Comment interpréter les résultats d’une campagne de phishing et en tirer des actions concrètes ?

La campagne de sensibilisation au phishing vient de se terminer. Sur trois cents collaborateurs testés, quarante-deux ont cliqué sur le lien piégé, douze ont saisi leurs identifiants sur la fausse page de connexion, et le rapport atterrit sur le bureau du RSSI sous forme d’un graphique affichant 14 % de taux de clic. Le chiffre semble correct, en ligne avec la moyenne du secteur, et la tentation est grande de classer le dossier en se disant que la sensibilisation « fonctionne à peu près ». C’est précisément à ce moment que la plupart des entreprises passent à côté de l’essentiel.

Le phishing reste l’attaque la plus favorisée par les attaquants, ce qui justifie qu’on prenne la lecture des résultats d’une campagne de phishing simulé aussi sérieusement qu’un audit technique. Un taux de clic, seul, ne dit presque rien du niveau de risque réel d’une organisation : il ne dit pas qui a cliqué, ni pourquoi, ni si quelqu’un a seulement pensé à le signaler. Après avoir accompagné des dizaines de PME et d’ETI françaises sur ce type d’exercice, un constat revient sans cesse au sein de l’équipe SkillX : la valeur d’une campagne se joue dans la capacité à lire correctement ses résultats et à les transformer en actions ciblées, pas dans la simulation elle-même.

Voici comment interpréter réellement les résultats d’une campagne de phishing, quels indicateurs regarder au-delà du taux de clic, et comment construire un plan d’action qui change vraiment quelque chose.

Le taux de clic ne dit presque rien à lui seul

Deux entreprises peuvent afficher exactement le même taux de 14 % avec des niveaux de risque radicalement différents. Dans la première, les clics se répartissent uniformément sur l’ensemble des services, chacun ayant simplement manqué de vigilance sur un email bien construit. Dans la seconde, la moitié des clics provient du service comptabilité et du secrétariat de direction, deux populations qui manipulent le plus de virements et d’informations sensibles. Le chiffre global est identique, le risque business ne l’est absolument pas.

Le taux de clic dépend aussi énormément de la difficulté du scénario envoyé : un email générique annonçant un gain à un jeu-concours ne produit pas le même résultat qu’une fausse alerte de sécurité urgente usurpant la DSI. Comparer le taux de clic de deux campagnes menées avec des scénarios différents n’a aucun sens, la comparaison n’étant valable qu’à difficulté équivalente.

Au-delà du chiffre brut, il est souvent utile de distinguer les profils de cliqueurs : les curieux, ceux qui avaient un doute et ont cliqué justement pour le vérifier, et ceux qui ont sincèrement cru au scénario. Cette nuance ne ressort d’aucun tableau de bord, elle se dégage d’un temps d’échange qualitatif lors de la restitution ou d’une session de sensibilisation, et oriente ensuite la formation bien plus finement qu’un pourcentage seul.

Les cinq indicateurs qui comptent réellement

Image by magnific

Une lecture rigoureuse s’appuie sur un ensemble d’indicateurs complémentaires, chacun révélant une facette différente du comportement face à l’attaque :

• le taux de clic, qui mesure la proportion de collaborateurs ayant cliqué sur le lien piégé : l’indicateur le plus visible, mais le moins déterminant ;
• le taux de saisie d’identifiants, qui mesure la proportion ayant réellement transmis une information sensible, souvent l’indicateur le plus critique puisqu’il correspond au moment où l’attaque devient exploitable, celui qui ouvre la porte aux dommages que peut causer un attaquant grâce au phishing ;
• le taux de signalement, qui traduit une culture de vigilance collective, parfois plus rassurante qu’un taux de clic faible obtenu sur un scénario trop simple ;
• le délai moyen de signalement, qui conditionne directement la capacité à bloquer la propagation d’une attaque réelle ;
• le taux de récidive, qui distingue un clic isolé sur un scénario travaillé d’un clic systématique, quel que soit le niveau de difficulté.

Pris ensemble, ces indicateurs racontent une histoire plus fidèle que le taux de clic seul : une entreprise à 20 % de clics mais 60 % de signalement rapide gère en réalité mieux le risque qu’une entreprise à 8 % de clics où personne n’a pensé à alerter qui que ce soit.

Segmenter pour repérer les vrais risques

L’analyse par moyenne masque presque toujours les points de vulnérabilité les plus critiques. La bonne pratique consiste à segmenter systématiquement les résultats selon trois axes : le service, l’ancienneté dans l’entreprise, et le niveau d’accès aux systèmes sensibles. Un taux de clic de 10 % chez des arrivants récents n’a pas la même portée que le même taux chez une équipe présente depuis dix ans, déjà formée à plusieurs reprises.

Certaines populations méritent une attention particulière, non par manque de compétence, mais parce que leur exposition fonctionnelle en fait des cibles privilégiées : les équipes finance et comptabilité, cible numéro un des fraudes au président ; les ressources humaines, qui reçoivent en permanence des pièces jointes externes ; les dirigeants, enfin, qui concentrent souvent les accès les plus sensibles tout en étant statistiquement moins soumis aux formations que le reste des équipes.

Un tableau de suivi croisant, campagne après campagne, le service, l’ancienneté et les cinq indicateurs déjà cités suffit à faire émerger des tendances invisibles dans une moyenne globale, et permet aussi de mesurer l’impact d’un programme de sensibilisation sur la durée plutôt qu’à l’occasion d’une campagne isolée.

Les erreurs d’interprétation qui faussent le diagnostic

Plusieurs biais reviennent régulièrement, et ils conduisent presque toujours à des décisions inadaptées. Le premier consiste à traiter un bon résultat comme une validation définitive, alors qu’une seule campagne sur un scénario simple ne prouve rien face à des attaquants qui testent des dizaines de variantes tout au long de l’année. Le second consiste à nommer publiquement les collaborateurs ayant cliqué, une pratique qui produit l’effet inverse de celui recherché : elle pousse les futurs cliqueurs à cacher leur erreur plutôt qu’à la signaler.

Un troisième biais, plus discret, consiste à s’arrêter à la restitution du rapport sans jamais reboucler avec les collaborateurs concernés : un exercice de simulation n’a de valeur pédagogique que si chaque personne testée reçoit, au moment où elle clique, une explication immédiate sur les signaux qu’elle aurait dû repérer.

Transformer les résultats en plan d’action concret

Image by magnific

Une fois les indicateurs lus et segmentés, l’enjeu devient de construire des actions différenciées plutôt qu’un plan générique appliqué uniformément. Les collaborateurs et services les plus exposés doivent recevoir une formation ciblée, plus fréquente, adaptée à leurs scénarios de risque, en s’appuyant par exemple sur les mécanismes détaillés dans comment reconnaître le phishing en 2026. Les résultats doivent aussi nourrir des ajustements techniques : renforcement du filtrage des emails entrants, vérification du DMARC, généralisation du MFA sur les comptes sensibles identifiés comme vulnérables.

Le taux de signalement, souvent le parent pauvre de l’analyse, mérite un traitement à part : s’il est faible, la cause tient fréquemment à une procédure trop complexe plutôt qu’à un manque de vigilance. Un bouton de signalement intégré au client de messagerie change radicalement les comportements par rapport à une adresse email dédiée que personne ne connaît par cœur. Pour les entreprises qui veulent inscrire cette démarche dans la durée, un programme de sensibilisation piloté en continu permet d’articuler ces ajustements avec les autres priorités de sécurité de l’organisation, plutôt que de les traiter campagne après campagne.

Ce qu’il faut retenir

Plus que dans la lecture des résultats eux-mêmes, la vraie valeur d’une campagne de phishing simulé se trouve dans les actions de sensibilisation qui en découlent. Les indicateurs ne sont qu’un point de départ : ce qui compte, c’est ce que les collaborateurs en retiennent et la manière dont ils progressent ensuite.

L’erreur commise ici, dans un cadre conçu pour l’autoriser, vaut toujours mieux que la même erreur commise en situation réelle : c’est ce qui rend ce format utile, transformer un risque potentiel en occasion d’apprentissage avant que l’attaque ne soit plus une simulation.

Besoin de lancer une ou plusieurs campagnes pour sensibiliser vos collaborateurs ?


● Découvrir les campagnes de SkillX