Les 17 meilleurs logiciels de simulation de phishing (2026) : comparaison entre les solutions gratuites, open source et complètes

Les logiciels de simulation d'hameçonnage vous permettent d'envoyer à vos propres collaborateurs des e-mails d'hameçonnage réalistes mais inoffensifs, afin qu'ils apprennent à repérer les véritables attaques avant qu'une d'entre elles ne vous coûte cher. Nous avons comparé 17 outils en fonction de leur réalisme, de leurs fonctionnalités de reporting, de leur facilité de configuration et des avis des utilisateurs. Guardey arrive en tête du classement. Vous découvrirez ci-dessous les points faibles de chacun des 16 autres outils, ainsi que les profils d'utilisateurs pour lesquels ils pourraient tout de même convenir.

On estime à 3,4 milliards le nombre d'e-mails de hameçonnage envoyés chaque jour, et la plupart des intrusions réussies commencent toujours par un employé qui clique sur un lien malveillant. Les technologies permettent de filtrer une grande partie de ces menaces, mais la dernière ligne de défense reste humaine. Ce guide vous aide à choisir l'outil de simulation qui permet réellement de modifier les comportements, et non pas simplement de cocher une case de conformité.

En bref

• Fonctionnalités : ce logiciel de simulation d'hameçonnage envoie des e-mails d'hameçonnage réalistes mais inoffensifs à vos propres collaborateurs et vous permet d'identifier ceux qui cliquent dessus, ceux qui les signalent et ceux qui ont besoin d'une formation.
• Notre choix : Guardey. Des simulations et des formations hebdomadaires ludiques sur une seule et même plateforme, configurables en quelques minutes, avec des rapports conformes aux exigences des audits NIS2, ISO 27001 et CyFun.
• Éléments à comparer : le réalisme des modèles, ce qui se passe après un clic, la présentation des rapports destinés à votre auditeur et le temps nécessaire à la mise en place. Nous avons comparé les 17 outils ci-dessous précisément sur ces points.
• Absents de cette liste : KnowBe4, SoSafe et Awaretrain sont des suites complètes de sensibilisation plutôt que des outils de simulation dédiés. Nous les abordons séparément plus loin dans cet article.

Comparaison des 17 outils de simulation de hameçonnage

Nous avons délibérément omis les prix dans le tableau : la plupart des fournisseurs proposent des tarifs au nombre d'utilisateurs et les prix publics changent fréquemment. Lorsqu'un fournisseur publie ses tarifs, nous y renvoyons via un lien dans la section qui lui est consacrée ci-dessous.

Les 17 meilleurs outils logiciels de simulation de phishing :

1. Guardey
2. Sophos Phish Threat
3. Gophish
4. Formation de simulation d'attaque par Microsoft
5. Hoxhunt
6. Cofense PhishMe
7. Infosec IQ
8. Safetitan
9. Cyber Guru
10. Phishingbox
11. uPhish (by Usecure)
12. Wizer
13. Barracuda
14. Arctic Wolf
15. Phished
16. Proofpoint
17. Fortra Terranova Security

Plateformes complètes de simulation et de formation au phishing

Des plateformes qui allient des simulations réalistes à des modules de formation et à des rapports prêts pour les audits. C'est la catégorie dans laquelle se retrouvent la plupart des organisations.

1. Guardey

Guardey propose une combinaison de Security Awareness Training et de Phishing Simulations.

Vous pouvez facilement mettre en place une simulation de phishing en quelques minutes :

1. Choisissez un modèle de phishing dans la bibliothèque
2. Déterminez à quels employés il doit être envoyé et quand
3. Mettre votre domaine sur liste blanche
4. Commencez à envoyer

Grâce à un tableau de bord en temps réel, vous pouvez suivre de près des statistiques clés telles que le nombre d'e-mails envoyés, le nombre de fois où un e-mail a été ouvert, où un lien a été cliqué et où des données ont été transmises. Les rapports sont conçus pour répondre aux exigences des audits : ils sont conformes aux normes NIS2, ISO 27001, CyFun et à la plupart des autres référentiels, ce qui vous permet de les transmettre directement à votre auditeur ou à votre conseil d'administration.

Ce qui distingue Guardey des alternatives, c'est qu'ils proposent également du Security Awareness Training gamifié. Les employés relèvent des défis hebdomadaires, au cours desquels ils se familiarisent avec toutes sortes de menaces de phishing et une grande diversité d'autres risques de sécurité. Un classement leur permet de se mesurer les uns aux autres, ce qui a prouvé son efficacité pour stimuler l'engagement. Les utilisateurs peuvent marquer des points en obtenant de bons résultats lors de la formation et en signalant les tentatives de phishing (simulées).

Guardey estime que la meilleure façon de développer la sensibilisation au phishing est de s'entraîner chaque semaine et de réaliser régulièrement une simulation de phishing pour tester l'efficacité de la formation.

Avantages

• Plateforme facile à utiliser (configurez une campagne en quelques minutes)
• La gamification pour motiver les utilisateurs
• Les classements récompensent à la fois les performances lors des formations et le signalement des e-mails de hameçonnage, ce qui permet de faire du signalement une habitude
• Application mobile pour iOS et Android
• Essai gratuit disponible

Inconvénients

• La plateforme de formation n'utilise pas de contenu vidéo, ce qui peut être un inconvénient pour certaines organisations.

Avis

« Les résultats de phishing ont clairement montré qu'il y avait du travail à faire pour améliorer la sensibilisation au phishing. Si nous parvenons à ce que nos collaborateurs reconnaissent et signalent davantage d'incidents de phishing, nous pourrons agir et minimiser les dommages. Désormais, nous souhaitons réaliser une simulation de phishing deux fois par an avec Guardey, afin de constater une amélioration. » – Source

2. Hoxhunt.

Hoxhunt propose ce qu'il nomme une plateforme de gestion des risques humains. Ne proposant pas d'essai gratuit, il vous faudra contacter le service commercial pour mieux comprendre son fonctionnement.

Mais voici comment cela fonctionne en bref :

• Vous mettez en place des simulations de phishing.
• En fonction de la manière dont vos employés interagissent avec ces simulations, du matériel de formation leur est attribué
• Les utilisateurs peuvent marquer des points pour leurs bonnes performances pendant la formation et en reconnaissant et signalant les tentatives de phishing

Hoxhunt propose une solution complète et performante pour le phishing. Cependant, elle est considérée par beaucoup comme onéreuse et principalement adaptée aux grandes entreprises.

Avantages

• Gamification
• Tableau de bord facile à utiliser pour les administrateurs

Inconvénients

• Pas d'essai gratuit
• Principalement axé sur les organisations d'entreprise
• Certains modèles de phishing sont faciles à identifier comme faux

Avis

“L'idée d'e-mails qui semblent réels est excellente. Je pense que cela aide les gens à réaliser à quel point il est simple d'inciter quelqu'un à cliquer sur un lien ou à ouvrir une pièce jointe. La navigation dans le tableau de bord est facile, et le système de score entre collègues au sein de l'entreprise est intéressant. L'interactivité du tableau de bord est excellente et encourage à davantage de complétions. Cependant, les e-mails sont très simples et peuvent être identifiés au premier coup d'œil comme appartenant à Hoxhunt. Même en mode 'spicy', ces e-mails ne sont pas très sophistiqués.” – G2

3. Phished

Phished (chapeau bas pour ce choix de nom de marque astucieux) propose également une combinaison de formations et de simulations de hameçonnage.

Avec Phished, vous pouvez automatiser l'ensemble du processus d'envoi de simulations de phishing, libérant ainsi du temps à votre équipe informatique. Le contenu est adapté à la localisation de votre organisation, au contexte de l'entreprise et à l'actualité. Vous pouvez également personnaliser le contenu pour les individus, afin de vous assurer qu'ils sont testés de la manière la plus pertinente. Le niveau d'automatisation réel est difficile à évaluer. Aucun essai gratuit du produit n'est disponible.

Avantages

• Campagnes de phishing entièrement automatisées
• Campagnes personnalisées pour les individus

Inconvénients

• Aucune tarification transparente sur le site web
• Pas d'essai gratuit

Avis

“Phished permet une configuration et une gestion aisées des e-mails de simulation de phishing. La documentation du tableau de bord de contrôle est très limitée. Le tableau de bord est complet, mais la logique de sa structure n'est pas toujours claire (bien qu'elle le soit probablement pour les développeurs).” – G2

4. Infosec IQ

Infosec IQ propose des formations de sensibilisation personnalisées, adaptées au profil de risque spécifique de chaque collaborateur. Son approche est similaire à celle de Hoxhunt :

1. Envoyer des simulations de phishing
2. Analyser automatiquement comment l'utilisateur réagit
3. Attribuer des formations en fonction des performances

De nombreux évaluateurs sont enthousiastes à propos de la plateforme, mais mentionnent que les capacités de reporting pourraient être améliorées.

Avantages

• Facile de configurer des campagnes
• Formation basée sur le profil de risque individuel

Inconvénients

• Les fonctionnalités de reporting pourraient être améliorées
• Pas d'essai gratuit

Avis

« L'interface de l'outil évolue constamment pour mieux servir ses clients. J'utilise l'outil depuis un an et je constate de nombreuses améliorations de l'interface utilisateur. Le reporting et les métriques pourraient être améliorés. Il est parfois difficile de déterminer les métriques manuellement. De plus, il devrait y avoir un moyen de supprimer automatiquement les comptes inactifs. » – G2

5. Safetitan

Créer une campagne de phishing dans Safetitan est simple. Vous pouvez configurer des campagnes continues pour des simulations qui ne se terminent jamais. Tout comme d'autres solutions, les sessions de formation sont déclenchées en fonction de la manière dont les utilisateurs interagissent avec les e-mails de phishing envoyés.

Avantages

• Configuration simple
• Utilisez des modèles d'e-mails de phishing et du contenu de formation
• Un rapport automatisé est envoyé chaque mois

Inconvénients

• Pas d'essai gratuit
• Le panneau d'administration pourrait être amélioré.

Avis

“L'approche automatisée de SafeTitan pour la formation des employés, basée sur des comportements spécifiques, est une fonctionnalité efficace. Cela signifie que je n'ai pas à configurer moi-même le programme général de Security Awareness Training pour toute l'équipe.” – G2

6. Le gourou du cyberespace

Cyber Guru est une plateforme basée en Italie qui propose à la fois un programme de formation et des simulations de phishing. Voici comment ils l'ont organisé :

1. Awareness training : un programme basé sur l'e-learning
2. Formation par canal : une série de vidéos
3. Formation au Phishing : formation anti-phishing adaptative (incluant des simulations)

Si un utilisateur « échoue » à une simulation, il doit suivre une session de micro-formation. Cette session est spécifiquement adaptée à l'e-mail de phishing sur lequel il vient de cliquer. De nombreux experts déconseillent cette approche, car cette forme de formation peut facilement être perçue comme une punition.

Avantages

• Plateforme complète avec formation et simulations
• Inclut du contenu vidéo (même si ces vidéos sont un peu longues, certaines organisations le préfèrent)

Inconvénients

• Pas d'essai gratuit disponible
• Les séances de formation après un échec à une simulation de phishing peuvent être perçues comme une punition
• La plateforme n'utilise pas la gamification pour motiver les utilisateurs.

Avis

« Nous n'avons essayé que la fonctionnalité de phishing : une expérience de formation sur le terrain sans que les utilisateurs aient à suivre de cours, simple à mettre en œuvre et facile à comprendre. Les résultats sont visibles avec le temps, mais des incitations de la part de l'entreprise sont nécessaires. » – Gartner

7. Fortra Terranova Security

Fortra Terranova propose une gamme très étendue de solutions de sécurité. Cela signifie que le Security Awareness Training (et les simulations de phishing) n'est pas nécessairement leur objectif principal, mais ils le proposent en tant que produit.

Ils proposent un mélange de contenu gamifié pour rendre l'expérience de formation attrayante, tout en intégrant des « simulations de phishing réelles », ce qui implique que les modèles sont conçus pour être très convaincants.

Avantages

• Pourrait être intéressant pour les organisations recherchant un produit tout-en-un
• Propose à la fois des formations et des simulations de phishing
• Essai gratuit

Inconvénients

• Aucune tarification transparente
• Pas de focalisation uniquement sur la Security Awareness Training

Avis

“J'utilise principalement la fonctionnalité de simulation et j'en suis très satisfait. J'apprécie la manière dont une simulation est construite, avec une approche pas à pas visualisée par des onglets. Cela permet de comprendre précisément ce qu'il reste à accomplir. L'interface est facile à utiliser. Je n'apprécie pas qu'il n'y ait pas de moyen simple de copier et de réutiliser un modèle existant que j'ai créé. Je dois copier-coller les modèles d'e-mails et de retours, ce qui est inutile. Il y a aussi une sorte de bug lié aux paramètres d'e-mail et à la possibilité de tester l'envoi d'e-mails. Le fonctionnement exact de la fonctionnalité de test n'est pas clair.” – G2

Outils gratuits et open source de simulation de phishing

Trois options réalistes si le budget est limité. Les compromis à faire par rapport à une plateforme complète sont expliqués sous la liste.

8. Gophish

GoPhish est un framework de phishing open-source qui vous permet de copier des e-mails existants pour les utiliser dans des campagnes de phishing. Les liens sont automatiquement remplacés et les valeurs saisies sont enregistrées, ce qui vous permet de voir exactement qui a cliqué et renseigné des données sensibles.

La configuration de GoPhish nécessite certaines compétences techniques. Vous pouvez utiliser le guide d'installation sur Github ou utiliser une autre plateforme pour le faire fonctionner. Mais une fois configuré, c'est un outil puissant pour mettre en place vos propres campagnes de phishing personnalisées.

Avantages

• Utilisation gratuite
• Open source
• Utiliser facilement des e-mails existants

Inconvénients

• Nécessite des connaissances techniques
• Ne comprend pas de module de formation

Avis

« Nous avons configuré notre propre serveur GoPhish en utilisant une instance AWS, et cela a demandé pas mal de travail pour le faire fonctionner. L'une des parties les plus difficiles a été d'empêcher Gmail de marquer automatiquement les e-mails de test comme phishing/arnaque, ce qui annulait toute la partie de test de nos utilisateurs. » – Reddit

9. Wizer

Wizer est une plateforme qui propose des simulations de « phishing intelligent ». Sa bibliothèque de modèles est organisée par dates calendaires. Pendant les fêtes, vous trouverez des modèles liés aux vacances, et fin janvier, un modèle sur les « Impôts de fin d'année ». Cela facilite la recherche de modèles pertinents pour votre organisation à un instant T.

Vous pouvez facilement décider à qui vous souhaitez envoyer les e-mails de phishing :

• Tous les utilisateurs
• Départements
• Ou des utilisateurs spécifiques

Wizer dispose d'une interface attrayante et est facile à gérer pour les administrateurs.

Avantages

• Facile de trouver des modèles de phishing pertinents
• Facile à maintenir pour les administrateurs

Inconvénients

• Pas d'essai gratuit
• Les vidéos du contenu de formation peuvent être un peu longues.

Avis

“Wizer est beaucoup plus facile à configurer et à gérer que notre plateforme précédente. Les formations sont des vidéos courtes qui couvrent bien le sujet sans être fastidieuses. Notre ancien fournisseur de formation offrait plus d'outils et de rapports, mais cela rendait également la console d'administration plus encombrée et difficile à naviguer.” – G2

10. Formation à la simulation d'attaques proposée par Microsoft

Outlook de Microsoft est le client de messagerie le plus utilisé, il est donc logique qu'ils aient créé leur propre simulateur de phishing. Ils l'appellent Attack Simulation Training, et il fait partie de leur produit Microsoft Defender.

La formation de simulation d'attaque vous permet de choisir parmi différentes techniques d'ingénierie sociale :

• Collecte d'identifiants
• Pièce jointe malveillante
• Lien en pièce jointe
• Lien vers un malware
• URL drive-by

Sur le tableau de bord de reporting du produit, vous pouvez voir le nombre d'utilisateurs ayant participé à une simulation, le nombre d'utilisateurs ayant suivi une formation après avoir échoué à un test de phishing, et même le nombre de « récidivistes » actifs dans votre organisation.

Avantages

• Fait partie de l'écosystème Microsoft 365
• Bon reporting
• Plusieurs techniques d'ingénierie sociale au choix

Inconvénients

• Les utilisateurs mentionnent que le produit de formation n'est pas à la hauteur
• Les utilisateurs mentionnent que le produit est cher par rapport à d'autres alternatives

Avis

« Les modules de formation semblent solides ; ils ne sont certes pas aussi nombreux que ceux de KnowBe4 ou d'autres, mais ce qu'ils proposent semble adéquat. C'est plus cher que la concurrence, du moins si l'on évalue strictement pour les tests de phishing et la formation en cybersécurité. » – Reddit

Outils axés sur la simulation

Des outils qui permettent de simuler efficacement des attaques de hameçonnage, mais qui vous laissent le soin de mettre en place la partie formation.

11. Phishingbox

Phishingbox n'offre peut-être pas d'essai gratuit, mais elle n'hésite pas à présenter sa plateforme. Dans la vidéo ci-dessus, vous pouvez avoir une idée claire de ce que vous pouvez faire avec leur plateforme.

Pour configurer une simulation dans Phishingbox, vous pouvez choisir parmi une grande variété de modèles de phishing dans leur bibliothèque. Les e-mails intègrent des variables pour être personnalisés à chaque utilisateur individuel.

Phishingbox offre de nombreuses possibilités de personnalisation. Par exemple, vous pouvez décider quelles actions sur la page de destination sont suivies (saisie de données, clic sur un bouton de connexion, etc.).

Lorsqu'un utilisateur « échoue » à une simulation de phishing, il est redirigé vers une session de formation. Cette approche est souvent déconseillée par les pédagogues, car elle peut être perçue comme une sanction.

Avantages

• Vaste bibliothèque de modèles
• Une grande marge de personnalisation pour les campagnes.

Inconvénients

• L'interface utilisateur (UI) semble un peu dépassée
• Les séances de formation après un « échec » à une simulation peuvent être perçues comme une punition

Avis

“Une expérience produit simple et suffisante pour les PME. Quoi qu'on puisse dire de l'efficacité des campagnes de Phishing, celles-ci sont souvent requises pour la Cyber assurance et autres. L'interface utilisateur peut être un peu déroutante, notamment en ce qui concerne la planification des campagnes, mais elle est tout à fait fonctionnelle et je m'attends à ce qu'elle continue de s'améliorer à mesure que le produit mûrit.” – G2

12. uPhish (par usecure)

usecure est une plateforme de Security Awareness Training bien connue, avec un produit spécialisé pour le phishing : uPhish. Avec uPhish, vous pouvez mettre en place des simulations de phishing et suivre quand les personnes ont ouvert un e-mail, visité le lien qu'il contient, et quand leurs informations ont été compromises. Vous pouvez également suivre si l'utilisateur signale ensuite l'incident, ce qui vous donne un aperçu complet de vos vulnérabilités actuelles.

L'interface utilisateur d'uPhish est claire et facile à utiliser. Vous pouvez choisir parmi une grande variété de modèles de phishing, incluant des pages de destination, des pièces jointes et une combinaison des deux.

Avantages

• Vaste bibliothèque de modèles
• Plateforme facile à utiliser
• UI épurée

Inconvénients

• Pas d'essai gratuit disponible
• Le processus de personnalisation peut être quelque peu chronophage.

Avis

“La plateforme est très conviviale et facile à naviguer. Les temps de chargement ont également été rapides pour moi. Les exercices de formation de niveau inférieur sont parfois trop basiques, et davantage d'informations pourraient y être incluses.” – G2

13. Sophos Phish Threat

Sophos propose une combinaison de simulations de phishing et de Security Awareness Training sur une seule plateforme. La plateforme offre un essai gratuit, nous nous sommes donc inscrits et avons jeté un œil par nous-mêmes.

Vous pouvez mettre en place une campagne en utilisant l'un des 500 modèles de phishing de la bibliothèque de Sophos. Un large éventail de sujets est disponible, tels qu'un e-mail concernant un service d'engagement des employés ou un e-mail sur les nouvelles règles de stationnement. Nous apprécions cette spécificité. Vous pouvez également personnaliser ces modèles afin qu'ils correspondent à vos besoins.

En plus des simulations de phishing, la plateforme vous permet de former les employés à la reconnaissance du phishing. Elle est disponible en 10 langues et est accompagnée de vidéos animées, comme vous pouvez le voir dans la vidéo ci-dessus.

Avantages

• Inclut un essai gratuit pour que vous puissiez essayer avant d'acheter
• Combinaison de simulations et de formations
• Large éventail de modèles
• Propose un bouton de signalement dans Outlook

Inconvénients

• La formation est un peu unidimensionnelle (elle se concentre uniquement sur le phishing).
• Le contenu vidéo semble trop long et dépassé

Avis

“La facilité de mise en place des campagnes de sensibilisation au phishing, le bouton intégré 'Signaler un message' d'Outlook et les rapports sont les points forts du produit. Apparemment, suite à des contestations légales de la part de Microsoft, Sophos a supprimé toutes ses campagnes conçues pour ressembler à des attaques de phishing et de collecte d'identifiants Microsoft. C'est regrettable, car de nombreuses attaques réelles imitent une expérience d'authentification utilisateur Microsoft et sont très efficaces pour inciter le personnel à divulguer ses noms d'utilisateur et mots de passe.” – G2

Suites d'entreprise et services gérés

Simulation de hameçonnage sous forme de module intégré à une infrastructure de sécurité plus large, ou entièrement externalisée.

14. Proofpoint

Le produit de sensibilisation à la sécurité de Proofpoint est principalement axé sur l'identification des individus à haut risque au sein des organisations. Ils y parviennent en évaluant les rôles, les vulnérabilités, le risque d'attaque et les privilèges commerciaux.

Ils mesurent le risque humain en fonction des aspects suivants :

• Choix comportementaux
• Contexte de la menace
• Rôles et privilèges métier
• Compétences et attitudes culturelles
• Simulations de Phishing/USB/SMS basées sur des attaques réelles

La plateforme n'offre pas d'essai gratuit et sa tarification n'est pas communiquée de manière transparente sur le site web. Pour découvrir le produit en action, vous devrez contacter leur service commercial.

Avantages

• Affiche le risque humain au niveau individuel
• Propose également des simulations SMS (smishing)

Inconvénients

• Principalement axé sur les organisations d'entreprise
• Aucune tarification transparente
• Pas d'essai gratuit

Avis

« Du point de vue de l'administrateur, il est conçu pour « cocher une case » de conformité, plutôt que pour réellement éduquer votre base d'utilisateurs. Le produit est lourd et mal intégré au reste de la plateforme/des services de Proofpoint. » – G2

15. Cofense PhishMe

Le produit de phishing de Cofense s'appelle PhishMe. Une citation de leur vidéo : le programme de simulation de phishing qui transforme les proies en chasseurs. Par là, ils entendent que vos employés traqueront les e-mails de phishing. Nous apprécions l'ingéniosité.

La plateforme propose une combinaison de trois piliers :

• Security awareness training : une combinaison de simulations et de formations correctives
• Signalement d'e-mails malveillants : la possibilité de signaler un e-mail directement depuis votre client de messagerie.
• Validation des risques : la capacité d'obtenir des informations sur le profil de risque de chaque employé

Avantages

• Produit complet avec simulations et formation
• Rapports détaillés sur la performance individuelle
• Un scénariste vidéo ingénieux 😉

Inconvénients

• Nécessite un entretien continu
• Les utilisateurs se lassent après les simulations répétitives
• L'administration des initiatives de formation est souvent jugée chronophage et gourmande en ressources par les utilisateurs

Avis

« La fonctionnalité la plus bénéfique de Cofense PhishMe est sa capacité à renforcer la cybersécurité de manière proactive. Elle y parvient grâce à des simulations de phishing réalistes et personnalisables qui permettent aux utilisateurs d'identifier et de contrer efficacement les menaces de phishing. Les inconvénients de Cofense PhishMe peuvent inclure la nécessité d'une maintenance continue, une lassitude potentielle des utilisateurs due à des simulations de phishing répétitives, et la tâche gourmande en ressources d'administration des initiatives de formation. » – G2

16. Barracuda

Barracuda est réputé pour sa solution de sécurité de la messagerie, qui bloque un grand nombre d'e-mails de phishing avant qu'ils n'atteignent votre boîte de réception. Cependant, ils ont également développé un produit de Security Awareness Training pour la compléter.

Avec ce produit, vous pouvez simuler des menaces par e-mail, analyser le comportement des utilisateurs et choisir parmi une grande variété de contenus de formation pour permettre aux utilisateurs de reconnaître le phishing de loin.

Avantages

• Option intéressante si vous recherchez également une solution technique de blocage du phishing
• Grande variété de modèles de phishing

Inconvénients

• La mise en place de modules de formation peut être chronophage
• Certains utilisateurs mentionnent qu'il n'est pas aussi convivial.

Avis

“Je pense que dans l'environnement actuel, la protection contre le phishing et le spam est plus critique que toute protection des terminaux. Les utilisateurs sont le maillon faible de la cyber sécurité et de la protection de toute organisation. Barracuda SAT (Security Awareness Training) assure la formation et la sensibilisation des utilisateurs finaux à ce qu'il faut rechercher. Il peut être difficile à gérer, et sans l'adhésion de la direction pour imposer la conformité, cela peut être une perte de temps. Il existe d'autres produits plus faciles à utiliser et à gérer.” – G2

17. Loup de l'Arctique

Arctic Wolf est similaire à Barracuda, car il propose une vaste plateforme de sécurité. La sensibilisation à la sécurité n'est pas leur objectif principal, mais ils l'offrent en tant que produit.

Le produit de Security Awareness, qu'ils appellent « Managed Security Awareness », combine une plateforme de formation et un simulateur de phishing.

La plateforme de formation propose de courtes micro-leçons qui ne prennent pas trop de temps aux employés. Chaque mois, de nouveaux contenus sont ajoutés à la plateforme, y compris des « formations de réponse rapide » sur les menaces émergentes.

Si un utilisateur « échoue » à l'une des simulations de phishing, il est envoyé vers une session de micro-formation. Là, il apprend l'importance de signaler un e-mail de phishing la prochaine fois. Comme nous l'avons déjà mentionné, cette tactique est privilégiée par certains, mais contestée par de nombreux pédagogues car elle est perçue comme une punition.

Avantages

• Une solution combinée de formation et de simulation de Phishing.
• Intéressant si vous recherchez une solution de sécurité tout-en-un

Inconvénients

• Pas d'essai gratuit
• Aucune tarification transparente sur le site web

Avis

« La Security Awareness Training est concise, pertinente et efficace. Les formations ont suscité des discussions sur le contenu et sa pertinence pour notre organisation, ainsi que sur certains aspects plus amusants. Les formations avec le représentant et celle sur la fatigue MFA ont été particulièrement appréciées. » – Gartner

Et qu'en est-il de KnowBe4, SoSafe et Awaretrain ?

Vous remarquerez peut-être que certains noms familiers ne figurent pas dans cette liste. Des plateformes telles que KnowBe4, SoSafe et Awaretrain proposent également des simulations de hameçonnage, mais dans le cadre de suites plus larges de sensibilisation à la sécurité plutôt que sous la forme d’outils de simulation dédiés. Nous avons passé en revue les fonctionnalités de KnowBe4 ainsi que ses lacunes, et avons comparé séparément les meilleures alternatives à KnowBe4 et les meilleures alternatives à Awaretrain.

Outils gratuits de simulation de phishing : ce qu'ils offrent et ce qu'ils ne proposent pas

Si le budget est un frein, trois options gratuites et réalistes s'offrent à vous :

• Gophish (open source). Gratuit, auto-hébergé, contrôle total sur les modèles et les pages de destination. Vous devez disposer d'un serveur, d'un domaine d'envoi avec des paramètres SPF/DKIM corrects, ainsi que d'une personne chargée de la maintenance. Pas de contenu de formation, pas de rapports de conformité, et vous êtes responsable du respect du RGPD (les données de clic sont des données à caractère personnel).
• Formation à la simulation d'attaques Microsoft. Incluse si vous disposez déjà d'un abonnement à Defender pour Office 365 Plan 2 ou Microsoft 365 E5. Modèles de qualité, formation de base, rapports disponibles dans le Centre d'administration Microsoft. Non incluse si vous disposez d'un abonnement Business Standard ou E3.
• Formules gratuites et périodes d'essai. Wizer propose une formule gratuite avec un nombre limité de simulations ; Guardey offre une période d'essai de 14 jours comprenant des simulations et des formations, ce qui est suffisant pour mener une campagne de référence pour l'ensemble de votre équipe.

Ce que les outils gratuits ne vous offrent pas : une formation de suivi automatisée pour les personnes ayant cliqué, le suivi des progrès de chaque collaborateur au fil du temps, et un rapport acceptable pour un auditeur. Si vous êtes soumis à la norme NIS2 ou à la norme ISO 27001, c'est précisément pour obtenir ce rapport que vous effectuez des simulations.

Comment réaliser votre propre test de phishing en 5 étapes

1. Fixez l'objectif et informez la direction. L'objectif sert de référence (nombre de clics, nombre de signalements) et ne vise pas à prendre les gens en flagrant délit. Informez d'abord les RH et le comité d'entreprise ; dans plusieurs pays de l'UE, c'est obligatoire.
2. Choisissez un scénario réaliste. La livraison d'un colis, un document partagé, une mise à jour de la politique des ressources humaines. Évitez les sujets qui suscitent la colère (primes, licenciements) ; ils provoquent des réactions négatives et ne favorisent pas l'apprentissage.
3. Ajoutez le domaine d'origine à la liste blanche. Ajoutez les adresses IP ou le domaine d'origine de l'outil de simulation à votre filtre de messagerie, sinon le test évaluera l'efficacité de votre filtre anti-spam plutôt que celle de vos collaborateurs.
4. Envoyez les messages par vagues et mesurez deux indicateurs : le taux de clics et le taux de signalement. C'est le taux de signalement qui importe : une entreprise où 5 % des utilisateurs cliquent mais où 60 % signalent le contenu est plus sûre qu'une autre où 2 % cliquent et où personne ne signale rien.
5. Assurez un suivi en quelques minutes, sans faire de reproches. Toute personne qui clique sur le lien accède à une brève explication, et non à une réprimande. Publiez les résultats de l'équipe, jamais les noms individuels. Puis recommencez.

Si vous préférez ne pas mettre cela en place vous-même, les simulations de hameçonnage proposées par Guardey exécutent automatiquement ces cinq étapes, y compris la formation de suivi.

À quelle fréquence faut-il organiser des simulations de phishing ?

La première simulation montre généralement un taux de clics d'environ 30 % ; la plupart des entreprises descendent en dessous de 5 % au bout d'un an de tests réguliers. Par « réguliers », on entend :

• Une fois par mois pour l'ensemble de l'organisation, à des jours et des heures choisis au hasard. Une fréquence trimestrielle est trop espacée pour modifier les comportements ; une fréquence hebdomadaire entraîne de la lassitude et des plaintes.
• Difficulté variée. Alternez les scénarios faciles, moyens et ciblés (spear-phishing), sinon les employés apprendront à reconnaître votre modèle plutôt que les tentatives de hameçonnage.
• Des sessions supplémentaires pour les postes à haut risque. Les services financiers, les ressources humaines, les assistants de direction et le service informatique bénéficient de simulations ciblées toutes les quatre à six semaines.
• Associez-les à des formations. Les simulations permettent d'évaluer, mais elles n'enseignent pas. Les organisations qui parviennent le plus rapidement à réduire leurs taux de clics associent des simulations mensuelles à de courtes formations hebdomadaires.

Quel logiciel de simulation d'hameçonnage choisir ?

La plupart des outils cités ci-dessus font bien une chose : ils envoient un faux e-mail et vous indiquent qui a cliqué. C'est utile une fois. Mais cela ne change en rien qui cliquera la prochaine fois. Optez pour Guardey si vous souhaitez bénéficier à la fois de la simulation et de la formation :

• Ce que vous recherchez, c'est un changement de comportement, pas seulement un taux de clics. Chaque clic donne lieu à un bref moment de formation, et des défis ludiques hebdomadaires permettent de maintenir l'intérêt pour la leçon entre deux simulations.
• Vous ne disposez pas d'une équipe de sécurité dédiée. Votre première simulation sera lancée d'ici une heure. Pas de projet, pas de consultant, pas de délai de préparation.
• Vous utilisez déjà Microsoft 365 ou une autre solution de sécurité. Guardey s'intègre à ces outils et comble les lacunes de ces derniers en matière de gestion des facteurs humains.
• Vous devez les présenter à un auditeur. Ces rapports sont conformes aux normes NIS2, ISO 27001, CyFun et à la plupart des autres référentiels.
• Vous souhaitez le découvrir en avant-première ? Réservez une démonstration et nous vous présenterons la simulation et la formation en 45 minutes.

Questions fréquentes

Qu'est-ce qu'un logiciel de simulation d'hameçonnage ?

Logiciel qui envoie à vos propres collaborateurs des e-mails de hameçonnage réalistes mais inoffensifs (et parfois des SMS, des messages vocaux ou des codes QR), qui enregistre qui clique, saisit des données ou signale le message, et qui propose ensuite une formation.

La simulation d'hameçonnage est-elle légale au regard du RGPD ?

Oui, si vous avez un intérêt légitime (sécurité), informez les salariés que les simulations font partie du programme de sécurité, limitez les données que vous conservez et n'utilisez jamais les résultats à des fins disciplinaires. Associez le comité d'entreprise lorsque cela est requis (Allemagne, Pays-Bas, Belgique).

Quel est un bon taux de clics dans le cadre d'une attaque par hameçonnage ?

Un taux inférieur à 5 % associé à un taux de signalement supérieur à 50 % est le signe d'une organisation en bonne santé. La première simulation dans une organisation non formée se situe généralement entre 20 % et 35 %.

Logiciel de simulation de hameçonnage ou outil de simulation de hameçonnage : y a-t-il une différence ?

Dans la pratique, non. Le terme « outil » est davantage utilisé pour les produits destinés uniquement à la simulation (Gophish, PhishingBox) ; les termes « logiciel » ou « plateforme » sont réservés aux produits qui intègrent des fonctionnalités de formation et de génération de rapports.