Sensibilisation au phishing pour dirigeants : format, simulation et programme continu
Les dirigeants, cibles prioritaires du phishing
La sensibilisation phishing des dirigeants est un enjeu que beaucoup d'organisations sous-estiment. Les campagnes de sensibilisation classiques visent les collaborateurs opérationnels — les dirigeants, eux, restent paradoxalement les plus vulnérables et les plus ciblés.
Un PDG, un directeur financier ou un membre du COMEX cumule trois caractéristiques qui en font une cible de choix : des accès étendus aux systèmes et aux décisions budgétaires, une visibilité publique qui fournit aux attaquants des informations précises (LinkedIn, communiqués de presse, rapports annuels), et une habitude culturelle de décision rapide qui peut court-circuiter les procédures de vérification.
Les attaques par ingénierie sociale ciblant les dirigeants ont un nom spécifique : le "whaling" (harponnage). Ces attaques fonctionnent parce qu'elles exploitent des leviers psychologiques auxquels les cadres dirigeants sont particulièrement sensibles : l'urgence, l'autorité, la confidentialité. Elles mobilisent un travail de renseignement préalable que les formations classiques ne préparent pas à reconnaître.
Pourquoi les formations classiques ne suffisent pas
Un format inadapté aux contraintes des cadres
Les sessions de sensibilisation standard — e-learnings de 20 minutes avec quiz final, modules en ligne sur les règles générales de la messagerie — ne fonctionnent pas pour les dirigeants. Les raisons sont structurelles :
- Le temps disponible : un dirigeant ne consacrera pas une heure à un module générique. Son agenda est contraint et il attend un contenu ciblé, concis et directement applicable à son contexte.
- Le niveau des exemples : les attaques illustrées dans les formations classiques (faux colis en attente, loterie gagnée) ne correspondent pas à ce que reçoivent réellement les cadres. Le phishing qui vise un DAF ressemble à un email de son cabinet d'avocats, de son banquier ou de la DGFIP — pas à un message de la Poste.
- L'effet de déni : regrouper un membre du COMEX avec des collaborateurs juniors dans une session de sensibilisation basique est contre-productif. Il faut un format qui respecte son niveau de responsabilité tout en montrant sans complaisance la réalité de la menace.
La taxonomie des attaques ciblant les dirigeants
Les attaques ciblant les cadres dirigeants n'ont rien à voir avec le phishing de masse. Le tableau suivant présente les vecteurs les plus courants et leurs indicateurs de détection.
| Type d'attaque | Mécanisme | Indicateurs de détection |
|---|---|---|
| Fraude au président | Email ou appel usurpant l'identité du PDG pour exiger un virement urgent et confidentiel | Urgence inhabituelle, demande de contournement des procédures, contact par un canal inhabituel |
| BEC (Business Email Compromise) | Prise de contrôle d'une boîte email légitime d'un partenaire ou fournisseur pour envoyer des instructions frauduleuses | Changement soudain de RIB, nouvelle adresse email légèrement différente, ton légèrement inhabituel |
| Whaling | Spear-phishing très ciblé sur un cadre spécifique, nourri de données OSINT détaillées | Références précises à des projets en cours, interlocuteurs connus nommés, timing lié à un événement réel |
| Supply chain phishing | Email provenant d'un fournisseur compromis, avec une facture plausible mais des coordonnées bancaires modifiées | Coordonnées bancaires différentes des précédentes factures, demande de validation urgente |
| Voice phishing (vishing) | Appel téléphonique usurpant un interlocuteur de confiance (avocat, régulateur, banquier) | Numéro inconnu avec affichage usurpé (spoofing), demande d'action immédiate, refus de rappeler sur le numéro officiel |
Ce tableau peut servir de support de discussion lors de la formation — les dirigeants reconnaissent souvent avoir reçu des emails correspondant à l'une de ces catégories sans en avoir mesure la nature frauduleuse.
Concevoir une formation adaptée aux dirigeants
Le format idéal : court, ciblé, interactif
Une formation de sensibilisation au phishing pour dirigeants respecte plusieurs contraintes non négociables :
Durée courte : entre 75 et 90 minutes maximum. Au-delà, l'attention d'un COMEX décroche durablement. Il vaut mieux prévoir deux sessions espacées dans le temps qu'une session marathon de 3 heures.
Petit groupe homogène : idéalement 5 à 10 participants, tous membres du comité de direction ou cadres décisionnaires. L'homogénéité du groupe favorise les échanges et élimine la gêne de se montrer vulnérable devant des collaborateurs de rang différent.
Exemples crédibles dans leur contexte : chaque exemple doit résonner avec le quotidien professionnel des participants. Un email frauduleux imitant une demande de virement SEPA urgente de leur cabinet juridique parle davantage à un DAF qu'une tentative de phishing générique sur une livraison.
Déroulé recommandé de la session (90 minutes)
Phase 1 — Prise de conscience (20 minutes)
Le formateur illustre la réalité de la menace à travers des cas documentés publiquement — sans chiffres invérifiables. L'objectif n'est pas de faire peur mais de montrer que des professionnels expérimentés et prudents se font piéger. La mécanique psychologique en jeu (urgence, autorité, réciprocité, rareté) est universelle. Elle s'applique à tous les niveaux de responsabilité, voire plus aux cadres supérieurs car ceux-ci sont habitués à agir vite sur leur propre jugement.
Le formateur présente la taxonomie des attaques (tableau ci-dessus) et illustre chaque type avec un exemple concret et plausible dans le secteur d'activité des participants.
Phase 2 — Exercice pratique d'analyse d'emails (35 minutes)
Le cœur de la formation. Les participants reçoivent un dossier de 8 à 10 emails (imprimés ou projetés un par un) et doivent identifier lesquels sont frauduleux. Les emails légitimes et les emails frauduleux sont mélangés — le dirigeant doit développer un réflexe de vérification, pas une paranoïa qui bloquerait toute communication.
Pour chaque email, les participants remplissent individuellement une grille d'analyse avant la discussion collective.
Phase 3 — Réflexes et plan d'action (20 minutes)
Le formateur synthétise les comportements à adopter, adaptés au quotidien d'un dirigeant, et chaque participant repart avec un plan d'action personnel de 3 mesures concrètes.
Clôture (5 minutes)
Annonce de la campagne de simulation à venir (6 à 8 semaines plus tard) dans un cadre éthique clair, et présentation du canal de signalement interne.
La grille d'analyse d'email pour l'exercice pratique
Cette grille structure l'analyse des emails pendant l'exercice. Elle peut être imprimée sur une fiche format A5 remise à chaque participant.
| Critère à vérifier | Questions à se poser | Signal d'alerte |
|---|---|---|
| Expéditeur | L'adresse email correspond-elle exactement au domaine attendu ? | Domaine légèrement différent (ex. @cabinet-martın.fr vs @cabinet-martin.fr) |
| Ton et style | Le style d'écriture ressemble-t-il à l'interlocuteur habituel ? | Formulation inhabituelle, fautes légères, traduction automatique |
| Urgence et pression | Pourquoi une action immédiate et confidentielle est-elle demandée ? | "Ne pas en parler aux collègues", "délai de 2 heures", "exception exceptionnelle" |
| Canal de communication | Est-ce le bon canal pour ce type de demande ? | Demande de virement par email seul, sans confirmation téléphonique préalable |
| Pièce jointe / lien | La pièce jointe ou le lien est-il attendu ? | Extension inhabituelle (.docm, .iso), URL avec nom de domaine récent |
| Demande elle-même | Cette demande suit-elle les procédures internes habituelles ? | Contournement du DAF, demande directe sans validation hiérarchique |
Cette grille n'est pas destinée à être remplie à la vitesse d'un traitement de messagerie — c'est un outil de formation pour ancrer les bons réflexes. Après plusieurs semaines de pratique, ces vérifications deviennent automatiques.
Protocole de simulation phishing : avant, pendant, après
Avant la session : campagne de référence
Une à deux semaines avant la formation, une campagne de phishing simulé est envoyée au groupe cible à leur insu (avec accord préalable de la direction générale et de la DRH). Les emails simulés sont calibrés au niveau de sophistication réaliste pour des cadres dirigeants : pas un email de phishing générique, mais un spear-phishing plausible exploitant des informations publiques réelles.
Métriques à collecter lors de la campagne initiale :
- Taux d'ouverture de l'email
- Taux de clic sur le lien ou de téléchargement de la pièce jointe
- Taux de saisie d'identifiants (si la page de phishing simule un portail de connexion)
- Délai entre réception et action (rapide = automatisme non conscient)
Après la formation : campagne de mesure
Six à huit semaines après la session (pas immédiatement — le délai est délibéré pour tester la rétention réelle), une deuxième campagne de même niveau de sophistication est envoyée. La comparaison des métriques avant/après est la mesure objective de l'efficacité de la formation.
| Métrique | Résultat habituel avant formation | Résultat habituel après formation |
|---|---|---|
| Taux de clic sur lien | 25 à 40 % sur spear-phishing bien conçu | 10 à 20 % (réduction de 40 à 60 %) |
| Taux de saisie d'identifiants | 15 à 25 % | 5 à 10 % |
| Taux de signalement de l'email | Moins de 5 % | 20 à 40 % |
Le taux de signalement est souvent le meilleur indicateur de succès : un dirigeant qui ne clique pas mais qui signale l'email suspect à l'équipe sécurité a adopté le comportement cible.
Cadre éthique des simulations
Les simulations de phishing sur des dirigeants doivent respecter un cadre strict pour ne pas créer de tensions internes :
- Les résultats individuels sont strictement confidentiels (accès réservé au RSSI et à la DRH).
- L'objectif communiqué en amont est l'amélioration collective, pas la sanction.
- Tout participant qui "mord à l'hameçon" reçoit un feedback immédiat, positif et éducatif — pas un email accusateur.
- La direction générale valide le protocole avant le lancement.
Le rôle du formateur : crédibilité et posture
Un profil crédible face à un COMEX
Le formateur qui intervient devant un comité de direction doit inspirer un respect professionnel immédiat. Un profil junior qui récite des slides ou un consultant qui ne connaît que la théorie ne convaincra personne dans cette salle. Le profil idéal combine :
- Une expérience en cybersécurité opérationnelle : audit de sécurité, réponse à incident, conseil stratégique
- Une capacité à vulgariser sans condescendre — et à ne pas transformer la session en cours technique
- Une connaissance des enjeux de direction (gouvernance d'entreprise, responsabilité pénale des dirigeants, assurances cyber)
- Des exemples concrets tirés de cas réels documentés publiquement
Les intervenants issus de la réponse à incident sont particulièrement efficaces : ils ont vu les conséquences réelles d'un phishing réussi sur une organisation et peuvent en parler avec authenticité. C'est ce vécu terrain, pas les slides, qui crée l'engagement.
Adapter le discours au public
Le piège à éviter : transformer la session en cours technique. Un dirigeant n'a pas besoin de comprendre le fonctionnement du protocole SMTP ou d'analyser des en-têtes d'email. Il a besoin de comprendre les mécanismes de manipulation psychologique, les scénarios d'attaque crédibles dans son secteur, et les réflexes concrets à adopter.
Le vocabulaire doit être précis mais accessible. Les termes techniques (ransomware, BEC, spear-phishing) peuvent être utilisés — ils donnent de la crédibilité — mais toujours associés à leur impact business concret : perte financière, atteinte à la réputation, blocage opérationnel, responsabilité juridique.
Programme de sensibilisation continue
Pourquoi une seule session ne suffit pas
La recherche en sciences cognitives le confirme : la vigilance face aux menaces de sécurité se dégrade naturellement dans les 3 à 6 mois qui suivent une formation. Une seule session par an est insuffisante pour maintenir les réflexes actifs sur un public exposé à des attaques de plus en plus sophistiquées.
Un programme de sensibilisation continue pour les dirigeants s'articule en quatre temps sur l'année :
| Moment | Format | Durée | Objectif |
|---|---|---|---|
| Trimestre 1 | Session de formation initiale ou de remise à niveau | 75-90 min | Ancrer les réflexes de base et la grille d'analyse |
| Trimestre 2 | Campagne de simulation + feedback individualisé | — | Mesurer la rétention, identifier les profils à risque |
| Trimestre 3 | Piqûre de rappel sur un vecteur émergent (IA vocale, deepfake, etc.) | 30 min | Mettre à jour face aux nouvelles techniques |
| Trimestre 4 | Bilan annuel + présentation au COMEX des métriques d'évolution | 20 min | Ancrer la gouvernance de la sécurité dans la culture dirigeante |
Les piqûres de rappel trimestrielles
Les piqûres de rappel sont des formats courts (15 à 30 minutes) qui maintiennent la vigilance sans mobiliser le temps d'un COMEX. Formats efficaces :
- Newsletter de sécurité ciblée dirigeants : une page par mois, 3 exemples d'attaques récentes dans le secteur, 1 réflexe du mois. Rédigée par le RSSI ou un prestataire, envoyée directement dans la messagerie des dirigeants.
- Alerte sur incident récent : quand une attaque notable touche un concurrent ou un secteur similaire, une note de 10 lignes du RSSI résume ce qui s'est passé et ce qui aurait dû être fait différemment.
- Exercice de phishing ciblé annoncé : contrairement aux campagnes de mesure, certaines simulations peuvent être annoncées à l'avance — "cette semaine vous recevrez peut-être un email de test". L'effet pédagogique est différent mais utile : il force les dirigeants à activer leur grille d'analyse consciemment.
Intégrer la sensibilisation à la gouvernance de sécurité
La sensibilisation phishing des dirigeants n'est pas un événement isolé : elle s'inscrit dans une démarche de gouvernance de la sécurité qui implique le COMEX. Les organisations qui ont les meilleures résistances face aux attaques d'ingénierie sociale sont celles où la sécurité est un sujet de direction, pas uniquement une affaire du RSSI.
Pour le RSSI, la sensibilisation des dirigeants est aussi une opportunité : elle crée l'ouverture pour aborder d'autres sujets de gouvernance cyber (assurance, budget, NIS2) dans un registre compris par les cadres décisionnaires.
Ce qu'il faut retenir
La sensibilisation phishing des dirigeants exige un format sur mesure, un formateur crédible et une approche continue qui dépasse le modèle de la session annuelle ponctuelle.
- Les dirigeants sont des cibles prioritaires pour le whaling, le BEC et la fraude au président — pas pour le phishing de masse. La formation doit refléter ce niveau de sophistication.
- Le format court en comité restreint (75-90 min, 5-10 participants homogènes) est le seul qui garantisse l'engagement réel d'un COMEX.
- La grille d'analyse d'email (expéditeur, ton, urgence, canal, lien, demande) est l'outil opérationnel central : elle doit être mémorisée, pas consultée ponctuellement.
- La simulation avant/après est la seule mesure objective d'efficacité. Sans campagne de référence avant la formation, vous ne pouvez pas mesurer l'impact réel.
- Un programme continu (formation + simulation + piqûre trimestrielle + bilan annuel) est plus efficace qu'une session annuelle isolée : la vigilance se dégrade en 3 à 6 mois sans entretien.
- Le formateur doit avoir une crédibilité terrain : un profil issu de la réponse à incident ou de l'audit de sécurité parle à un COMEX là où un profil théorique échoue.
Vous souhaitez organiser une session de sensibilisation pour votre comité de direction, avec un professionnel capable d'animer la formation et de gérer le protocole de simulation ? Cyber Teachers vous met en relation avec des formateurs spécialisés en sensibilisation dirigeants, habitués à intervenir dans les entreprises et les collectivités.