Sensibilisation et campagnes de phishing
Des équipes qui savent quoi faire devant un message douteux.
Réponse courte
Sensibilisation : de quoi s’agit-il, pour qui, à quel prix ?
Formations courtes et concrètes, campagnes de hameçonnage mesurées, et exercices de crise pour les équipes de direction. Public concerné : toute organisation dont les salariés reçoivent des e-mails, c’est-à-dire toutes. Durée indicative : sessions de 1 à 3 h ; campagnes sur 3 à 12 mois. Prix d’entrée : à partir de 490 € HT. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
La sensibilisation échoue presque toujours pour la même raison : elle liste des interdits hors contexte. « Ne cliquez pas sur les liens suspects » n’aide personne face à un message qui reprend le nom du directeur financier, le bon logo et une relance de facture plausible.
Les sessions partent donc de cas publics documentés et de scénarios réalistes, adaptés à votre contexte métier, et de ce qui est actionnable : comment vérifier une demande de virement, que faire d’un message douteux, à qui parler en cas de doute, et pourquoi signaler vite change tout.
Les campagnes de hameçonnage : définition servent à mesurer, pas à piéger. Les résultats sont restitués de façon agrégée, jamais nominative : on cherche à savoir si le dispositif de signalement fonctionne, pas qui s’est fait prendre.
Un ajustement change beaucoup de choses : donner un moyen simple de signaler. Un bouton dans la messagerie, un contact identifié, une réponse rapide de l’équipe technique. Si signaler demande trois étapes ou provoque une réprimande, les gens se taisent. Nous testons ce circuit pendant la campagne, en mesurant le temps entre la réception et le premier signalement.
En résumé
- Durée indicative
- sessions de 1 à 3 h ; campagnes sur 3 à 12 mois
- Prix
- à partir de 490 € HTpar session ; campagnes de hameçonnage au forfait annuel
- Référentiels appliqués
- ANSSI, sensibilisationNIS 2 (volet formation)ISO/IEC 27001 A.6
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Sensibilisation : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Sessions générales
Hameçonnage, mots de passe et gestionnaires, authentification multifacteur, usage des outils personnels, signalement.
Sessions ciblées
Fraude au virement pour les équipes financières, code sécurisé pour les développeurs, accès à privilèges pour les administrateurs.
Campagnes de hameçonnage
Scénarios progressifs, mesure du taux de clic et surtout du taux de signalement, remédiation pédagogique immédiate.
Exercice de crise
Simulation sur table pour la direction : décisions, communication, continuité d’activité, obligations réglementaires.
Sensibilisation : que livre la mission ?
- Sessions animées en présentiel ou à distance, support remis
- Résultats de campagne agrégés : taux de clic, de saisie, de signalement
- Fiches réflexes courtes, affichables et réellement lues
- Compte rendu d’exercice de crise avec décisions et points de blocage
Qu’est-ce que cela change pour vous ?
- Un taux de signalement qui monte, l’indicateur le plus parlant
- Des procédures de vérification appliquées sur les demandes sensibles
- Une direction qui a déjà vécu l’exercice avant l’incident réel
Sensibilisation : pour qui est-ce utile ?
- Toute organisation dont les salariés reçoivent des e-mails, c’est-à-dire toutes
- Équipes financières et comptables, cibles de la fraude au virement
- Comités de direction, pour un exercice de crise
- Équipes de développement, pour une sensibilisation au code sécurisé
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Sensibilisation : combien de temps dure la mission ?
Durée indicative : sessions de 1 à 3 h ; campagnes sur 3 à 12 mois. Les 5 étapes de cette mission, dans l’ordre.
- 01
Cadrage du public et des objectifs
Définir qui est concerné, ce qu’ils doivent savoir faire à l’issue, et ce qui sera mesuré.
- 02
Préparation du contenu ou du scénario
Adapter les exemples à votre activité, à vos outils et à ce qui vous est déjà arrivé.
- 03
Séance, exercice ou campagne
Animer la formation, l’exercice ou la campagne auprès des équipes concernées.
- 04
Mesure et retours
Relever les résultats et recueillir les retours des participants.
- 05
Bilan et suite
Remettre le bilan et les supports, proposer des rappels si les résultats le justifient.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Le prix plancher affiché (490 € HT) est un point de départ : le devis fixe le prix pour votre périmètre.
Sensibilisation : ce qu’on nous demande
Les résultats sont-ils nominatifs ?
Non. Les restitutions sont agrégées par population. Nommer les personnes détruit la confiance et fait baisser le signalement, donc dégrade ce que l’on cherche à améliorer. Les obligations RGPD applicables à ces campagnes sont aussi cadrées par écrit avant tout envoi.
À quelle fréquence faut-il recommencer ?
Une session annuelle par population, et des campagnes de hameçonnage courtes trois à quatre fois par an. Mieux vaut des rappels brefs et réguliers qu’une formation longue tous les trois ans, dont il ne reste rien au bout de trois mois.
Nos salariés ont-ils besoin de formation s’ils ont déjà un filtre anti-spam ?
Oui, parce que le filtre arrête le volume, pas l’attaque ciblée. Un message rédigé pour une personne précise, envoyé depuis le compte légitime d’un partenaire compromis, ou sans aucun lien ni pièce jointe, traverse la plupart des filtres. Il reste alors une seule défense : quelqu’un qui hésite, vérifie par un autre canal et signale. La formation travaille ce réflexe, pas la reconnaissance de messages grossiers. Elle couvre aussi ce que les filtres ne voient pas : appel téléphonique se faisant passer pour le support, demande par messagerie instantanée, faux fournisseur qui change ses coordonnées bancaires. Le filtre et l’humain ne se remplacent pas, ils couvrent des angles différents.
Comment encadrez-vous juridiquement une campagne de simulation de phishing ?
Avant tout envoi, nous fixons par écrit la finalité de la campagne, les données collectées, leur durée de conservation et le mode de restitution, qui reste agrégé. Selon votre organisation, il peut être nécessaire d’informer ou de consulter les représentants du personnel et votre délégué à la protection des données. Ces points dépendent de votre situation : nous vous indiquons ceux à faire valider par votre juriste, sans nous substituer à lui.
Pour comprendre avant de décider
- ArticleSimulation de phishing : mode d’emploi d’une campagne utileComment mener une campagne de simulation de phishing qui mesure sans piéger : objectifs, scénarios, indicateurs utiles, cadre juridique à vérifier et erreurs qui détruisent la confiance.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
- ComparatifNIS 2 ou ISO 27001 : quelle démarche pour quelle situation ?NIS 2 est une obligation légale, ISO 27001 une norme certifiable : l’une ne remplace pas l’autre. Ce que chacune exige, ce qui se recoupe, le coût d’une analyse d’écarts et par où commencer.
Quelles prestations s’y associent ?
Red team
Savoir si vos équipes verraient une attaque, et à quelle vitesse elles réagiraient.
3 à 8 semainesdès 6 900 €
Conformité NIS 2
Faire d’une obligation réglementaire une sécurité que vous pouvez démontrer.
3 à 9 mois selon le périmètre et le niveau de départdès 1 900 €
Réponse à incident
Comprendre, contenir, puis remettre en service, dans cet ordre.
intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contratdès 1 190 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Sensibilisation » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début