicités ? Le service sécurité, le support et les managers détiennent cette matière.
2. Fixer des règles courtes. Trois ou quatre règles, écrites en phrases simples. On ne donne jamais de code par téléphone. On rappelle toujours par un canal connu. On signale toute tentative.
3. Entraîner à l'oral. Chaque règle est jouée en situation, avec un interlocuteur qui insiste. L'apprenant dit la phrase, il ne se contente pas de la lire.
4. Mesurer et ajuster. Les signalements, les progrès d'une séance à l'autre et les nouvelles tentatives rencontrées nourrissent les scénarios suivants.

Le point important est la boucle : les cas réels alimentent les scénarios, et les scénarios préparent aux cas réels suivants.

Les erreurs fréquentes des programmes de sensibilisation

• Tout miser sur le courriel. Le téléphone et les messageries restent hors du champ de l'entraînement.
• Multiplier les règles. Une personne sous pression applique trois règles, pas quinze.
• Culpabiliser les victimes. Une organisation qui sanctionne obtient moins de signalements, donc plus de dégâts.
• Se fier à la reconnaissance de la voix. Elle ne prouve plus rien, comme le montre l'article sur le clonage de voix.
• Mesurer la complétion. Un module terminé ne dit rien du comportement face à un appelant.
• Ne former qu'une fois par an. Un réflexe qui n'est pas entretenu s'efface.

Éviter ces erreurs coûte peu. Cela demande surtout de décider que le téléphone fait partie du périmètre de la sensibilisation, au même titre que le courriel.

Les phrases à faire dire aux équipes

Une règle devient un réflexe quand elle a une forme verbale précise. Voici des phrases que les formateurs peuvent faire répéter, puis adapter au vocabulaire de leur organisation.

« Je vais vous rappeler sur le numéro officiel, merci de patienter. »

« Je ne donne aucun code par téléphone, même au service sécurité. »

« Cette demande suit une procédure, je la fais valider avant. »

« Je note votre nom et votre service, et je les transmets à la sécurité. »

Ces phrases ont trois qualités. Elles sont courtes, elles n'accusent personne et elles ne demandent aucune justification. L'employé n'a pas à décider si l'appelant est honnête. Il applique une règle que tout le monde connaît.

La dernière phrase a un rôle particulier : elle montre à l'appelant que l'échange sera tracé. Un fraudeur n'aime pas être noté, un interlocuteur sincère n'y voit aucun problème.

Check-list de lancement pour le responsable sensibilisation

Avant de lancer un programme, quelques vérifications évitent les mauvaises surprises.

• Les trois ou quatre règles sont écrites, validées par la direction et connues des managers.
• Un canal de signalement unique existe, et chacun sait comment l'utiliser.
• Les postes les plus exposés ont été identifiés, avec au moins un scénario par poste.
• La direction a affirmé qu'aucun dirigeant ne demandera jamais une opération hors procédure.
• Les indicateurs de suivi sont choisis avant le lancement : signalements, qualité des signalements, progression.
• Un point de retour d'expérience est prévu après chaque tentative réelle signalée.

Cette liste tient sur une page. Elle gagne à être relue avec la direction, car l'autorité de refuser doit venir d'en haut pour être crédible.

Signaler, y compris quand on a cédé

Un programme qui apprend à refuser sans apprendre à signaler reste incomplet. Chaque tentative, réussie ou non, est une information : elle permet de prévenir les collègues, de bloquer un virement, de repérer une campagne.

Pour que le signalement soit rapide, deux conditions s'imposent. Le canal doit être simple, un numéro ou une adresse connue de tous. Et personne ne doit craindre un reproche, car la honte retarde l'alerte.

La qualité du signalement compte aussi : nom donné, numéro affiché, heure, demandes formulées, leviers utilisés, ce qui a été communiqué. Une grille réutilisable figure dans notre article sur le signalement d'un incident de sécurité.

Pourquoi savoir ne suffit pas à réagir

Un module en ligne transmet des connaissances : on apprend qu'une banque ne demande jamais de code. Mais, pendant un appel, la personne doit mobiliser cette connaissance au bon moment, sous stress, face à quelqu'un qui insiste. Entre savoir et faire, il y a un écart que la lecture ne comble pas.

C'est la différence entre connaissance et réflexe. Un réflexe s'acquiert par répétition dans des conditions proches de la réalité, avec un retour immédiat. Nous analysons ce point dans notre article sur les limites de l'e-learning en cybersécurité.

Les campagnes de faux phishing posent un problème voisin. Elles mesurent un clic, pas une conversation. Elles ont leur utilité. Elles ne préparent pas à répondre à un appelant qui insiste, comme l'explique notre article sur les limites des simulations de phishing.

S'entraîner par la mise en situation orale

Ce qui construit le réflexe, c'est la pratique : dire la phrase de refus à voix haute, face à une personne qui relance. Le jeu de rôle le permet. Un formateur peut le faire en binôme, mais il ne peut pas rejouer la même scène avec chaque apprenant, aussi souvent que nécessaire.

Face Up répond à ce besoin. Les formateurs créent leurs propres scénarios, à partir des cas réels de leur organisation, avec l'aide d'un assistant de conception. L'apprenant parle, à la voix ou en vidéo, avec un persona joué par une IA : faux conseiller, faux fournisseur, collègue pressé. À la fin, il reçoit un débriefing. Celui-ci indique les objectifs atteints ou non, les points forts, les points à améliorer, un plan d'action et des citations de ce qu'il a dit. Il peut rejouer.

Les étapes de conception d'un tel scénario sont décrites dans notre article sur la simulation de vishing par jeu de rôle. Pour une vue d'ensemble de la méthode, voir les jeux de rôle proposés aux formateurs.

Mesurer ce qui compte vraiment

Le taux de complétion indique qui a ouvert le module. Le taux de clic mesure une réaction à un courriel. Ni l'un ni l'autre ne dit si une personne saurait refuser un appel.

Des indicateurs plus parlants existent. On peut suivre le taux de signalement, leur rapidité et leur qualité. On peut aussi suivre la progression d'une session de jeu de rôle à l'autre et le respect de la procédure de rappel. Notre article sur la mesure de l'efficacité d'une sensibilisation les détaille.

Le principe est de mesurer un comportement observable, pas une présence. Une équipe qui signale davantage de tentatives progresse, même si le nombre d'incidents déclarés augmente au départ.

Sensibilisation cyber et formations obligatoires

La sensibilisation à la cybersécurité s'inscrit souvent dans un ensemble plus large de formations obligatoires : lutte contre le blanchiment, protection des données, éthique, harcèlement. Ces formations partagent le même défaut : on les valide, on ne les pratique pas. Notre dossier sur les formations obligatoires de conformité par le jeu de rôle applique la même logique à ces sujets.

Les deux démarches se renforcent. Une personne qui s'est entraînée à vérifier un appelant applique le même réflexe quand un client lui demande une information qu'elle ne doit pas donner.

Questions fréquentes

Par où commencer une sensibilisation au vishing ?

Commencez par les postes les plus exposés : comptabilité, service desk et relation client. Posez une règle unique : raccrocher et rappeler par un canal indépendant. Ajoutez un canal de signalement simple. Étendez ensuite à d'autres métiers.

À quelle fréquence faut-il s'entraîner ?

Un entraînement ponctuel s'oublie. Des séances courtes et espacées, avec de nouveaux scénarios, entretiennent le réflexe. La bonne fréquence dépend des équipes et du niveau d'exposition, et se règle avec le formateur.

Une sensibilisation suffit-elle à se protéger ?

Non. Elle réduit le risque lié aux appels et aux messages. Elle ne remplace ni la sécurité technique, ni la maîtrise des prestataires, ni les procédures de validation. Elle en est une couche.

Un jeu de rôle remplace-t-il l'e-learning ?

Ils se complètent. L'e-learning transmet les connaissances, le jeu de rôle installe le réflexe. Le plus efficace est de combiner les deux, en gardant la pratique orale pour les situations où l'on doit réagir en direct.

Pour voir comment un formateur construit un scénario de vishing et fait pratiquer ses équipes, demandez une démonstration.