Sensibilisation au phishing des salariés : le programme pas à pas pour une PME au Maroc

La réponse courte : la sensibilisation au phishing qui fonctionne est un programme continu, pas une conférence par an. Il tient en six étapes : cadrer avec la direction et les RH, équiper chaque salarié d’un bouton de signalement simple, mesurer le point de départ par une première simulation, former en séances courtes adaptées aux métiers, répéter à un rythme régulier avec des scénarios variés, et piloter avec un indicateur clé : la part des salariés qui signalent le message suspect. Ce guide détaille chaque étape, les outils disponibles et les erreurs qui font échouer la plupart des programmes.

Chez ALLSAFE SOLUTIONS, infogérant à Casablanca, nous mettons en place et animons ces programmes dans le cadre de notre offre de cybersécurité des entreprises au Maroc. Les capacités d’outils citées ici proviennent de la documentation des éditeurs ; nous ne citons ni prix ni statistiques, qui varient selon les sources et les périodes.

Pourquoi former les salariés, et pourquoi la formation annuelle ne suffit pas

La plupart des incidents que nous traitons commencent par un message : faux changement de RIB fournisseur, fausse page de connexion Microsoft 365, facture piégée, faux support informatique. Nous les décrivons dans les 8 arnaques par mail qui ciblent les PME. Les filtres de messagerie en arrêtent beaucoup, mais pas tous, et les messages qui passent sont souvent les mieux préparés.

Une formation annuelle en salle a deux limites. Elle s’oublie vite, parce que les réflexes se construisent par la répétition. Et elle ne mesure rien : on ne sait pas qui aurait cliqué, ni si les salariés savent quoi faire d’un message douteux. Un programme continu corrige les deux, en alternant exercices réalistes et rappels courts, et en suivant des indicateurs d’un cycle à l’autre.

Étape 1 : cadrer le programme avec la direction et les RH

Avant le premier e-mail simulé, quatre décisions doivent être écrites et validées.

• L’objectif : faire signaler les messages suspects, et non piéger les salariés. Cette phrase doit figurer dans la communication interne.
• Le périmètre : tous les salariés qui ont une adresse e-mail, y compris la direction, les stagiaires et les comptes partagés utilisés par des personnes.
• L’usage des résultats : des résultats suivis par service, une restitution individuelle confidentielle, et aucune sanction liée à une simulation. Les données d’un exercice concernent des personnes identifiables : elles relèvent de la loi 09-08 sur la protection des données personnelles. Informez les salariés, limitez l’accès aux résultats nominatifs et fixez une durée de conservation ; faites valider ce cadre par votre conseil.
• Les personnes dans la confidence : la direction, les RH et l’équipe informatique, qui doit savoir distinguer un exercice d’une vraie attaque quand les signalements arrivent.

Annoncez ensuite le programme à tous : il y aura des exercices au cours de l’année, voici pourquoi, voici comment signaler. Les dates et les scénarios restent confidentiels.

Étape 2 : donner un moyen de signaler en un clic

Un salarié qui doute doit pouvoir signaler le message sans chercher à qui l’envoyer. C’est la pièce la plus importante du programme, et souvent la plus négligée.

• Microsoft 365 : Outlook propose un bouton intégré pour signaler un message comme hameçonnage. Dans le portail Microsoft Defender, les paramètres des messages signalés par les utilisateurs permettent de choisir où arrivent ces signalements (Microsoft, une boîte de l’équipe informatique, ou les deux).
• Google Workspace : Gmail permet de signaler un message comme hameçonnage depuis son menu.
• Dans tous les cas : une adresse interne unique et une consigne écrite, affichée et répétée : « en cas de doute, je signale, je ne supprime pas, je ne transfère pas à mes collègues ».

Le salarié qui signale doit recevoir un retour : un remerciement automatique, puis, s’il s’agissait d’une vraie attaque, la confirmation que le message a été bloqué pour tous. Sans retour, les signalements s’arrêtent.

Étape 3 : mesurer le point de départ

La première simulation sert de référence. Choisissez un scénario crédible mais d’une difficulté moyenne, proche des messages que vos équipes reçoivent vraiment : notification de document partagé, colis en attente, message des RH. Envoyez-la à tout le périmètre, étalée sur quelques jours pour que le bouche-à-oreille ne fausse pas la mesure.

Relevez quatre comportements, par service : qui a ouvert le lien ou la pièce jointe, qui a saisi un identifiant, qui a signalé, et au bout de combien de temps le premier signalement est arrivé. Ce dernier chiffre dit combien de temps une vraie campagne circulerait chez vous avant que l’équipe informatique ne soit alertée.

Étape 4 : former en séances courtes et ciblées

Remplacez la longue formation unique par des modules courts, un sujet à la fois, adaptés aux métiers.

Public	Thèmes prioritaires
Tous les salariés	Reconnaître un faux expéditeur et un faux lien, faux portail Microsoft 365 ou Google, QR codes piégés, bon réflexe de signalement
Comptabilité, finance, achats	Faux changement de RIB, fausse facture, fraude au président, procédure de rappel à un numéro connu
Direction et assistants	Usurpation d’identité du dirigeant, demandes urgentes et confidentielles, messages vocaux et WhatsApp
RH	Faux candidats avec pièces jointes, faux organismes sociaux, demandes de données de paie
Commerciaux et nomades	Wi-Fi publics, faux appels d’offres, téléphone perdu, double authentification sur mobile
Équipe informatique	Analyse des signalements, blocage d’un expéditeur ou d’une URL, réinitialisation d’un compte compromis

Deux formats fonctionnent bien en PME : une courte séance en présentiel ou en visio au lancement, avec des exemples réels reçus par l’entreprise, puis des modules en ligne assignés automatiquement après chaque simulation, uniquement à ceux qui en ont besoin.

Étape 5 : répéter, varier, augmenter la difficulté

Le rythme le plus courant est mensuel ou trimestriel, selon la taille de l’entreprise et le temps disponible. Ce qui compte est la régularité et la variété des scénarios.

• Varier les techniques : lien vers une fausse page de connexion, pièce jointe, lien caché dans une pièce jointe, lien vers un fichier partagé, demande d’autorisation d’application (consentement OAuth), QR code.
• Varier les prétextes : livraison, RH, facture, document partagé, alerte de sécurité, actualité.
• Augmenter la difficulté progressivement, service par service, pour éviter que tout le monde reconnaisse « le faux mail du mois ».
• Ne jamais utiliser de prétexte qui joue sur la paie réelle, une prime ou un sujet sensible pour l’entreprise : l’exercice doit rester acceptable pour les salariés.

Les outils disponibles

Outil	Ce qu’il permet	Conditions publiées par l’éditeur
Microsoft Attack simulation training	Simulations (vol d’identifiants, pièce jointe piégée, lien dans une pièce jointe, lien vers un fichier malveillant, drive-by, consentement OAuth, QR code), pages de destination, formations assignées, rapports, automatisations	Microsoft 365 E5 ou Microsoft Defender for Office 365 Plan 2 ; version d’essai limitée pour les clients E3
Kaspersky Automated Security Awareness Platform	Parcours de formation en ligne automatisés et simulations de phishing intégrées	Abonnement à la plateforme, plusieurs niveaux selon l’éditeur
Plateformes spécialisées de sensibilisation	Bibliothèques de modules et de scénarios, rapports	Selon l’éditeur
Exercices réalisés par l’infogérant	Scénarios sur mesure, restitution par service, lien avec les incidents réels	Encadrement et accord écrit de la direction

Point de vigilance pour Microsoft 365 : Microsoft indique que Business Premium inclut Defender for Office 365 Plan 1, alors que les simulations relèvent du Plan 2. Vérifiez vos licences avant de bâtir le programme, comme nous l’expliquons dans Microsoft 365 Business Basic, Standard ou Premium. Les messages simulés doivent aussi être autorisés dans vos filtres de messagerie, sans quoi l’exercice est bloqué en amont et ne mesure rien.

Étape 6 : piloter avec les bons indicateurs

Indicateur	Ce qu’il mesure	Ce qu’on cherche
Taux de signalement	Part des destinataires qui signalent le message	En hausse d’un cycle à l’autre
Délai du premier signalement	Temps avant que l’équipe informatique soit alertée	En baisse
Taux de clic	Part des destinataires qui ouvrent le lien ou la pièce jointe	En baisse, à scénario comparable
Saisie d’identifiants	Part de ceux qui vont jusqu’à donner leur mot de passe	Le plus bas possible, priorité absolue
Formation terminée	Part des modules assignés effectivement suivis	Proche de la totalité
Récidive	Personnes piégées plusieurs cycles de suite	Accompagnement individuel

Comparez toujours des scénarios de difficulté proche : un taux de clic qui baisse parce que le message était plus grossier ne prouve rien. Présentez les résultats à la direction par service, sans noms, avec une ou deux actions pour le cycle suivant.

Les erreurs qui font échouer un programme

1. Humilier les « cliqueurs » : liste diffusée, remarque en réunion, sanction. Les salariés cessent alors de signaler, y compris les vraies attaques.
2. Mesurer uniquement le clic et oublier le signalement, qui est pourtant le réflexe utile.
3. Toujours le même scénario, vite reconnu, qui donne une fausse impression de progrès.
4. Oublier la direction : elle est souvent la plus visée et la moins exercée.
5. Ne pas prévenir l’équipe informatique, qui traite l’exercice comme un incident réel, ou à l’inverse ignore une vraie attaque lancée le même jour.
6. Compter sur la formation seule : un jour, quelqu’un cliquera. La technique doit limiter les dégâts.

La formation ne remplace pas la technique

La sensibilisation réduit le nombre de clics ; les protections techniques limitent les conséquences du clic qui finira par arriver. Les deux vont ensemble :

• Double authentification sur la messagerie et tous les accès distants, voir notre guide de déploiement de la MFA.
• SPF, DKIM et DMARC sur votre domaine, pour que personne ne puisse envoyer en votre nom, voir protéger son domaine e-mail.
• Réglages de sécurité de la messagerie, détaillés dans sécuriser Microsoft 365 en 10 réglages.
• EDR supervisé sur les postes, pour bloquer une pièce jointe piégée, voir EDR managé et supervision 24/7.
• Sauvegardes immuables et testées, dernière ligne de défense face au rançongiciel.
• Procédure écrite : aucun changement de coordonnées bancaires ni virement urgent sans rappel à un numéro connu et validation par une seconde personne.

Si un salarié a cliqué pour de vrai

La consigne doit être connue de tous et tenir en quelques lignes : prévenir immédiatement l’équipe informatique, sans honte ni crainte de sanction ; ne pas éteindre le poste mais le déconnecter du réseau si on le demande ; changer le mot de passe depuis un autre appareil si des identifiants ont été saisis. Côté informatique : révocation des sessions, vérification des règles de transfert de la messagerie, recherche du même message dans les autres boîtes et suppression, blocage de l’expéditeur et de l’URL. Plus le signalement arrive tôt, plus ces gestes sont efficaces : c’est tout l’intérêt du programme.

Checklist pour lancer votre programme

• Objectif, périmètre et usage des résultats validés par la direction et les RH.
• Information des salariés et cadre de traitement des données conforme à la loi 09-08.
• Bouton de signalement actif dans la messagerie et adresse interne unique.
• Licences et outil de simulation vérifiés, messages simulés autorisés dans les filtres.
• Première simulation de référence, résultats par service.
• Modules courts par métier, assignés après chaque exercice.
• Calendrier des cycles sur l’année, scénarios variés.
• Tableau de bord : signalement, délai, clic, saisie d’identifiants, formations terminées.

Comment nous procédons

Nous commençons par un audit initial offert de votre messagerie et de vos protections : licences, filtrage, SPF, DKIM et DMARC, double authentification, bouton de signalement. Nous cadrons ensuite le programme avec votre direction et vos RH, lançons la simulation de référence, puis animons les cycles suivants avec une restitution par service. Les signalements des salariés arrivent à notre équipe, qui supervise votre environnement 24/7 et prend en charge un incident critique en moins de 15 minutes. Ce programme s’intègre à notre infogérance au Maroc ou s’ajoute à votre équipe informatique existante.

Avec Kaspersky, dont nous sommes partenaire B2B enregistré, ou avec les outils de Microsoft, dont nous sommes partenaire Microsoft, nous choisissons l’outil adapté à vos licences. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.