Un pare-feu bien configuré, un antivirus à jour, des sauvegardes testées régulièrement : tout cela peut être contourné par un seul collaborateur qui clique sur un lien de phishing.
Selon le rapport 2024 de Verizon sur les violations de données (DBIR), 68 % des incidents de cybersécurité impliquent une erreur ou une action humaine. Les outils techniques ne suffisent pas si les personnes qui les utilisent ne savent pas reconnaître une tentative d’attaque.
Cet article explique quelles sont les menaces que vos collaborateurs rencontrent au quotidien, comment les préparer à y faire face, et ce qu’on observe concrètement quand la sensibilisation est absente.
Les menaces que vos collaborateurs reçoivent sans le savoir
Le phishing
Le phishing est la première cybermenace pour les entreprises françaises. En 2024, il représente 73 % des demandes d’assistance des entreprises liées à une cyberattaque. (Source : Cybermalveillance.gouv.fr, rapport d’activité 2024.) Un email qui semble venir d’un fournisseur, d’une banque ou d’un collègue de la direction avec un lien à cliquer ou un document à ouvrir. Le collaborateur n’a aucune raison de se méfier si personne ne lui a appris à reconnaître les signaux d’alerte.
Chiffre clé
En 2025, 43 % des TPE-PME françaises ont déjà été victimes de phishing, contre 24 % en 2024. En un an, la proportion a quasiment doublé.
(Source : Baromètre national de maturité cyber des TPE-PME 2025, Cybermalveillance.gouv.fr)
Les mots de passe faibles ou réutilisés
Un mot de passe identique sur la messagerie professionnelle et sur un service personnel, c’est une porte d’entrée directe dans le réseau de l’entreprise. Quand le service personnel est compromis les identifiants professionnels le sont aussi.
La double authentification (MFA) réduit considérablement ce risque. Elle n’est pourtant activée que par 26 % des PME françaises selon les données Cybermalveillance.gouv.fr 2025.
Le partage non sécurisé de données
Un fichier client envoyé par email personnel, un document confidentiel stocké sur un service grand public non approuvé par l’entreprise, un accès partagé via un lien public sans mot de passe : ces comportements exposent des données sensibles sans que personne n’en ait conscience.
Le télétravail et les connexions depuis l’extérieur
Depuis un réseau Wi-Fi domestique ou public, sans VPN, la connexion aux outils de l’entreprise n’est pas chiffrée. Un attaquant positionné sur le même réseau peut intercepter les échanges. C’est un risque que beaucoup de collaborateurs ignorent parce que personne ne le leur a expliqué.
Ce que ça coûte quand la sensibilisation est absente
Le coût moyen d’une violation de données pour une PME en France s’élève à 130 000 euros. (Source : ANSSI / Ellisphere, bilan cybersécurité 2023.) Ce chiffre recouvre les coûts de réponse à l’incident, l’interruption d’activité et, dans les cas de ransomware, le paiement éventuel d’une rançon.
Point de contexte
Selon plusieurs études sectorielles, une cyberattaque peut avoir des conséquences durables sur l’activité d’une entreprise, allant jusqu’à la fermeture pour les structures les moins préparées. Pour une PME sans plan de continuité, un incident majeur peut être irréversible.
Ces chiffres ne concernent pas des entreprises négligentes. Ils concernent des entreprises qui avaient des outils en place mais dont les collaborateurs n’étaient pas préparés à faire face aux techniques d’ingénierie sociale.
Ce qu’une sensibilisation concrète change
Former les collaborateurs ne signifie pas leur imposer une journée de formation théorique sur la cybersécurité. Les formats qui fonctionnent sont courts, concrets et répétés dans le temps.
Les exercices de phishing simulé
Envoyer de faux emails de phishing aux collaborateurs pour tester leurs réflexes est l’exercice le plus efficace. Selon le rapport Verizon DBIR 2024, 20 % des utilisateurs ayant participé à des simulations de phishing ont identifié et signalé les tentatives frauduleuses. C’est une proportion qui augmente significativement après quelques cycles de formation.
Les règles simples expliquées
Un collaborateur qui comprend pourquoi une règle existe l’applique mieux qu’un collaborateur à qui on a simplement dit de la respecter. Expliquer concrètement ce que peut faire un attaquant avec un mot de passe réutilisé ou un clic sur un lien suspect change les comportements durablement.
Les bons réflexes à ancrer
- Vérifier l’adresse email expéditrice avant d’ouvrir une pièce jointe ou de cliquer sur un lien. Pas seulement le nom affiché
- Ne jamais renseigner des identifiants sur une page dont l’URL n’a pas été vérifiée
- Signaler immédiatement au service informatique tout email ou comportement suspect
- Utiliser un mot de passe différent pour chaque compte professionnel, géré via un gestionnaire de mots de passe
- Activer la double authentification sur tous les accès critiques : messagerie, VPN, outils métier
- Verrouiller son poste dès qu’on s’éloigne, même brièvement
- Ne jamais connecter une clé USB dont l’origine est inconnue
Ces réflexes ne demandent pas de compétences techniques. Ils demandent d’avoir été informé et de comprendre l’enjeu.
Comment structurer une démarche de sensibilisation dans une PME
Une PME n’a pas besoin de monter un programme de formation élaboré pour commencer. L’essentiel est de démarrer par le plus exposé.
- Identifier les personnes les plus ciblées. Les assistantes de direction, les DAF, les commerciaux et les dirigeants eux-mêmes sont les cibles prioritaires des attaques par phishing et fraude au président.
- Expliquer les menaces concrètes. Pas en termes techniques, mais en situations : voici l’email que vous pourriez recevoir, voici ce que l’attaquant cherche à obtenir, voici comment le reconnaître.
- Tester régulièrement. Un exercice de phishing simulé une fois par mois maintient la vigilance sans alourdir le quotidien.
- Intégrer la cybersécurité dans l’onboarding. Un nouveau collaborateur qui arrive sans formation sur les bonnes pratiques est une faille immédiate.
- Définir une procédure claire en cas d’incident. Qui appelle-t-on ? Que fait-on dans les premières minutes ? Une procédure simple connue de tous réduit le temps de réaction et limite les dégâts.
