Un programme complet de sensibilisation au phishing et à la cybersécurité
Un parcours déclenché par la simulation de phishing, complété par des modules e-learning ciblés par métier — le tout fondé sur les sciences cognitives
Pourquoi les formations classiques échouent
Et comment LePhish change la donne grâce aux sciences cognitives
en une semaine
En 1885, le psychologue Hermann Ebbinghaus a mesuré pour la première fois la vitesse à laquelle notre mémoire efface ce qu'elle vient d'apprendre. Résultat : sans aucun rappel, nous perdons environ 70 % de l'information en 24 heures et jusqu'à 90 % en une semaine.
C'est ce qu'on appelle la courbe de l'oubli — et c'est exactement la raison pour laquelle une formation ponctuelle de sensibilisation, aussi bonne soit-elle, n'a quasiment aucun effet durable sur les comportements de vos collaborateurs.
En savoir plus sur la courbe de l'oubli (Ebbinghaus, 1885)Pour contrer ce phénomène, LePhish s'appuie sur deux principes scientifiquement prouvés :
Les travaux de Landauer & Bjork (1978) ont démontré que la clé n'est pas de répéter souvent, mais de répéter au bon moment. Un premier rappel rapide (dans les 24h) empêche la chute initiale de la mémoire. Un deuxième rappel plus tardif (à une semaine) consolide durablement l'information. À chaque intervalle qui s'allonge, la rétention se renforce.
Landauer & Bjork, 1978 — Optimal rehearsal patterns and name learningUne étude de référence de Roediger & Karpicke (2006) a montré que les personnes qui se testent activement retiennent 50 % d'information de plus après une semaine que celles qui se contentent de relire le même contenu. Se mettre en situation, prendre une décision, faire une erreur et la comprendre — c'est ce qui ancre vraiment un réflexe.
Roediger & Karpicke, Psychological Science, 2006C'est sur ces deux principes que repose tout notre programme, à travers deux dispositifs complémentaires : un parcours de sensibilisation au phishing déclenché automatiquement par chaque simulation de vos campagnes de phishing — trois points de contact à intervalles croissants — et des modules e-learning ciblés par métier, où chaque collaborateur est acteur de son apprentissage, pas spectateur.
et sensibilisation sur l'instant
Un parcours de sensibilisation au phishing déclenché par chaque simulation
Le moment le plus efficace pour apprendre, c'est juste après s'être fait piéger
Sensibilisation sur l'instant
Le collaborateur piégé par une simulation est immédiatement redirigé vers une page qui décortique l'email reçu : domaine trompeur, expéditeur usurpé, lien suspect… chaque indice qui aurait dû l'alerter lui est montré, à chaud sur l'email qu'il vient de recevoir.
Rappel ciblé le lendemain
Un email pédagogique est envoyé uniquement aux collaborateurs piégés, avec un contenu adapté au niveau de difficulté du scénario — au moment précis où la mémoire commence à s'estomper.
Mini-jeu interactif
Une semaine plus tard, un serious game de 2 minutes place le collaborateur en situation : à lui de repérer les éléments suspects d'un email de phishing, avec un score sur 10 à la clé.
Des modules de sensibilisation à la cybersécurité, ciblés par métier
Interactifs, contextualisés pour la France — aperçus réels ci-dessous
Vous avez probablement déjà déployé un e-learning de sensibilisation à la cybersécurité, et vous connaissez la suite : des contenus génériques et interchangeables, et des collaborateurs qui cliquent « Suivant » jusqu'au certificat. Le problème ne vient pas de vos équipes : il vient du format. Voici, sur cinq extraits réels — tels que vos collaborateurs les verront —, ce que nous faisons différemment.
On ne l'explique pas, on le montre.
Notre démarche part d'un constat validé par les sciences cognitives : on ne retient pas ce qu'on lit en diagonale, on retient ce qu'on fait. Plutôt que de lire qu'un mot de passe doit être long, votre collaborateur en tape un et voit, chiffre à l'appui, le temps qu'un attaquant mettrait à le casser. Le constat s'imprime — durablement. Et tout est calculé dans son navigateur : aucune donnée ne quitte son poste.
La bonne méthode, entre leurs mains.
Chaque module place le collaborateur en situation, à partir de sa propre réalité. Ici, il génère lui-même sa phrase de passe — quatre mots tirés au sort par la machine, incassable et pourtant facile à retenir — et comprend d'un coup d'œil pourquoi « P@ssw0rd! » ne fait pas le poids. Sensibiliser sans donner la solution, ce serait culpabiliser pour rien : il repart avec une méthode applicable dès le lendemain. Et un court quiz, en fin de module, transforme la séance en mémoire durable.
Des chiffres réels, pas de la peur.
Premier de nos partis pris : des chiffres français et sourcés plutôt que des exemples hors-sol — parce qu'on ne se reconnaît pas dans une « First National Bank ». Free, SFR, France Travail, LinkedIn : des fuites que vos collaborateurs connaissent, parfois dans lesquelles ils figurent sans le savoir. Voir ces volumes réels désamorce le « ça n'arrive qu'aux autres » bien plus efficacement qu'un discours anxiogène, et installe la bonne idée : leurs données circulent déjà.
Et là, ça devient personnel.
Le générique ne marque personne ; le personnel, si. Chacun saisit sa propre adresse et découvre dans quelles fuites elle apparaît — et surtout quelles données ont été exposées, parce que c'est ça qui dicte la conduite à tenir : un mot de passe à changer, un numéro à surveiller, un IBAN à protéger. On passe de la sensibilisation abstraite à un réflexe ancré dans sa propre situation. (Sur cette démonstration, un exemple est pré-affiché ; dans le module, chacun teste sa vraie adresse.)
Vos développeurs, enfin pris au sérieux.
Deuxième parti pris : des parcours adaptés au métier, parce qu'envoyer le même contenu à un développeur et à un comptable, c'est la garantie de perdre les deux. Aux profils techniques, on parle d'égal à égal — secrets, supply chain, authentification — avec des chiffres sourcés (23 millions de secrets exposés sur GitHub en 2024, une clé compromise en une minute après publication). La population la plus exposée est trop souvent la moins bien formée. Et comme tous les autres, ce module tient en 7 à 15 minutes, avec un suivi des résultats dans votre tableau de bord.
Parcours « Tous les collaborateurs »
10 modules — le socle de sensibilisation cyber pour toute l'organisation, RGPD inclus
Pourquoi chacun est concerné, et ce qu'une seule erreur peut déclencher dans toute l'organisation.
Quand l'humain devient la faille : manipulation, prétextes, fausse urgence.
Comment les attaquants récupèrent les mots de passe, et les réflexes qui les en empêchent.
Reconnaître un email frauduleux à travers des exemples concrets, décortiqués.
Identifier les données qu'on manipule au quotidien — même sans s'en rendre compte — et les protéger.
Les bons gestes sur son ordinateur et son smartphone, au bureau comme en mobilité.
Travailler hors du bureau sans exposer l'organisation : réseaux, écrans, environnement.
Le déroulé complet d'une cyberattaque, étape par étape, pour savoir où la stopper.
Les principes du règlement et la part de responsabilité de chacun.
Droits des personnes, devoirs au quotidien et réflexes en cas d'incident.
Parcours « Développeurs »
5 modules — pour les équipes qui écrivent et déploient votre code
Pourquoi les développeurs sont visés en priorité, et comment ne jamais laisser fuiter un secret — un commit, c'est pour toujours.
Les failles qu'on rencontre vraiment en production, et comment les éviter dès l'écriture du code.
Vos dépendances sont une porte d'entrée que vous n'avez pas écrite : packages, lockfiles, intégrité.
Les mille façons de se tromper sur l'authentification — et les patterns qui tiennent la route.
Utiliser correctement la cryptographie sans devenir cryptographe, et sans la réinventer.
Tous les modules sont accessibles à vos collaborateurs depuis la plateforme, dès l'inscription.
L'essai gratuit de 30 jours y donne accès, sans engagement et sans surcoût.
Prêt à sensibiliser vos équipes ?
Simulations de phishing, parcours post-clic et modules e-learning : testez LePhish gratuitement pendant 30 jours, sans engagement.