Il est inconfortable, pour un cabinet qui réalise des campagnes de simulation, d'écrire cet article. Mais l'état de la recherche publiée est assez clair pour qu'il soit plus utile de l'exposer que de le contourner : les travaux les plus rigoureux des cinq dernières années concluent que la formation embarquée après un clic a un effet très faible, parfois nul, et dans un cas documenté potentiellement négatif. Voici ce que ces études établissent, ce qu'elles n'établissent pas, et ce qu'il faut en tirer.
L'étude la plus rigoureuse à ce jour
En 2025, des chercheurs de l'université de Californie à San Diego, de l'université de Chicago et de partenaires académiques ont publié à l'IEEE Symposium on Security and Privacy les résultats d'une expérience contrôlée randomisée menée pendant huit mois sur plus de 19 500 employés d'UC San Diego Health, à travers dix campagnes d'hameçonnage simulé. Deux résultats principaux en ressortent.
Premièrement, aucune relation significative n'a été observée entre le fait d'avoir récemment suivi la formation annuelle obligatoire de sensibilisation et la probabilité d'échouer à une simulation. La formation annuelle, dans ce contexte, ne prédit rien.
Deuxièmement, la formation embarquée — la page pédagogique affichée immédiatement après un clic — a réduit le taux d'échec d'environ deux points de pourcentage en valeur absolue, quel que soit le contenu testé. Les auteurs expliquent pourquoi : environ 75 % des utilisateurs ont passé moins d'une minute sur le support, et un tiers ont fermé la page immédiatement.
Un troisième résultat, moins commenté, est peut-être le plus important pour un RSSI : la susceptibilité est cumulative. Au premier mois, environ 10 % des employés avaient cliqué ; au bout de huit mois, plus de la moitié avaient cliqué sur au moins un lien. La variabilité selon le prétexte est par ailleurs spectaculaire : 1,82 % d'engagement pour un message de mise à jour du mot de passe Outlook, contre 30,8 % pour une modification annoncée de la politique de congés. Un taux de clic mesuré sur une seule campagne ne mesure donc pas la vulnérabilité de l'organisation : il mesure la pertinence du prétexte choisi.
Les auteurs concluent que ces efforts de formation offrent une valeur limitée et recommandent de réorienter l'investissement vers des mesures techniques, en citant l'authentification à deux facteurs et les gestionnaires de mots de passe.
Quinze mois d'observation à Zurich
Ce résultat n'est pas isolé. En 2022, Daniele Lain, Kari Kostiainen et Srdjan Čapkun (ETH Zurich) ont publié, également à l'IEEE Symposium on Security and Privacy, une étude menée pendant quinze mois auprès de plus de 14 000 employés, dans leur contexte de travail réel.
Leurs conclusions se répartissent en trois catégories. Elles confirment d'abord l'efficacité des avertissements affichés sur les courriels — une mesure technique, pas pédagogique. Elles contredisent ensuite une pratique largement installée : la formation embarquée pendant les exercices de simulation ne rend pas les employés plus résistants à l'hameçonnage et peut produire des effets secondaires inattendus, susceptibles de les rendre encore plus vulnérables. Elles établissent enfin un résultat positif, souvent passé sous silence : utiliser les employés comme mécanisme collectif de détection est praticable dans une grande organisation, avec une détection rapide des nouvelles campagnes, une charge opérationnelle acceptable et une participation qui se maintient sur de longues périodes.
Pourquoi la formation embarquée échoue
Une étude de suivi de la même équipe, présentée à la conférence ACM CCS en 2024, propose l'explication la plus convaincante. L'efficacité résiduelle de la formation embarquée proviendrait de son effet de rappel — le fait de remettre périodiquement la menace en tête — et non de son contenu, que les employés consomment rarement, faute de temps et d'utilité perçue. Différer la formation pour réduire la pression temporelle s'avère aussi efficace que la pratique établie, et les récompenses n'améliorent pas le comportement.
L'idée directrice mérite d'être retenue : l'hameçonnage relève d'un problème d'attention plutôt que de connaissance, y compris chez les employés les plus vulnérables — ce qui explique qu'imposer de la formation n'aide pas. Les auteurs relèvent en outre deux effets pervers : certains employés confondent les tests avec de vraies attaques, et la pratique peut rendre les collaborateurs trop confiants, en leurs capacités comme dans l'idée qu'une erreur lors d'un test est sans conséquence.
Les chiffres des éditeurs et ce qu'ils valent
Face à ces travaux, les éditeurs de plateformes de sensibilisation publient des résultats nettement plus favorables : le rapport le plus cité annonce une chute du taux de vulnérabilité de 33,1 % à 4,1 % après douze mois de formation continue, soit une réduction de 86 %. Ces données ne sont pas fabriquées, mais elles ne mesurent pas la même chose. Trois limites méthodologiques doivent être posées : l'absence de groupe témoin, qui empêche de savoir ce que serait devenue la population sans intervention ; l'effet d'habituation, une population recevant des faux courriels tous les mois apprenant surtout à reconnaître le style de son prestataire ; et un biais de sélection, les organisations qui tiennent un programme douze mois étant aussi celles qui investissent ailleurs.
Sur le taux de signalement, un repère souvent cité situe la référence autour de 20 %, et une analyse d'éditeur reprenant les données du DBIR avance que les employés formés dans les trente jours précédents signalent quatre fois plus souvent. Ces éléments relèvent de compilations d'éditeurs et non d'une publication académique ; ils sont cohérents avec les travaux de l'ETH sur la détection collective, sans avoir le même degré de certitude.
Ce qui reste solidement établi
Ces travaux ne conduisent pas à supprimer les simulations, mais à changer ce qu'on en attend. Quatre conclusions convergent : le signalement fonctionne, résultat positif le plus robuste de la littérature ; les mesures techniques dominent — avertissements sur les courriels, authentification résistante à l'hameçonnage, gestionnaires de mots de passe ; le taux de clic est un mauvais indicateur de pilotage, dépendant du prétexte et tendant vers 100 % à mesure que l'horizon s'allonge ; la régularité compte plus que le contenu, puisque l'effet passe par le rappel.
Conséquences pratiques sur un programme
Concrètement, un programme conçu à partir de ces résultats se distingue sur cinq points : il mesure le taux et surtout le délai médian de signalement plutôt que le taux de clic ; il varie les prétextes et compare les campagnes entre elles plutôt qu'à une valeur cible ; il remplace le module long par un rappel bref ; il exclut toute logique punitive ; et il consacre l'essentiel du budget aux mesures techniques recommandées par les chercheurs, la simulation servant à vérifier que la chaîne de détection humaine fonctionne.
Une limite à ces études doit être mentionnée par honnêteté : elles portent sur des organisations précises et sur des formats de formation donnés. Elles n'établissent pas que toute sensibilisation est inutile, mais que le format dominant du marché — la page pédagogique affichée après un clic — produit un effet marginal.
C'est la raison pour laquelle Phishia construit ses campagnes autour du signalement et du délai de détection plutôt que du taux de clic, et articule systématiquement la simulation avec les mesures techniques d'authentification et de filtrage. Une simulation sert à tester une chaîne de réaction, pas à noter des collaborateurs.
Questions fréquentes
Faut-il arrêter les simulations de phishing ?
Non, mais il faut en changer la finalité. Leur valeur démontrée est de vérifier et d'entretenir la capacité de détection collective, pas de réduire durablement le taux de clic individuel.
La formation annuelle obligatoire est-elle inutile ?
L'étude d'UC San Diego Health ne trouve pas de relation significative entre son suivi récent et la résistance aux simulations. Elle garde une utilité de conformité, mais ne doit pas être présentée comme une mesure de réduction du risque d'hameçonnage.
Quel indicateur suivre en comité de direction ?
Le taux de signalement, le délai médian entre l'envoi et le premier signalement, et la couverture en authentification résistante à l'hameçonnage. Ces trois chiffres décrivent une capacité de défense ; le taux de clic décrit surtout la qualité du leurre.
Sources
- G. Ho, A. Mirian, E. Luo, S. Savage et al., « Understanding the Efficacy of Phishing Training in Practice », IEEE Symposium on Security and Privacy, 2025
- UC San Diego Today, « Cybersecurity training programs don't prevent employees from falling for phishing scams », septembre 2025
- D. Lain, K. Kostiainen, S. Čapkun, « Phishing in Organizations: Findings from a Large-Scale and Long-Term Study », IEEE Symposium on Security and Privacy, 2022
- D. Lain et al., « Content, Nudges and Incentives: A Study on the Effectiveness and Perception of Embedded Phishing Training », ACM CCS, 2024
- Hoxhunt, « Phishing Trends Report » (compilation d'éditeur, benchmarks de signalement)
- Verizon, « 2026 Data Breach Investigations Report »
Liens consultés le 23 septembre 2026.