Le marché de la sensibilisation à la cybersécurité est dominé par des plateformes en libre-service : un catalogue de modules, un moteur de simulation de phishing, un tableau de bord de taux de clic, une facturation à la licence. Ces outils ont démocratisé la sensibilisation, et c'est une bonne chose. La recherche publiée depuis 2022 montre toutefois que le format qu'ils ont popularisé ne suffit pas à lui seul. La question n'est donc pas « quelle plateforme », mais « quel dispositif ».
Ce que dit la recherche
Deux études publiées à l'IEEE Symposium on Security and Privacy font référence. Celle de l'ETH Zurich (2022), conduite pendant quinze mois auprès de plus de 14 000 salariés, conclut que la formation déclenchée au moment du clic ne rend pas les collaborateurs plus résistants et peut produire des effets contraires. Elle établit en revanche que le signalement collectif fonctionne à grande échelle. Celle d'UC San Diego Health (2025), sur plus de 19 500 employés, ne trouve aucune relation significative entre la formation annuelle et la résistance aux simulations, et mesure un effet de la formation embarquée de l'ordre de deux points de pourcentage.
Ces résultats ne remettent pas en cause la sensibilisation. Ils montrent qu'un indicateur, le taux de clic, ne suffit pas à piloter, et que la page pédagogique affichée après l'erreur agit surtout comme un rappel de la menace. Ce rappel a sa place, à condition d'être complété par ce qui produit l'essentiel de l'effet : le signalement, la régularité et la correction des procédures.
Trois modèles sur le marché
La plateforme en libre-service. Rapide à déployer, économique à l'unité, riche en contenus. Elle mesure facilement le clic et la complétion. Sa limite est qu'elle laisse au client la conception du dispositif, l'interprétation des résultats et surtout la transformation des constats en mesures.
La prestation sur mesure. Un cabinet conçoit des scénarios ciblés, conduit des ateliers métier et restitue. Très pertinent pour les populations à risque, plus coûteux, et souvent ponctuel.
Le modèle combiné. Une plateforme pour la régularité et la mesure, un cabinet pour la conception, l'analyse et la boucle de correction. C'est le modèle de Phishia.
Comparatif
| Dimension | Plateforme en libre-service | Prestation sur mesure | Modèle combiné |
|---|---|---|---|
| Indicateur principal | Taux de clic, complétion | Variable | Taux et délai de signalement |
| Scénarios | Catalogue générique | Ciblés | Catalogue personnalisable et scénarios ciblés |
| Populations à risque (finance, RH, direction, IT) | Peu différenciées | Traitées | Parcours dédiés |
| Cadrage juridique (CSE, information préalable) | À la charge du client | Intégré | Intégré |
| Correction des procédures | Non | Recommandations | Actions suivies dans le plan d'actions |
| Preuve pour l'auditeur | Captures de tableaux de bord | Rapport | Contrôle de conformité alimenté en continu |
Notre dispositif
- Deux briques intégrées à GALEA : Galea Academy pour les parcours de formation courts et réguliers, Galea Vigie pour les campagnes de simulation, avec des modèles de messages entièrement personnalisables et des scénarios récents (QR code, page de connexion relayée, faux support informatique). Chaque clic déclenche un rappel immédiat, court et concret, qui entretient la vigilance sans culpabiliser.
- Le signalement d'abord : nous vérifions l'existence d'un canal unique, d'un accusé de réception et d'une procédure de traitement avant la première campagne, et nous pilotons le taux et le délai de signalement.
- Des parcours par métier : finance et achats, ressources humaines, direction, équipes informatiques. Les gestes à risque ne sont pas les mêmes, les contenus non plus.
- Un cadrage juridique systématique : information préalable des salariés, consultation du CSE lorsque l'effectif l'impose, exploitation agrégée et jamais disciplinaire.
- Une boucle de correction : si une campagne révèle qu'une demande de changement de coordonnées bancaires passe sans contrôle, l'action n'est pas « former davantage », c'est instaurer une double validation. L'action rejoint le plan d'actions et le contrôle de conformité correspondant.
Une note sur la facturation
La facturation à la licence par utilisateur, courante sur le marché, pénalise les organisations qui veulent couvrir l'ensemble de leurs effectifs, y compris les populations peu équipées. Chez Phishia, campagnes de simulation et parcours de formation sont regroupés dans un forfait par tranche d'effectif, à partir de 25 € HT par mois pour moins de 10 personnes et de 250 € HT par mois pour une organisation de 50 à 99 personnes, en engagement annuel. Pour comparer avec une autre offre, additionnez les briques nécessaires (formation, simulation) et rapportez-les au nombre de personnes à couvrir.
Vous avez déjà une plateforme de sensibilisation ? Nous pouvons travailler avec elle. Ce que nous apportons d'abord, c'est la conception du dispositif et la boucle de correction, pas un outil de plus.
Questions fréquentes
Faut-il arrêter de mesurer le taux de clic ?
Non, mais il faut cesser de piloter avec lui. Il dépend surtout de la difficulté du leurre. Le ratio signalement sur clic et le délai de première alerte décrivent bien mieux la capacité de l'organisation à détecter une attaque réelle.
Les collaborateurs doivent-ils être prévenus ?
Ils doivent être informés de l'existence du dispositif dans son principe, pas de la date ni du contenu des envois. Dans les entreprises d'au moins 50 salariés, le CSE doit être informé et consulté préalablement.
La formation des dirigeants est-elle différente ?
Oui. NIS2 impose une formation aux membres des organes de direction des entités concernées. Elle porte sur les décisions qui leur reviennent et sur la gestion de crise, pas sur la reconnaissance d'un courriel suspect.
Sources
- D. Lain, K. Kostiainen, S. Čapkun, « Phishing in Organizations: Findings from a Large-Scale and Long-Term Study », IEEE S&P 2022
- G. Ho et al., « Understanding the Efficacy of Phishing Training in Practice », IEEE S&P 2025
- CNIL, « Sécurité : impliquer et former les utilisateurs »
- Code du travail, article L. 2312-38
- Directive (UE) 2022/2555 (NIS2), article 20, EUR-Lex
Liens consultés le 2 octobre 2026. Les prix indiqués sont des prix « à partir de », hors taxes, issus de notre grille tarifaire en vigueur à la date de publication.