I. Définir le contexte de la menace
1️. Définition du risque
Le phishing (ou hameçonnage) est une attaque informatique de type social engineering consistant à tromper un utilisateur pour l’inciter à divulguer des informations sensibles (identifiants, mots de passe) ou à cliquer sur un lien malveillant. Les attaques peuvent être faites par email, SMS (smishing) ou appels (vishing). Le but est d’usurper une identité de confiance pour obtenir des données ou installer un logiciel malveillant.
En entreprise, le phishing est une menace importante car une seule erreur humaine peut permettre à un attaquant d’accéder au système d’information ou de compromettre des données confidentielles.
2️ . Chiffres clés (2024–2026)
Incidence et coût du phishing
- Le phishing représente 60 % des attaques signalées par les entreprises selon le baromètre CESIN 2023.
- D’après le rapport annuel sur le coût des violations de données d’IBM, en 2024–2025, le phishing représentait environ 16 % des incidents de violation de données, avec un *coût moyen par attaque d’environ 4,8 millions de dollars pour les entreprises concernées. Cela montre l’impact financier élevé que ces attaques peuvent avoir sur les organisations.
- Les pertes financières mondiales dues au phishing pourraient atteindre entre 12,2 et 14,7 milliards de dollars en 2026.
- 71 % des attaques de ransomware commencent par une attaque de phishing selon les données de 2026.
Adoption et réussite
- Une étude montre que 44 % des utilisateurs cliquent sur des liens de phishing simplement parce qu’ils pensent que l’email est légitime.
- Dans certaines simulations, les taux de compromission peuvent atteindre de 10 % à plus, selon le type d’attaque et l’environnement.
Nombre total d’incidents analysés
→ Le rapport ENISA analyse 4 875 incidents au total sur une année (juillet 2024-juin 2025) dans tous les États membres de l’Union européenne.
Cela donne une idée de l’ampleur globale des attaques, parmi lesquelles le phishing est le mode d’accès initial dominant.
Autres vecteurs comparés
→ Toujours selon ENISA, après le phishing :
≈ 21,3 % des intrusions proviennent de l’exploitation de vulnérabilités,
≈ 9,9 % par botnets,
≈ 8 % par applications malveillantes.
cela montre que le phishing est la méthode la plus fréquemment utiliser
Fait important : les phishing ciblant les entreprises sont souvent plus sophistiqués (BEC — Business Email Compromise) et peuvent coûter des centaines de milliers de dollars en pertes directes et indirectes.
3️. Exemples concrets de phishing
🔹 Attaque d’Orion Chemical Manufacturing (2024)
En août 2024, l’entreprise Orion Chemical Manufacturing a subi une attaque par phishing de type BEC. Un employé a été trompé par un email frauduleux ressemblant à une correspondance interne et a réalisé plusieurs transferts financiers vers des comptes contrôlés par des cybercriminels, entraînant une perte estimée à environ 60 millions de dollars.
🔹 Ciblage massif des grandes marques
Google et Facebook ont été piégés par des attaques par phishing de factures frauduleuses qui leur ont fait perdre plus de 100 millions de dollars chacun.
🔹 En juin 2019, un réseau de santé américain (PIH Health) a subi une attaque de phishing qui a compromis 45 comptes email d’employés et exposé les données personnelles protégées de 189 763 patients. Cette attaque a entraîné une enquête de l’Office for Civil Rights du Department of Health and Human Services et une amende de 600 000 $ pour non-conformité aux règles de protection des données (HIPAA). Cette affaire illustre comment une campagne de phishing peut mener à une violation massive de données et à des sanctions financières importantes pour les organisations.
🔹Un employé peut recevoir un faux email du service informatique demandant une réinitialisation urgente du mot de passe. Un autre exemple courant est le faux message de livraison contenant une pièce jointe infectée. Il existe aussi des attaques plus ciblées, comme la fraude au président, où l’attaquant se fait passer pour un dirigeant afin de demander un virement bancaire.
II. Les fondations techniques du phishing
Les fondations techniques du phishing regroupent l’ensemble des outils, méthodes et infrastructures informatiques utilisés par les attaquants pour concevoir, diffuser et rendre crédibles leurs attaques. Ces éléments techniques permettent au phishing d’être efficace et difficile à détecter.
Pour un phishing réussi, il ne suffit pas seulement de tromper l’utilisateur : les attaquants exploitent des faiblesses techniques dans les systèmes de communication, l’authentification, les protocoles de messagerie ou encore les protections applicatives. C’est pourquoi la compréhension des bases techniques est essentielle pour mettre en place des mesures de défense efficaces en entreprise.
1. Les moyens techniques utilisés par les attaquants
Les cybercriminels utilisent des systèmes d’envoi d’emails capables de diffuser des messages frauduleux à grande échelle ou de manière ciblée. Les emails sont conçus pour ressembler le plus possible à des communications légitimes, avec des adresses d’expéditeur similaires aux originales, des logos officiels et une mise en forme professionnelle.
Les liens présents dans les messages redirigent vers des sites web frauduleux, qui sont souvent des copies exactes de sites connus (banques, services cloud, plateformes professionnelles). Ces sites sont utilisés pour récupérer les identifiants saisis par les victimes.
Les attaques de phishing utilisent fréquemment des pièces jointes infectées, comme des fichiers PDF, Word ou Excel. Ces fichiers peuvent contenir des scripts ou du code malveillant qui s’exécute lors de l’ouverture du document.
Une fois la pièce jointe ouverte, un logiciel malveillant peut être installé sur l’ordinateur de l’utilisateur, permettant à l’attaquant de prendre le contrôle du poste ou d’accéder au réseau interne de l’entreprise.
2. Failles techniques exploitées
Le succès du phishing repose souvent sur des failles techniques et organisationnelles. Un filtrage insuffisant des emails, des mises à jour de sécurité manquantes ou une configuration inadaptée des systèmes de messagerie augmentent fortement le risque.
L’absence de mécanismes de sécurité complémentaires, comme l’authentification renforcée ou la limitation des accès, permet aux attaquants d’exploiter rapidement les informations volées et de se déplacer au sein du système d’information.
3. Authentification et prévention du phishing
Même si les mots de passe sont forts et gérés correctement, cela ne suffit pas à protéger contre le phishing s’ils sont volés ou fournis volontairement à un faux site.
Authentification multifactorielle (MFA)
L’implémentation du MFA est l’une des lignes de défense les plus efficaces contre le phishing : même si un mot de passe est compromis, un second facteur (code, application mobile, clé physique) empêche l’accès à un compte.
Clés physiques et normes FIDO2 sont particulièrement résistantes au phishing par comparaison aux codes par SMS ou aux applications d’authentification classiques, car l’attaquant devrait physiquement détenir la clé.
Des études montrent que une MFA correctement configurée peut bloquer jusqu’à 99 % des tentatives de compromission causées par phishing.
Sécurité contextuelle et accès conditionnel
Certains systèmes modernes peuvent demander des vérifications supplémentaires ou rejeter des connexions suspectes selon l’heure, l’adresse IP ou l’appareil utilisé.
4. Sécurisation des emails : anti-phishing technique
Comme les attaques de phishing passent souvent par emails frauduleux, sécuriser la messagerie est primordial.
Filtres anti-spam et anti-phishing
Ces outils bloquent automatiquement les messages suspects avant qu’ils n’atteignent les utilisateurs, détectant des signatures connues ou des comportements anormaux.
Authentification des emails : SPF, DKIM et DMARC
Ces trois technologies permettent aux serveurs de messagerie de vérifier si un email provient bien du domaine qu’il prétend représenter :
- SPF (Sender Policy Framework) contrôle si le serveur expéditeur est autorisé pour ce domaine.
- DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique aux emails qui prouve qu’il n’a pas été modifié.
- DMARC permet au propriétaire du domaine de définir comment traiter les emails qui échouent SPF ou DKIM, réduisant l’impact de l’usurpation d’identité.
Ces protocoles réduisent drastiquement le succès des attaques par usurpation d’emails et du phishing ciblé.
5. Outils techniques de détection et de réponse
Analyse et blocage de liens/URL
Les solutions anti-phishing avancées inspectent les liens dans les emails en temps réel, bloquant l’accès à des pages frauduleuses avant qu’un utilisateur ne clique.
Sandboxing des pièces jointes
Certains outils exécutent les fichiers joints dans un environnement sécurisé pour détecter un comportement malveillant avant qu’ils n’atteignent les utilisateurs.
EDR (Endpoint Detection and Response)
Les systèmes EDR surveillent les comportements suspects post-clic (par ex. téléchargement ou exécution de malwares) et alertent ou isolent rapidement un poste compromis.
6. Sensibilisation et comportement humain
Même avec des technologies performantes, l’humain reste souvent le maillon faible si on ne lui donne pas les outils pour reconnaître les attaques.
Les entreprises doivent former leurs employés à repérer les signes de phishing (expéditeur suspect, urgences répétées, fautes d’orthographe, URL trompeuses).
Des simulations internes permettent de mesurer la vigilance des utilisateurs et d’adapter les programmes de formation.
III. Les impacts possibles sur l’entreprise
1️ Scénarios de risques
Perte financière directe
Violation de données sensibles
Blocage des opérations
Atteinte à l’image & confiance client
Sanctions légales / conformité
- Non-respect du RGPD / obligations de notification des violations peut entraîner des amendes.
2. Matrices de risques (exemples)
| Risque | Exemple | Probabilité | Impact | Niveau |
| Vol d’identifiants | Saisie du mot de passe sur un faux site | Élevée | Élevé | 🔴 Critique |
| Infection parmalware | Ouverture d’une pièce jointe infectée | Moyenne | Élevé | 🔴 Critique |
| Fraude financière | Faux email demandant un virement urgent | Faible à moyenne | Très élevé | 🔴 Critique |
| Fuite de données | Accès non autorisé à des fichiers internes | Moyenne | Élevé | 🟠 Important |
| Atteinte à l’image | Données divulguées publiquement | Faible | Élevé | 🟠 Important |
| Spam interne | Emails de phishing non ouverts mais reçus | Élevée | Faible | 🟡 Modéré |
| Perte de productivité | Employé passe du temps à vérifier un email suspect | Moyenne | Faible | 🟡 Modéré |
| Tentative de vol d’identifiants détectée | Blocage du compte après tentative de phishing | Moyenne | Faible | 🟢 Faible |
| Petit malwareinoffensif | Fichier infecté mais isolé par l’antivirus | Faible | Faible | 🟢 Faible |
IV. Les politiques mises en œuvre dans les entreprises pour mitiger le risque contre le phishing
Cette partie présente les politiques de sécurité concrètes mises en place par les entreprises pour réduire les risques liés au phishing et aux ransomwares. Ces politiques combinent mesures techniques, organisationnelles et stratégiques.
1. Gestion des identités et des accès
Les entreprises mettent en œuvre des politiques strictes de gestion des identités reposant sur le principe du moindre privilège, afin de limiter l’exploitation d’identifiants compromis lors d’une attaque de phishing. L’authentification forte (MFA) est généralisée, notamment pour les comptes sensibles et à privilèges, ce qui réduit fortement l’impact d’un vol de mot de passe. La traçabilité des accès est assurée par des journaux d’audit permettant de détecter rapidement des connexions anormales.
2. Sécurisation de la messagerie
Une politique de sécurité dédiée à la messagerie électronique est essentielle face au phishing. Elle inclut la configuration de mécanismes d’authentification des emails (SPF, DKIM, DMARC), l’utilisation de filtres anti-spam et anti-phishing, ainsi que le blocage automatique des liens ou pièces jointes suspectes. Ces mesures réduisent fortement les tentatives d’usurpation d’identité et les emails frauduleux atteignant les utilisateurs.
3. Sensibilisation et formation des utilisateurs
Les entreprises déploient des politiques de formation continue afin d’améliorer la vigilance des employés face aux tentatives de phishing. Ces actions incluent des campagnes de sensibilisation, des rappels réguliers des bonnes pratiques et des simulations de phishing. L’objectif est de réduire le facteur humain, souvent à l’origine du succès des attaques.
V. Le facteur humain dans le risque du phishing dans le cadre des entreprises
Le facteur humain reste l’un des éléments les plus vulnérables dans la chaîne de sécurité d’une entreprise. Les cybercriminels exploitent des comportements, des émotions et des routines humaines pour réussir leurs attaques, malgré les protections techniques.
1. Manque de sensibilisation et de formation
Beaucoup d’employés ne sont pas suffisamment formés pour reconnaître des e-mails frauduleux. Les messages de phishing imitent souvent des communications internes ou de partenaires professionnels, rendant leur détection difficile sans connaissances spécifiques.
2. Manipulation psychologique et ingénierie sociale
Les attaques de phishing ne reposent pas uniquement sur des aspects techniques, mais sur la manipulation de l’humain : urgence, autorité apparente, fausses relations de confiance… Cette ingénierie sociale est au cœur de nombreuses attaques.
3. Exemples réels d’attaques réussies liées au facteur humain
Voici plusieurs cas concrets qui montrent comment des employés, même dans des sociétés de premier plan, ont été trompés à cause d’erreurs humaines ou de manque de vigilance :
(Exemple) Facebook & Google – faux fournisseur
Un hacker a réussi à se faire passer pour un fournisseur (Quanta Computer) et envoyer de fausses factures aux services financiers de Facebook et Google. Résultat : près de 100 millions de dollars ont été transférés avant que la fraude soit détectée.
Le facteur humain ici : les employés ont exécuté des paiements sans vérifier l’authenticité des factures ni contacter le fournisseur directement.
4. Les conséquences humaines des attaques de phishing
Les attaques de phishing ont des impacts humains importants en entreprise. Les employés victimes peuvent ressentir du stress, de la culpabilité et une perte de confiance, surtout lorsque l’incident entraîne des pertes financières ou des fuites de données.
Ces attaques peuvent aussi créer un climat de méfiance au sein des équipes et augmenter la pression hiérarchique, avec des contrôles plus stricts et une charge mentale accrue. Enfin, elles montrent que la cybersécurité dépend fortement de la formation et de la vigilance des collaborateurs, qui doivent être accompagnés plutôt que blâmés.
5. Importance de la sensibilisation et des bonnes pratiques
Pour réduire ces risques liés à l’humain, les entreprises doivent :
- Former régulièrement les collaborateurs à reconnaître les signes du phishing.
- Mettre en place des simulations d’attaques pour tester et renforcer la vigilance.
- Définir des procédures claires de vérification (ex. double validation pour les paiements)
VI. Pentest, contrôles et audits (Phishing)
Cette partie présente les méthodes utilisées par les entreprises pour tester, contrôler et auditer leur niveau de sécurité face au phishing . Ces actions permettent d’identifier les failles avant qu’elles ne soient exploitées par des attaquants réels.
Phishing – Pentest, contrôles et audits
Les tests et audits liés au phishing visent principalement à évaluer la résistance humaine et technique de l’entreprise face aux tentatives d’hameçonnage.
| Type | Exemple / Description | Objectif | Source |
| Pentest social engineering | Campagnes de phishing simulées envoyées aux employés | Mesurer le taux de clic, de saisie d’identifiants et améliorer la sensibilisation | https://www.oci.fr/5-bonnes-pratiques-contre-le-phishing/ |
| Contrôle technique | Vérification de la configuration SPF, DKIM et DMARC | Réduire l’usurpation d’identité et le phishing par email | https://fr.wikipedia.org/wiki/DMARC |
| Audit de messagerie | Analyse de l’efficacité des filtres anti-spam et anti-phishing | Évaluer la capacité de détection automatique des emails frauduleux | https://www.mimecast.com/fr/content/phishing-protection/ |
| Audit d’authentification | Vérification de l’usage du MFA sur les comptes sensibles | Limiter l’impact du vol d’identifiants | https://www.isdecisions.com/fr/blog/mfa/ |
| Test post-phishing | Analyse des réactions après clic (EDR, alertes SOC) | Vérifier la détection et la réponse aux incidents | https://www.itsystemes.fr/articles/quest-ce-que-le-fishing |
Ces contrôles permettent de réduire significativement le risque, car ils combinent prévention humaine, protection technique et capacité de réaction en cas d’erreur utilisateur.
(cyberly.org)
(oodrive.com)
(bluefin.com)
(techopedia.com)
(comparecheapssl.com)
(ico.org.uk)
(arxiv.org)
(hoxhunt.com)
(expertinsights.com)
(hipaajournal.com)
(economie-gestion.wp.ac-dijon.fr)
(isdecisions.com)
(itsystemes.fr)
(okoone.com)
(wikipedia.org)
(oci.fr)
(mimecast.com)
(cyber.gouv.fr)