[{"data":1,"prerenderedAt":484},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fsimulation-hameconnage-employes":45,"post-alt-\u002Fblogue\u002Fsimulation-hameconnage-employes":459,"post-rel-\u002Fblogue\u002Fsimulation-hameconnage-employes":461},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":141,"date":413,"description":414,"extension":415,"faq":416,"keyword":426,"meta":427,"minutes":27,"navigation":341,"path":428,"rawbody":429,"seo":430,"sources":431,"stem":450,"tags":451,"translationKey":456,"updated":457,"__hash__":458},"blog_fr\u002Fblogue\u002Fsimulation-hameconnage-employes.md","Simulation d'hameçonnage : former vos employés sans les piéger",{"type":49,"value":50,"toc":404},"minimark",[51,55,58,61,82,87,90,93,101,105,138,142,146,149,240,247,250,254,257,260,286,289,293,296,299,313,326,330,394,401],[52,53,54],"p",{},"Mardi, 8 h 47, dans un cabinet comptable de Laval. Les 22 employés reçoivent un courriel : « Votre colis est retenu, confirmez votre adresse de livraison. » Trois personnes cliquent. Une saisit son mot de passe sur la fausse page. Deux autres transfèrent le message à la direction en demandant : « C'est normal, ça ? »",[52,56,57],{},"Cette fois, c'était un exercice. La personne qui a saisi son mot de passe voit une page qui lui explique, en 90 secondes, les indices qu'elle aurait pu repérer. Les deux qui ont signalé le courriel reçoivent un merci. Et la direction sait désormais où concentrer ses efforts.",[52,59,60],{},"C'est le principe d'une simulation d'hameçonnage. Bien faite, elle transforme vos employés en système de détection. Mal faite, elle crée de la méfiance et n'apprend rien à personne. Voici comment viser le premier résultat.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Une simulation d'hameçonnage est un exercice de formation, pas un piège ni un examen.",[70,74,75],{},"Les meilleurs scénarios ressemblent à vos vrais courriels d'affaires, sans exploiter les émotions de façon cruelle.",[70,77,78],{},"L'indicateur le plus utile n'est pas le taux de clics, mais le taux de signalement.",[70,80,81],{},"Les résultats individuels sont des renseignements personnels : limitez qui y a accès.",[83,84,86],"h2",{"id":85},"ce-quest-une-simulation-dhameçonnage-et-ce-quelle-nest-pas","Ce qu'est une simulation d'hameçonnage (et ce qu'elle n'est pas)",[52,88,89],{},"Une simulation, c'est l'envoi contrôlé de faux courriels malveillants à vos employés, à partir d'une plateforme qui mesure qui ouvre, clique, saisit des identifiants ou signale le message. Chaque action déclenche une réaction pédagogique immédiate.",[52,91,92],{},"Le Centre canadien pour la cybersécurité recommande d'ailleurs aux organisations de mener des simulations d'hameçonnage internes pour aider le personnel à mieux comprendre les risques. Ce n'est pas un gadget : l'hameçonnage coûte en moyenne 89 000 $ par incident aux PME canadiennes, selon des données de l'industrie citées par Insurance Business Canada (octobre 2025).",[52,94,95,96,100],{},"Ce que ce n'est ",[97,98,99],"strong",{},"pas"," : un moyen de prendre des employés en défaut, une évaluation de rendement ou un substitut aux protections techniques. Même avec une équipe parfaitement formée, quelqu'un finira par cliquer. C'est pourquoi une simulation va de pair avec l'authentification multifacteur, un bon filtrage du courriel et un processus clair quand un vrai clic survient.",[83,102,104],{"id":103},"planifier-une-campagne-en-cinq-étapes","Planifier une campagne en cinq étapes",[106,107,108,114,120,126,132],"ol",{},[70,109,110,113],{},[97,111,112],{},"Obtenir l'appui de la direction."," Si la présidente est exemptée des tests, le message envoyé au reste de l'équipe est clair. Tout le monde participe, direction comprise.",[70,115,116,119],{},[97,117,118],{},"Communiquer le programme."," Expliquez pourquoi vous le faites et ce qui arrive en cas de clic (de la formation, pas des sanctions). Ne donnez pas les dates.",[70,121,122,125],{},[97,123,124],{},"Préparer la technique."," Domaine d'envoi dédié, page d'atterrissage, et mise en liste d'autorisation dans votre filtre de courriel. Dans Microsoft 365, cela passe par la politique de remise avancée prévue pour les simulations tierces. Faites un essai avec deux ou trois personnes avant l'envoi général.",[70,127,128,131],{},[97,129,130],{},"Envoyer par vagues."," Si les 22 employés reçoivent le même courriel à la même minute, le bouche-à-oreille fausse le résultat. Étalez l'envoi sur quelques heures ou quelques jours.",[70,133,134,137],{},[97,135,136],{},"Analyser et former."," Regardez les résultats par scénario et par service, puis ajustez la formation et le prochain scénario.",[139,140],"cta",{"variant":141},"audit",[83,143,145],{"id":144},"choisir-des-scénarios-réalistes-sans-être-cruel","Choisir des scénarios réalistes, sans être cruel",[52,147,148],{},"Un bon scénario ressemble aux courriels que vos employés reçoivent vraiment. Pour un manufacturier de la Beauce, ce sera une facture de fournisseur; pour une clinique, un document partagé par un « collègue »; pour un cabinet, une demande urgente d'un client.",[150,151,152,168],"table",{},[153,154,155],"thead",{},[156,157,158,162,165],"tr",{},[159,160,161],"th",{},"Scénario",[159,163,164],{},"Pourquoi il fonctionne",[159,166,167],{},"Difficulté",[169,170,171,183,194,204,214,225],"tbody",{},[156,172,173,177,180],{},[174,175,176],"td",{},"Colis retenu, frais de livraison",[174,178,179],{},"Tout le monde commande en ligne",[174,181,182],{},"Facile",[156,184,185,188,191],{},[174,186,187],{},"Document partagé (Drive, OneDrive)",[174,189,190],{},"Imite un outil utilisé chaque jour",[174,192,193],{},"Moyenne",[156,195,196,199,202],{},[174,197,198],{},"Réinitialisation du mot de passe ou du MFA",[174,200,201],{},"Crée un sentiment d'urgence technique",[174,203,193],{},[156,205,206,209,212],{},[174,207,208],{},"Facture d'un fournisseur connu",[174,210,211],{},"Cible la comptabilité et les achats",[174,213,193],{},[156,215,216,219,222],{},[174,217,218],{},"Code QR pour « valider » un accès",[174,220,221],{},"Contourne l'analyse des liens dans le courriel",[174,223,224],{},"Difficile",[156,226,227,230,238],{},[174,228,229],{},"Demande urgente de la direction",[174,231,232,233],{},"Prépare à la ",[234,235,237],"a",{"href":236},"\u002Fblogue\u002Ffraude-president-courriel-affaires-compromis","fraude au président",[174,239,224],{},[52,241,242,243,246],{},"Ce qu'il faut ",[97,244,245],{},"éviter"," : les fausses primes, les fausses annonces de mises à pied, les sujets de santé ou les urgences familiales. Ces scénarios fonctionnent, justement parce qu'ils jouent avec les émotions, et c'est le problème. Ils minent la confiance envers l'employeur pour longtemps, et l'employé retient surtout qu'on s'est moqué de lui.",[52,248,249],{},"Ne vous limitez pas au courriel. Le guide du Centre pour la cybersécurité couvre aussi l'hameçonnage par texto, par téléphone et par code QR. Une fois vos campagnes par courriel bien rodées, envisagez un test téléphonique occasionnel auprès de la réception ou de la comptabilité : « Bonjour, c'est le soutien informatique, j'ai juste besoin du code que vous venez de recevoir pour terminer la mise à jour. » Si quelqu'un dicte un code MFA au téléphone, vous avez trouvé une faille qu'aucun filtre de courriel ne fermera. Les mêmes règles s'appliquent : programme annoncé, approche respectueuse, et chaque erreur devient une occasion d'apprendre.",[83,251,253],{"id":252},"mesurer-ce-qui-compte-le-signalement-avant-le-clic","Mesurer ce qui compte : le signalement avant le clic",[52,255,256],{},"Le taux de clics est l'indicateur le plus cité, mais il est trompeur. Il varie énormément selon la difficulté du scénario, et certains filtres de sécurité « cliquent » automatiquement sur les liens pour les analyser, ce qui gonfle artificiellement les chiffres.",[52,258,259],{},"Suivez plutôt ces indicateurs :",[67,261,262,268,274,280],{},[70,263,264,267],{},[97,265,266],{},"Taux de signalement :"," la proportion d'employés qui utilisent le bouton « Signaler l'hameçonnage » ou avertissent les TI. C'est votre réseau de capteurs humains.",[70,269,270,273],{},[97,271,272],{},"Délai de signalement :"," le temps entre l'envoi et le premier signalement. Lors d'une vraie attaque, ce premier signalement permet de bloquer le message pour tout le monde.",[70,275,276,279],{},[97,277,278],{},"Taux de saisie d'identifiants :"," plus grave qu'un simple clic, car c'est ce qui donne accès à un compte.",[70,281,282,285],{},[97,283,284],{},"Tendance dans le temps :"," une seule campagne ne dit pas grand-chose; c'est l'évolution sur plusieurs mois qui compte.",[52,287,288],{},"Si vos employés n'ont pas de façon simple de signaler un courriel suspect, réglez ce point avant de lancer la première campagne.",[83,290,292],{"id":291},"après-le-clic-former-sans-humilier","Après le clic : former sans humilier",[52,294,295],{},"Le moment qui suit le clic est le plus précieux. L'employé est attentif, un peu gêné, et prêt à apprendre. Une page courte qui montre les indices manqués (adresse d'expéditeur, lien trompeur, urgence artificielle) vaut mieux qu'une heure de formation en ligne trois semaines plus tard.",[52,297,298],{},"Quelques règles simples :",[67,300,301,304,307,310],{},[70,302,303],{},"Pas de palmarès public des « cliqueurs », jamais.",[70,305,306],{},"Pour les clics répétés, un accompagnement individuel bienveillant plutôt qu'une sanction.",[70,308,309],{},"Des résultats présentés à la direction de façon agrégée, par service, et non par nom.",[70,311,312],{},"Un accès restreint aux résultats nominatifs et une durée de conservation définie, puisqu'il s'agit de renseignements personnels.",[52,314,315,316,320,321,325],{},"Rappelez aussi ce qui arrive en vrai : si quelqu'un saisit son mot de passe sur une fausse page, l'",[234,317,319],{"href":318},"\u002Fblogue\u002Fauthentification-multifacteur-choisir-mfa","authentification multifacteur"," est souvent ce qui empêche l'attaquant d'entrer. Et chaque employé doit savoir quoi faire dans les minutes qui suivent, ce que prévoit votre ",[234,322,324],{"href":323},"\u002Fblogue\u002Fplan-reponse-incidents-pme-modele","plan de réponse aux incidents",".",[83,327,329],{"id":328},"checklist-avant-de-lancer-votre-première-campagne","Checklist avant de lancer votre première campagne",[67,331,334,345,352,359,366,373,380,387],{"className":332},[333],"contains-task-list",[70,335,338,344],{"className":336},[337],"task-list-item",[339,340],"input",{"disabled":341,"type":342,"aria-label":343},true,"checkbox","La direction a approuvé le programme et participe aux tests."," La direction a approuvé le programme et participe aux tests.",[70,346,348,351],{"className":347},[337],[339,349],{"disabled":341,"type":342,"aria-label":350},"Les employés savent qu'un programme existe et qu'un clic mène à de la formation, pas à une sanction."," Les employés savent qu'un programme existe et qu'un clic mène à de la formation, pas à une sanction.",[70,353,355,358],{"className":354},[337],[339,356],{"disabled":341,"type":342,"aria-label":357},"Un bouton ou une adresse de signalement est en place et connu de tous."," Un bouton ou une adresse de signalement est en place et connu de tous.",[70,360,362,365],{"className":361},[337],[339,363],{"disabled":341,"type":342,"aria-label":364},"Le domaine d'envoi et la page d'atterrissage sont prêts; la liste d'autorisation est configurée."," Le domaine d'envoi et la page d'atterrissage sont prêts; la liste d'autorisation est configurée.",[70,367,369,372],{"className":368},[337],[339,370],{"disabled":341,"type":342,"aria-label":371},"Un essai a été fait avec un petit groupe."," Un essai a été fait avec un petit groupe.",[70,374,376,379],{"className":375},[337],[339,377],{"disabled":341,"type":342,"aria-label":378},"Les scénarios sont réalistes et n'exploitent ni la santé, ni l'emploi, ni la famille."," Les scénarios sont réalistes et n'exploitent ni la santé, ni l'emploi, ni la famille.",[70,381,383,386],{"className":382},[337],[339,384],{"disabled":341,"type":342,"aria-label":385},"Les indicateurs sont définis : signalement, délai, saisie d'identifiants."," Les indicateurs sont définis : signalement, délai, saisie d'identifiants.",[70,388,390,393],{"className":389},[337],[339,391],{"disabled":341,"type":342,"aria-label":392},"Les accès aux résultats nominatifs et leur conservation sont encadrés."," Les accès aux résultats nominatifs et leur conservation sont encadrés.",[52,395,396,397,400],{},"Notre équipe conçoit et pilote des campagnes de simulation adaptées à votre réalité, dans le cadre de notre ",[234,398,399],{"href":25},"accompagnement continu"," ou comme mandat ponctuel.",[139,402],{"variant":403},"devis",{"title":405,"searchDepth":11,"depth":15,"links":406},"",[407,408,409,410,411,412],{"id":85,"depth":11,"text":86},{"id":103,"depth":11,"text":104},{"id":144,"depth":11,"text":145},{"id":252,"depth":11,"text":253},{"id":291,"depth":11,"text":292},{"id":328,"depth":11,"text":329},"2026-10-24","Simulation d'hameçonnage pour employés : planifier la campagne, choisir des scénarios réalistes, mesurer le taux de signalement et former sans humilier.","md",[417,420,423],{"q":418,"a":419},"Est-il légal de faire une simulation d'hameçonnage sans prévenir les employés ?","En général, une organisation peut tester ses propres systèmes et sensibiliser son personnel, à condition d'agir de façon raisonnable et transparente. La pratique courante consiste à annoncer l'existence du programme dans une politique ou une communication, sans dévoiler la date des campagnes. Comme les résultats sont des renseignements personnels au sens de la Loi 25, et que des règles du droit du travail peuvent s'appliquer, validez votre démarche avec votre conseiller juridique.",{"q":421,"a":422},"À quelle fréquence faut-il envoyer des simulations d'hameçonnage ?","De petites campagnes régulières, par exemple tous les mois ou tous les trimestres, donnent de meilleurs résultats qu'un gros exercice annuel. L'objectif est de créer un réflexe, pas de faire un examen. Variez les scénarios et les heures d'envoi pour que les employés ne puissent pas reconnaître le test à sa forme.",{"q":424,"a":425},"Peut-on faire nos simulations nous-mêmes avec Microsoft 365 ?","C'est possible si vous avez la bonne licence : le module Attack simulation training de Microsoft exige Microsoft 365 E5 ou Microsoft Defender for Office 365 Plan 2. Des outils libres existent aussi, mais ils demandent un domaine d'envoi dédié, une configuration de liste d'autorisation et du temps pour concevoir les scénarios. Un partenaire externe apporte surtout de la neutralité : ce n'est pas votre collègue des TI qui « piège » le personnel.","simulation d'hameçonnage",{},"\u002Fblogue\u002Fsimulation-hameconnage-employes","---\ntitle: \"Simulation d'hameçonnage : former vos employés sans les piéger\"\ndescription: \"Simulation d'hameçonnage pour employés : planifier la campagne, choisir des scénarios réalistes, mesurer le taux de signalement et former sans humilier.\"\ndate: 2026-10-24\ncategory: audit\ntags: [\"hameconnage\", \"sensibilisation\", \"employes\", \"pme\"]\ntranslationKey: simulation-phishing\nkeyword: \"simulation d'hameçonnage\"\nfaq:\n  - q: \"Est-il légal de faire une simulation d'hameçonnage sans prévenir les employés ?\"\n    a: \"En général, une organisation peut tester ses propres systèmes et sensibiliser son personnel, à condition d'agir de façon raisonnable et transparente. La pratique courante consiste à annoncer l'existence du programme dans une politique ou une communication, sans dévoiler la date des campagnes. Comme les résultats sont des renseignements personnels au sens de la Loi 25, et que des règles du droit du travail peuvent s'appliquer, validez votre démarche avec votre conseiller juridique.\"\n  - q: \"À quelle fréquence faut-il envoyer des simulations d'hameçonnage ?\"\n    a: \"De petites campagnes régulières, par exemple tous les mois ou tous les trimestres, donnent de meilleurs résultats qu'un gros exercice annuel. L'objectif est de créer un réflexe, pas de faire un examen. Variez les scénarios et les heures d'envoi pour que les employés ne puissent pas reconnaître le test à sa forme.\"\n  - q: \"Peut-on faire nos simulations nous-mêmes avec Microsoft 365 ?\"\n    a: \"C'est possible si vous avez la bonne licence : le module Attack simulation training de Microsoft exige Microsoft 365 E5 ou Microsoft Defender for Office 365 Plan 2. Des outils libres existent aussi, mais ils demandent un domaine d'envoi dédié, une configuration de liste d'autorisation et du temps pour concevoir les scénarios. Un partenaire externe apporte surtout de la neutralité : ce n'est pas votre collègue des TI qui « piège » le personnel.\"\nsources:\n  - title: \"Centre canadien pour la cybersécurité : Ne mordez pas à l'hameçon (ITSAP.00.101)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fne-mordez-pas-lhamecon-reconnaitre-et-prevenir-les-attaques-par-hameconnage\"\n  - title: \"Insurance Business Canada : AI-powered attacks push cyber risks higher for Canada's SMEs (oct. 2025)\"\n    url: \"https:\u002F\u002Fwww.insurancebusinessmag.com\u002Fca\u002Fnews\u002Fcyber\u002Faipowered-attacks-push-cyber-risks-higher-for-canadas-smes-zensurance-551828.aspx\"\n  - title: \"KPMG Canada : la cybercriminalité frappe plus de six entreprises québécoises sur dix (2023)\"\n    url: \"https:\u002F\u002Fwww.newswire.ca\u002Ffr\u002Fnews-releases\u002Fla-cybercriminalite-a-touche-plus-de-six-petites-et-moyennes-entreprises-quebecoises-sur-dix-au-cours-de-la-derniere-annee-894649671.html\"\n  - title: \"Microsoft : politique de remise avancée pour les simulations d'hameçonnage tierces\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fdefender-office-365\u002Fadvanced-delivery-policy-configure\"\n  - title: \"Microsoft : bien démarrer avec Attack simulation training\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fdefender-office-365\u002Fattack-simulation-training-get-started\"\n  - title: \"Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1)\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n---\n\nMardi, 8 h 47, dans un cabinet comptable de Laval. Les 22 employés reçoivent un courriel : « Votre colis est retenu, confirmez votre adresse de livraison. » Trois personnes cliquent. Une saisit son mot de passe sur la fausse page. Deux autres transfèrent le message à la direction en demandant : « C'est normal, ça ? »\n\nCette fois, c'était un exercice. La personne qui a saisi son mot de passe voit une page qui lui explique, en 90 secondes, les indices qu'elle aurait pu repérer. Les deux qui ont signalé le courriel reçoivent un merci. Et la direction sait désormais où concentrer ses efforts.\n\nC'est le principe d'une simulation d'hameçonnage. Bien faite, elle transforme vos employés en système de détection. Mal faite, elle crée de la méfiance et n'apprend rien à personne. Voici comment viser le premier résultat.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Une simulation d'hameçonnage est un exercice de formation, pas un piège ni un examen.\n- Les meilleurs scénarios ressemblent à vos vrais courriels d'affaires, sans exploiter les émotions de façon cruelle.\n- L'indicateur le plus utile n'est pas le taux de clics, mais le taux de signalement.\n- Les résultats individuels sont des renseignements personnels : limitez qui y a accès.\n::\n\n## Ce qu'est une simulation d'hameçonnage (et ce qu'elle n'est pas)\n\nUne simulation, c'est l'envoi contrôlé de faux courriels malveillants à vos employés, à partir d'une plateforme qui mesure qui ouvre, clique, saisit des identifiants ou signale le message. Chaque action déclenche une réaction pédagogique immédiate.\n\nLe Centre canadien pour la cybersécurité recommande d'ailleurs aux organisations de mener des simulations d'hameçonnage internes pour aider le personnel à mieux comprendre les risques. Ce n'est pas un gadget : l'hameçonnage coûte en moyenne 89 000 $ par incident aux PME canadiennes, selon des données de l'industrie citées par Insurance Business Canada (octobre 2025).\n\nCe que ce n'est **pas** : un moyen de prendre des employés en défaut, une évaluation de rendement ou un substitut aux protections techniques. Même avec une équipe parfaitement formée, quelqu'un finira par cliquer. C'est pourquoi une simulation va de pair avec l'authentification multifacteur, un bon filtrage du courriel et un processus clair quand un vrai clic survient.\n\n## Planifier une campagne en cinq étapes\n\n1. **Obtenir l'appui de la direction.** Si la présidente est exemptée des tests, le message envoyé au reste de l'équipe est clair. Tout le monde participe, direction comprise.\n2. **Communiquer le programme.** Expliquez pourquoi vous le faites et ce qui arrive en cas de clic (de la formation, pas des sanctions). Ne donnez pas les dates.\n3. **Préparer la technique.** Domaine d'envoi dédié, page d'atterrissage, et mise en liste d'autorisation dans votre filtre de courriel. Dans Microsoft 365, cela passe par la politique de remise avancée prévue pour les simulations tierces. Faites un essai avec deux ou trois personnes avant l'envoi général.\n4. **Envoyer par vagues.** Si les 22 employés reçoivent le même courriel à la même minute, le bouche-à-oreille fausse le résultat. Étalez l'envoi sur quelques heures ou quelques jours.\n5. **Analyser et former.** Regardez les résultats par scénario et par service, puis ajustez la formation et le prochain scénario.\n\n::cta{variant=\"audit\"}\n::\n\n## Choisir des scénarios réalistes, sans être cruel\n\nUn bon scénario ressemble aux courriels que vos employés reçoivent vraiment. Pour un manufacturier de la Beauce, ce sera une facture de fournisseur; pour une clinique, un document partagé par un « collègue »; pour un cabinet, une demande urgente d'un client.\n\n| Scénario | Pourquoi il fonctionne | Difficulté |\n|---|---|---|\n| Colis retenu, frais de livraison | Tout le monde commande en ligne | Facile |\n| Document partagé (Drive, OneDrive) | Imite un outil utilisé chaque jour | Moyenne |\n| Réinitialisation du mot de passe ou du MFA | Crée un sentiment d'urgence technique | Moyenne |\n| Facture d'un fournisseur connu | Cible la comptabilité et les achats | Moyenne |\n| Code QR pour « valider » un accès | Contourne l'analyse des liens dans le courriel | Difficile |\n| Demande urgente de la direction | Prépare à la [fraude au président](\u002Fblogue\u002Ffraude-president-courriel-affaires-compromis) | Difficile |\n\nCe qu'il faut **éviter** : les fausses primes, les fausses annonces de mises à pied, les sujets de santé ou les urgences familiales. Ces scénarios fonctionnent, justement parce qu'ils jouent avec les émotions, et c'est le problème. Ils minent la confiance envers l'employeur pour longtemps, et l'employé retient surtout qu'on s'est moqué de lui.\n\nNe vous limitez pas au courriel. Le guide du Centre pour la cybersécurité couvre aussi l'hameçonnage par texto, par téléphone et par code QR. Une fois vos campagnes par courriel bien rodées, envisagez un test téléphonique occasionnel auprès de la réception ou de la comptabilité : « Bonjour, c'est le soutien informatique, j'ai juste besoin du code que vous venez de recevoir pour terminer la mise à jour. » Si quelqu'un dicte un code MFA au téléphone, vous avez trouvé une faille qu'aucun filtre de courriel ne fermera. Les mêmes règles s'appliquent : programme annoncé, approche respectueuse, et chaque erreur devient une occasion d'apprendre.\n\n## Mesurer ce qui compte : le signalement avant le clic\n\nLe taux de clics est l'indicateur le plus cité, mais il est trompeur. Il varie énormément selon la difficulté du scénario, et certains filtres de sécurité « cliquent » automatiquement sur les liens pour les analyser, ce qui gonfle artificiellement les chiffres.\n\nSuivez plutôt ces indicateurs :\n\n- **Taux de signalement :** la proportion d'employés qui utilisent le bouton « Signaler l'hameçonnage » ou avertissent les TI. C'est votre réseau de capteurs humains.\n- **Délai de signalement :** le temps entre l'envoi et le premier signalement. Lors d'une vraie attaque, ce premier signalement permet de bloquer le message pour tout le monde.\n- **Taux de saisie d'identifiants :** plus grave qu'un simple clic, car c'est ce qui donne accès à un compte.\n- **Tendance dans le temps :** une seule campagne ne dit pas grand-chose; c'est l'évolution sur plusieurs mois qui compte.\n\nSi vos employés n'ont pas de façon simple de signaler un courriel suspect, réglez ce point avant de lancer la première campagne.\n\n## Après le clic : former sans humilier\n\nLe moment qui suit le clic est le plus précieux. L'employé est attentif, un peu gêné, et prêt à apprendre. Une page courte qui montre les indices manqués (adresse d'expéditeur, lien trompeur, urgence artificielle) vaut mieux qu'une heure de formation en ligne trois semaines plus tard.\n\nQuelques règles simples :\n\n- Pas de palmarès public des « cliqueurs », jamais.\n- Pour les clics répétés, un accompagnement individuel bienveillant plutôt qu'une sanction.\n- Des résultats présentés à la direction de façon agrégée, par service, et non par nom.\n- Un accès restreint aux résultats nominatifs et une durée de conservation définie, puisqu'il s'agit de renseignements personnels.\n\nRappelez aussi ce qui arrive en vrai : si quelqu'un saisit son mot de passe sur une fausse page, l'[authentification multifacteur](\u002Fblogue\u002Fauthentification-multifacteur-choisir-mfa) est souvent ce qui empêche l'attaquant d'entrer. Et chaque employé doit savoir quoi faire dans les minutes qui suivent, ce que prévoit votre [plan de réponse aux incidents](\u002Fblogue\u002Fplan-reponse-incidents-pme-modele).\n\n## Checklist avant de lancer votre première campagne\n\n- [ ] La direction a approuvé le programme et participe aux tests.\n- [ ] Les employés savent qu'un programme existe et qu'un clic mène à de la formation, pas à une sanction.\n- [ ] Un bouton ou une adresse de signalement est en place et connu de tous.\n- [ ] Le domaine d'envoi et la page d'atterrissage sont prêts; la liste d'autorisation est configurée.\n- [ ] Un essai a été fait avec un petit groupe.\n- [ ] Les scénarios sont réalistes et n'exploitent ni la santé, ni l'emploi, ni la famille.\n- [ ] Les indicateurs sont définis : signalement, délai, saisie d'identifiants.\n- [ ] Les accès aux résultats nominatifs et leur conservation sont encadrés.\n\nNotre équipe conçoit et pilote des campagnes de simulation adaptées à votre réalité, dans le cadre de notre [accompagnement continu](\u002Fservices\u002Faccompagnement-continu) ou comme mandat ponctuel.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":414},[432,435,438,441,444,447],{"title":433,"url":434},"Centre canadien pour la cybersécurité : Ne mordez pas à l'hameçon (ITSAP.00.101)","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fne-mordez-pas-lhamecon-reconnaitre-et-prevenir-les-attaques-par-hameconnage",{"title":436,"url":437},"Insurance Business Canada : AI-powered attacks push cyber risks higher for Canada's SMEs (oct. 2025)","https:\u002F\u002Fwww.insurancebusinessmag.com\u002Fca\u002Fnews\u002Fcyber\u002Faipowered-attacks-push-cyber-risks-higher-for-canadas-smes-zensurance-551828.aspx",{"title":439,"url":440},"KPMG Canada : la cybercriminalité frappe plus de six entreprises québécoises sur dix (2023)","https:\u002F\u002Fwww.newswire.ca\u002Ffr\u002Fnews-releases\u002Fla-cybercriminalite-a-touche-plus-de-six-petites-et-moyennes-entreprises-quebecoises-sur-dix-au-cours-de-la-derniere-annee-894649671.html",{"title":442,"url":443},"Microsoft : politique de remise avancée pour les simulations d'hameçonnage tierces","https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fdefender-office-365\u002Fadvanced-delivery-policy-configure",{"title":445,"url":446},"Microsoft : bien démarrer avec Attack simulation training","https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fdefender-office-365\u002Fattack-simulation-training-get-started",{"title":448,"url":449},"Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1)","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1","blogue\u002Fsimulation-hameconnage-employes",[452,453,454,455],"hameconnage","sensibilisation","employes","pme","simulation-phishing",null,"8GWxLMZHaKvcLZlLiG6kaU-iHracSIX6TSHWQgRVHlU",{"path":460},"\u002Fen\u002Fblog\u002Fphishing-simulation-employees",[462,469,476],{"path":463,"title":464,"description":465,"category":141,"minutes":27,"tags":466},"\u002Fblogue\u002Faudit-securite-google-workspace","Audit de sécurité Google Workspace : 12 réglages à vérifier","Audit de sécurité Google Workspace : super-administrateurs, validation en deux étapes, Gmail, partage Drive et applications tierces. La checklist pour PME.",[467,468,141,455],"google-workspace","infonuagique",{"path":470,"title":471,"description":472,"category":141,"minutes":27,"tags":473},"\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences","Audit vs pentest vs scan de vulnérabilités : lequel choisir ?","Audit, test d'intrusion ou scan de vulnérabilités ? Les vraies différences, ce que chacun livre et l'ordre logique pour une PME québécoise qui veut investir.",[141,474,475,455],"pentest","vulnérabilités",{"path":477,"title":478,"description":479,"category":141,"minutes":27,"tags":480},"\u002Fblogue\u002Fbudget-cybersecurite-pme","Budget de cybersécurité d'une PME : quoi financer en premier","Combien investir en cybersécurité dans une PME ? Une méthode par paliers pour bâtir un budget réaliste, prioriser les dépenses et convaincre la direction.",[481,455,482,483],"budget","gouvernance","planification",1792970122339]