Dans cet article
Former une équipe contre le phishing et les deepfakes en 2026 ne consiste plus à apprendre à repérer les fautes d'orthographe : cela passe par une règle de confirmation par un second canal, des sessions courtes et fréquentes avec des cas réels, des simulations sans sanction et un bouton de signalement avec un retour le jour même. C'est l'approche que DataRoad - IT Services and Consulting intègre à la cybersécurité gérée de ses clients, car la fraude a évolué bien plus vite que la formation de la plupart des entreprises.
Trois sauts technologiques dans la fraude
- Le texte Des e-mails frauduleux en portugais correct, avec le ton et la signature de la personne imitée.
- La voix Quelques secondes d'audio public, tirées d'une interview ou d'une vidéo LinkedIn, suffisent à générer un appel avec la voix d'un dirigeant.
- L'image Des visioconférences avec des visages générés en temps réel ont déjà servi à autoriser des virements dans des entreprises européennes.
Ce qui unit les trois n'est pas la technique : c'est l'urgence combinée à l'autorité. Quelqu'un d'important veut quelque chose tout de suite, en dehors de la procédure normale.
La règle qui rend l'imitation sans effet
Une formation qui apprend seulement à détecter échouera, car certaines fraudes sont indétectables. Ce qui fonctionne ne dépend pas de la détection : paiements, modifications de coordonnées bancaires et envois de données sensibles se confirment toujours par un second canal, auprès d'un contact déjà connu.
Un nouvel IBAN dans un e-mail du fournisseur ? On appelle le numéro figurant au contrat. Un virement demandé par le CEO en visioconférence ? On confirme par téléphone, sur son numéro. Si la règle est absolue — et que la direction l'applique aussi — la qualité de l'imitation n'a plus d'importance. Nous développons ce point dans l'analyse de la fraude à la facture avec IBAN modifié.
Un plan de sensibilisation en quatre volets
1. Des sessions courtes et thématiques
Une session annuelle de deux heures est oubliée au bout d'un mois. Ce qui fonctionne, ce sont des sessions de 15 à 20 minutes tous les deux ou trois mois, une par thème : e-mail, appels, visioconférences, réseaux sociaux, clés USB et fichiers. Toujours avec des exemples réels, de préférence des tentatives reçues par l'entreprise elle-même, anonymisées — on se souvient du faux e-mail de l'EDP reçu par une collègue, pas d'une diapositive générique.
2. Des simulations qui enseignent au lieu d'exposer
Celui qui clique reçoit une explication courte et immédiate, jamais un reproche public — la peur pousse à cacher. Et on mesure le taux de signalement, pas seulement celui de clic : une entreprise où 5 % cliquent et 60 % signalent est mieux protégée qu'une entreprise où 2 % cliquent et personne ne prévient. Commencez par une simulation par trimestre et augmentez progressivement la difficulté.
3. Signaler en deux secondes
Un bouton dans Outlook ou une adresse interne connue de tous. Celui qui signale doit savoir le jour même s'il s'agissait d'une fraude. Sans réponse, les gens abandonnent au bout d'un mois ; avec une réponse, l'équipe devient le capteur le plus rapide de l'entreprise.
4. Un mode opératoire face aux deepfakes
- Accepter la réalité Une voix et un visage exacts ne garantissent rien ; c'est l'état actuel de la technologie.
- Signaux d'alerte Demande hors procédure, précipitation, demande de confidentialité, refus du canal habituel. Utiles, mais insuffisants.
- Réponse type Je te confirme ça tout de suite par le canal habituel, et on raccroche. Si la direction le dit à voix haute pendant la formation, l'équipe le fera sans crainte.
- Mot de passe verbal Convenu entre la direction et le service financier pour les demandes d'argent : simple, sans coût et efficace.
Qui a besoin d'une formation renforcée
- Finance et comptabilité Les virements.
- Ressources humaines Les données personnelles et les changements de compte de salaire.
- Accueil et assistants de direction Agendas et demandes au nom de tiers. Dans les ambassades, cliniques et hôtels que nous gérons, l'accueil est souvent la première cible.
- Direction Elle reçoit les attaques les plus personnalisées et c'est elle qui assiste le moins aux formations.
Les couches techniques avant les personnes
La formation est la dernière ligne de défense. Avant elle, il faut : un filtrage des e-mails qui signale les messages externes et bloque les pièces jointes exécutables ; SPF, DKIM et DMARC pour compliquer l'envoi d'e-mails au nom de l'entreprise ; et l'authentification multifacteur pour qu'un mot de passe volé ne suffise pas. S'y ajoutent les pare-feu gérés et la protection de Microsoft 365.
Questions fréquentes
À quelle fréquence former l'équipe ?
Des sessions courtes tous les deux ou trois mois et une simulation par trimestre fonctionnent mieux qu'une longue session par an.
Les simulations ne créent-elles pas de la méfiance ?
Seulement si elles servent à sanctionner. Avec une explication de deux minutes à chaque clic et de la reconnaissance pour ceux qui signalent, le sujet devient un sujet dont on parle ouvertement.
Comment reconnaître un faux appel avec la voix de mon supérieur ?
Il n'existe aucun moyen sûr. C'est pourquoi on n'essaie pas de détecter : on raccroche et on rappelle le numéro connu, ou on utilise le mot de passe verbal convenu.
La formation est-elle obligatoire ?
Le RGPD exige des mesures organisationnelles appropriées et la NIS2 impose une formation en cybersécurité dans les entités concernées, y compris pour les organes de direction. En dehors de cela, elle reste la mesure au meilleur rapport coût-bénéfice.
Commencez par votre équipe
Dans le cadre de la cybersécurité gérée de DataRoad, nous préparons la session initiale, la première simulation et le bouton de signalement, et configurons le filtrage et le MFA pour que moins de fraudes atteignent vos collaborateurs. En 11 ans, DataRoad n'a jamais subi d'incident de sécurité.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone
+351 211 459 950* · sales@dataroad.pt
*Appel vers un fixe portugais
