Simulation de phishing : limites et ce qu'il faut ajouter à la voix

Une simulation de phishing mesure un clic sur un faux e-mail, pas la manière dont un salarié tient une conversation avec un faux interlocuteur. Elle reste utile, mais elle ne prépare pas au vishing, l'hameçonnage par téléphone. Pour couvrir la voix, il faut ajouter une pratique orale, avec des règles de vérification simples et un débriefing.

Cet article explique ce que les campagnes de faux e-mails mesurent vraiment, où elles s'arrêtent, et comment compléter le dispositif sans le défaire.

Que mesure une simulation de phishing, au juste ?

Une campagne envoie un faux message à des salariés. L'outil note ensuite qui a cliqué, qui a saisi un identifiant et, selon les dispositifs, qui a signalé le message. On obtient un taux de clic, par équipe et dans le temps.

C'est un indicateur précieux pour un canal précis : l'e-mail. Il révèle les populations les plus exposées et permet de tester un nouveau message d'alerte. Il donne aussi un point de départ chiffré à la direction.

Mais le clic est un geste unique, rapide et solitaire. Le salarié est seul devant son écran, il peut s'arrêter, regarder l'adresse de l'expéditeur, demander à un collègue. Rien ne le presse, sauf le message lui-même.

Pourquoi le téléphone change la nature du problème

Au téléphone, l'attaquant parle en direct. Il réagit à vos hésitations, répond à vos objections, relance quand vous doutez. L'urgence n'est plus écrite, elle est dans la voix.

La situation ressemble davantage à un entretien qu'à un tri de courrier. Trois choses la distinguent d'un e-mail :

• Le rythme est imposé : l'appelant décide quand vous devez répondre, et le silence devient gênant.
• La relation est sociale : refuser une personne qui semble aimable ou en difficulté coûte plus cher que supprimer un message.
• Rien ne reste : pas de lien à survoler, pas d'en-tête à examiner, seulement ce que vous avez retenu.

Le savoir théorique (« je ne donne jamais mon code ») ne suffit donc pas. Il faut le prononcer, à voix haute, contre quelqu'un qui insiste. C'est ce que détaille notre article sur les leviers psychologiques de l'ingénierie sociale.

Les cinq limites des campagnes de faux e-mails

1. Elles ne testent que l'écrit

Un salarié très prudent avec ses e-mails peut céder à un appel bien mené. Les deux compétences ne se recoupent que partiellement. Réussir l'une ne dit rien de l'autre.

2. Elles mesurent un clic, pas un réflexe de vérification

Ne pas cliquer peut venir d'une vraie vigilance, mais aussi d'un message mal écrit ou d'un jour sans temps. Le taux de clic ne dit pas si la personne saurait vérifier un appelant, ni quelle phrase elle emploierait.

3. Elles peuvent produire un effet de lassitude ou de défiance

Quand les salariés se sentent piégés, certains cessent de signaler par crainte du jugement. Le dispositif doit rester pédagogique : une erreur doit mener à une explication, pas à un classement.

4. Elles se limitent à des attaques à sens unique

Dans un faux e-mail, le salarié ne peut pas négocier, poser une question ou entendre l'attaquant changer de tactique. Or c'est exactement ce qui se passe dans un vishing réel.

5. Elles laissent de côté les populations qui décrochent

Standards, accueil, service desk, comptabilité fournisseurs, conseillers : beaucoup de métiers reçoivent des appels entrants par nature. Leur exposition vient du téléphone, pas de la boîte mail.

Ce que disent les chiffres sur le facteur humain

Le rapport 2025 de Verizon sur les violations de données (DBIR) indique que l'élément humain intervient dans environ 60 % des violations analysées. Ce chiffre ne vise pas que le phishing. Il ne dit rien du canal. Il rappelle surtout que la technique seule ne suffit pas.

Pour la voix, aucune statistique d'un seul rapport ne doit servir de preuve. L'essentiel est ailleurs : les modes opératoires par téléphone, comme le faux conseiller bancaire ou la fraude au président, reposent sur la parole et le timing. Un test sur écran ne les reproduit pas.

Que faut-il ajouter à une campagne de phishing ?

Ne supprimez pas vos campagnes. Complétez-les sur trois points.

1. Des règles de vérification orales, courtes et identiques pour tous. Par exemple : raccrocher et rappeler par un numéro officiel, jamais celui donné par l'appelant. Notre article sur la procédure de rappel par un canal indépendant détaille la formule.
2. Une pratique de la conversation. Le salarié répète la phrase qui refuse, face à quelqu'un qui insiste, jusqu'à ce qu'elle sorte sans effort.
3. Un signalement mesuré autant que le clic. On compte combien de personnes signalent et avec quelle qualité d'information.

Ces trois éléments se retrouvent dans l'article pilier sur la sensibilisation cybersécurité et le vishing.

Comment entraîner la voix : le jeu de rôle

Un réflexe oral se construit en le disant. Le jeu de rôle place le salarié face à un interlocuteur qui insiste, flatte ou menace, et lui laisse la parole. Il peut se tromper sans conséquence, puis recommencer.

Avec Face Up, le formateur écrit le scénario à partir de ses cas réels. Le salarié parle à un persona joué par une IA, par exemple un faux fournisseur. Il reçoit ensuite un débriefing avec ce qu'il a dit et ce qu'il pouvait faire autrement. Pour la méthode complète, voyez comment construire une simulation de vishing en jeu de rôle IA.

Ce type d'exercice ne remplace pas l'e-learning ni les campagnes d'e-mails. Il couvre ce qu'ils ne couvrent pas : la parole sous pression.

Imaginons un appel : ce qu'un test d'e-mail ne voit pas

Un comptable fournisseurs, que l'on appellera Paul, réussit toutes les campagnes de faux e-mails depuis deux ans. Un matin, un homme se présente comme le responsable d'un fournisseur habituel. Il dit que son IBAN a changé et que le règlement du jour doit partir avant midi.

Paul connaît le nom du fournisseur, le ton est courtois, et l'appelant mentionne une vraie facture. Il ajoute que son directeur financier attend la confirmation. Le temps presse, la voix s'agace un peu, et le silence de Paul se prolonge.

Aucune campagne d'e-mails n'a appris à Paul la phrase qui sort à cet instant. Celle qui marche est simple : « Je ne modifie jamais un IBAN par téléphone. Je vous rappelle sur le numéro de votre fiche fournisseur. » Elle se dit en deux secondes, mais seulement si elle a déjà été dite à voix haute.

Comment lire un taux de clic sans se tromper

Un bon taux de clic est une bonne nouvelle sur l'e-mail, rien de plus. Trois précautions évitent les mauvaises conclusions.

• Comparez ce qui est comparable. Un faux message grossier et un faux message très ciblé ne donnent pas le même taux. Notez la difficulté de chaque campagne.
• Regardez la tendance, pas la valeur isolée. Une baisse régulière sur plusieurs campagnes dit plus qu'un chiffre ponctuel.
• Croisez avec le signalement. Un faible clic sans aucun signalement peut signifier que personne n'a vu le message, ou que personne n'ose le dire.

Ces limites rejoignent celles que l'on observe pour l'e-learning en général, décrites dans notre article sur l'e-learning cybersécurité et les réflexes.

Une grille pour compléter votre dispositif

Avant de lancer votre prochaine campagne, posez-vous quatre questions. Si deux réponses sont « non », le dispositif a un angle mort sur la voix.

1. Chaque salarié exposé au téléphone connaît-il une règle de vérification orale unique ?
2. Est-il déjà arrivé à chacun de prononcer la phrase de refus, face à quelqu'un, avant le jour réel ?
3. Sait-il à qui signaler un appel suspect, et quelles informations noter ?
4. Mesurez-vous autre chose que le clic, par exemple le signalement ou la réussite d'un exercice oral ?

Questions fréquentes

Faut-il arrêter les simulations de phishing ?

Non. Elles mesurent bien un risque réel sur l'e-mail et sensibilisent à grande échelle. Le point est de ne pas conclure, à partir d'un faible taux de clic, que les équipes sont prêtes pour le téléphone.

Peut-on organiser de faux appels surprises ?

C'est possible dans certaines organisations, mais cela demande un cadrage juridique et social solide (information des représentants du personnel, anonymat, pas de sanction). Un exercice annoncé et débriefé reste plus simple à mettre en place et plus formateur.

Quel indicateur suivre à la place du taux de clic ?

Suivez-en plusieurs : taux de signalement, délai de signalement, qualité du signalement et réussite à des exercices de vérification orale. Notre article sur la mesure de l'efficacité d'une sensibilisation en propose une grille.

Qui doit s'entraîner en priorité à la voix ?

Les métiers qui reçoivent des appels entrants ou valident des opérations : accueil, service desk, trésorerie, comptabilité fournisseurs, conseillers clientèle. Commencez par eux, avec des scénarios tirés de leurs cas réels.

Vous voulez voir à quoi ressemble un exercice de vérification d'appelant, écrit par vos formateurs ? Réservez une démonstration de Face Up.