{"id":91,"date":"2026-06-04T11:04:32","date_gmt":"2026-06-04T09:04:32","guid":{"rendered":"https:\/\/numeriquemedicosocial.fr\/?p=91"},"modified":"2026-06-04T11:04:33","modified_gmt":"2026-06-04T09:04:33","slug":"pourquoi-faire-des-campagnes-de-phishing-dans-le-medico-social","status":"publish","type":"post","link":"https:\/\/numeriquemedicosocial.fr\/index.php\/2026\/06\/04\/pourquoi-faire-des-campagnes-de-phishing-dans-le-medico-social\/","title":{"rendered":"Pourquoi faire des campagnes de phishing dans le m\u00e9dico-social ?"},"content":{"rendered":"\n

Retour d’exp\u00e9rience dans une association gestionnaire de Foyers d’H\u00e9bergement, MAS et \u00e9tablissements m\u00e9dico-sociaux.<\/h4>\n\n\n\n
\"\"<\/figure>\n\n\n\n

Nous avons d\u00e9j\u00e0 \u00e9voqu\u00e9 l’importance de la sensibilisation des \u00e9quipes aux risques num\u00e9riques.<\/p>\n\n\n\n

Toutes les mesures de s\u00e9curit\u00e9 du monde peuvent \u00eatre mises en place : sauvegardes, antivirus, authentification multifacteur, filtrage des messageries ou supervision des syst\u00e8mes. Pourtant, si les utilisateurs ne sont pas un minimum sensibilis\u00e9s, le risque restera toujours pr\u00e9sent.<\/p>\n\n\n\n

Les cyberattaquants l’ont bien compris. Il est souvent plus simple de tromper un \u00eatre humain que de contourner des protections techniques.<\/p>\n\n\n\n

Bien s\u00fbr, il est impossible de tout contr\u00f4ler et personne n’est \u00e0 l’abri d’une erreur. L’objectif n’est pas de transformer chaque collaborateur en expert en cybers\u00e9curit\u00e9.<\/p>\n\n\n\n

En revanche, en semant quelques graines de vigilance, jour apr\u00e8s jour et ann\u00e9e apr\u00e8s ann\u00e9e, il est possible de faire \u00e9voluer les habitudes et les r\u00e9flexes. Un collaborateur qui h\u00e9site avant de cliquer sur un lien inhabituel, qui v\u00e9rifie l’exp\u00e9diteur d’un message ou qui signale un e-mail suspect contribue d\u00e9j\u00e0 activement \u00e0 la s\u00e9curit\u00e9 de l’organisation.<\/p>\n\n\n\n

C’est pr\u00e9cis\u00e9ment dans cette logique que s’inscrivent les campagnes de phishing simul\u00e9es.<\/p>\n\n\n\n

\n\n\n\n

Quel est le v\u00e9ritable objectif des campagnes de phishing ?<\/h2>\n\n\n\n

Un exercice de phishing n’a pas pour objectif de donner une note aux collaborateurs, ni de d\u00e9signer les \u00ab bons \u00bb et les \u00ab mauvais \u00e9l\u00e8ves \u00bb.<\/p>\n\n\n\n

L’objectif est avant tout de rendre concret un risque qui a souvent \u00e9t\u00e9 expliqu\u00e9 lors de formations, de r\u00e9unions ou de communications internes.<\/p>\n\n\n\n

Tout le monde comprend g\u00e9n\u00e9ralement qu’il ne faut pas ouvrir une pi\u00e8ce jointe suspecte ou communiquer ses identifiants. Pourtant, confront\u00e9s \u00e0 une situation r\u00e9elle, dans le rythme parfois soutenu de nos journ\u00e9es de travail, nous pouvons tous \u00eatre amen\u00e9s \u00e0 agir trop rapidement.<\/p>\n\n\n\n

Les campagnes de phishing permettent justement de transformer une information th\u00e9orique en exp\u00e9rience concr\u00e8te. Elles donnent l’occasion aux collaborateurs de se confronter \u00e0 des situations proches de celles rencontr\u00e9es lors de v\u00e9ritables attaques, mais dans un environnement sans cons\u00e9quence.<\/p>\n\n\n\n

Comme un exercice d’\u00e9vacuation incendie, l’objectif n’est pas de sanctionner les personnes qui se trompent, mais de permettre \u00e0 chacun d’acqu\u00e9rir progressivement les bons r\u00e9flexes.<\/p>\n\n\n\n

Au fil du temps, les collaborateurs deviennent plus attentifs aux exp\u00e9diteurs, aux liens pr\u00e9sents dans les messages, aux demandes inhabituelles ou aux pi\u00e8ces jointes suspectes. Ils d\u00e9veloppent \u00e9galement le r\u00e9flexe de demander conseil ou de signaler un message douteux.<\/p>\n\n\n\n

Le succ\u00e8s d’une campagne de phishing ne se mesure donc pas uniquement au nombre de clics. Il se mesure surtout \u00e0 la progression collective de la vigilance au sein de l’organisation.<\/p>\n\n\n\n

\n\n\n\n

Faut-il informer les collaborateurs avant de lancer des campagnes de phishing ?<\/h2>\n\n\n\n

\u00c0 premi\u00e8re vue, cela peut sembler paradoxal. Si les collaborateurs savent que des campagnes de phishing vont \u00eatre r\u00e9alis\u00e9es, ne risque-t-on pas de fausser les r\u00e9sultats ?<\/p>\n\n\n\n

Pourtant, notre exp\u00e9rience nous a montr\u00e9 que cette \u00e9tape est importante.<\/p>\n\n\n\n

Nous avons commenc\u00e9 nos actions de sensibilisation d\u00e8s 2020. \u00c0 l’occasion de r\u00e9unions g\u00e9n\u00e9rales, nous avons rencontr\u00e9 les \u00e9quipes afin d’\u00e9changer sur les bonnes pratiques num\u00e9riques et sur les principaux risques auxquels nos structures pouvaient \u00eatre confront\u00e9es.<\/p>\n\n\n\n

En nous appuyant notamment sur les ressources mises \u00e0 disposition par l’ANSSI, nous avons progressivement abord\u00e9 diff\u00e9rents sujets :<\/p>\n\n\n\n

    \n
  • l’utilisation des cl\u00e9s USB ;<\/li>\n\n\n\n
  • les risques li\u00e9s aux connexions sur des r\u00e9seaux Wi-Fi publics ;<\/li>\n\n\n\n
  • l’importance des mots de passe robustes ;<\/li>\n\n\n\n
  • les risques associ\u00e9s aux e-mails frauduleux ;<\/li>\n\n\n\n
  • les bonnes pratiques de s\u00e9curit\u00e9 au quotidien.<\/li>\n<\/ul>\n\n\n\n

    Au fil de ces interventions, nous avons \u00e9galement expliqu\u00e9 que notre objectif \u00e9tait, \u00e0 terme, de mettre en place des exercices de phishing. \u00c0 cette \u00e9poque, nous ne disposions ni des outils ni du temps n\u00e9cessaire pour les organiser, mais il nous semblait important d’\u00eatre transparents sur notre d\u00e9marche.<\/p>\n\n\n\n

    Cette communication pr\u00e9alable avait plusieurs objectifs.<\/p>\n\n\n\n

    D’abord, faire comprendre que ces exercices n’avaient pas vocation \u00e0 sanctionner ou \u00e0 surveiller les collaborateurs. Ensuite, pr\u00e9parer les \u00e9quipes \u00e0 l’id\u00e9e que les risques \u00e9voqu\u00e9s lors des sensibilisations pouvaient \u00eatre reproduits dans des mises en situation concr\u00e8tes.<\/p>\n\n\n\n

    Enfin, cela permettait de cr\u00e9er une forme de vigilance positive. Lorsqu’une personne sait que des exercices peuvent \u00eatre r\u00e9alis\u00e9s, elle est naturellement davantage attentive aux e-mails inhabituels et applique plus facilement les conseils qui lui ont \u00e9t\u00e9 transmis.<\/p>\n\n\n\n

    L’objectif n’est pas que les collaborateurs craignent d’\u00eatre pris en faute. L’objectif est qu’ils gardent \u00e0 l’esprit que les menaces existent r\u00e9ellement et qu’ils peuvent, \u00e0 leur niveau, contribuer \u00e0 prot\u00e9ger l’organisation.<\/p>\n\n\n\n

    \n\n\n\n

    Exemple d’une campagne tr\u00e8s cibl\u00e9e<\/h2>\n\n\n\n

    Je ne vais pas dresser la liste de tous les outils permettant de r\u00e9aliser des campagnes de phishing. Il existe aujourd’hui de nombreuses solutions sur le march\u00e9, allant de la simple campagne de sensibilisation \u00e0 des exercices beaucoup plus \u00e9labor\u00e9s.<\/p>\n\n\n\n

    Je souhaite en revanche partager un \u00e9change que j’ai eu avec les \u00e9quipes informatiques d’une structure locale qui avait d\u00e9velopp\u00e9 en interne son propre outil de phishing afin de r\u00e9aliser un exercice particuli\u00e8rement r\u00e9aliste.<\/p>\n\n\n\n

    Cette structure dispose de ressources informatiques plus importantes que celles dont disposent la plupart des \u00e9tablissements m\u00e9dico-sociaux. ce qui lui a permis de pr\u00e9parer une campagne tr\u00e8s cibl\u00e9e.<\/p>\n\n\n\n

    Les \u00e9quipes avaient notamment :<\/p>\n\n\n\n

      \n
    • r\u00e9serv\u00e9 un nom de domaine tr\u00e8s proche de celui de l’\u00e9tablissement ;<\/li>\n\n\n\n
    • cr\u00e9\u00e9 une adresse e-mail se faisant passer pour le service paie ;<\/li>\n\n\n\n
    • d\u00e9velopp\u00e9 un faux portail de connexion reproduisant l’apparence de leurs outils habituels.<\/li>\n<\/ul>\n\n\n\n

      Seules deux personnes avaient \u00e9t\u00e9 inform\u00e9es de l’exercice : le responsable informatique et un membre de la direction g\u00e9n\u00e9rale.<\/p>\n\n\n\n

      Le choix de ne pas informer les autres membres de la direction \u00e9tait volontaire. L’objectif n’\u00e9tait pas seulement d’\u00e9valuer la vigilance des collaborateurs, mais \u00e9galement de mesurer la r\u00e9activit\u00e9 de la cha\u00eene d\u00e9cisionnelle face \u00e0 un incident potentiel.<\/p>\n\n\n\n

      Le vendredi \u00e0 16h30, un e-mail est envoy\u00e9 \u00e0 un grand nombre de collaborateurs.<\/p>\n\n\n\n

      Le message indique qu’un probl\u00e8me est survenu dans le logiciel de paie et qu’il est imp\u00e9ratif de se connecter \u00e0 un portail afin de v\u00e9rifier ou de mettre \u00e0 jour ses coordonn\u00e9es bancaires. Sans cette action, le salaire devant \u00eatre vers\u00e9 le lundi risque de ne pas \u00eatre pay\u00e9.<\/p>\n\n\n\n

      Dans le contexte de cet article, le sc\u00e9nario para\u00eet \u00e9vident. Pourtant, dans la r\u00e9alit\u00e9 du terrain, les choses sont souvent tr\u00e8s diff\u00e9rentes.<\/p>\n\n\n\n

      Les collaborateurs terminent leur semaine, les services sont parfois sous tension, chacun traite rapidement les derniers dossiers avant le week-end. Le message joue sur une pr\u00e9occupation tr\u00e8s concr\u00e8te : la r\u00e9ception du salaire.<\/p>\n\n\n\n

      Je n’ai plus les chiffres exacts en t\u00eate, mais les r\u00e9sultats avaient \u00e9t\u00e9 particuli\u00e8rement marquants.<\/p>\n\n\n\n

      Pr\u00e8s de la moiti\u00e9 des collaborateurs avaient cliqu\u00e9 sur le lien. Une part importante d’entre eux avait commenc\u00e9 \u00e0 renseigner ses informations bancaires sur le faux portail. \u00c0 l’inverse, seule une minorit\u00e9 avait imm\u00e9diatement signal\u00e9 le message comme suspect.<\/p>\n\n\n\n

      L’exercice a toutefois permis de mettre en \u00e9vidence un point positif : d\u00e8s le vendredi soir, certains cadres et directeurs ont remont\u00e9 leurs doutes \u00e0 la direction g\u00e9n\u00e9rale et \u00e0 la DSI. Les \u00e9quipes RH et paie ont rapidement diffus\u00e9 une communication interne pour alerter les collaborateurs.<\/p>\n\n\n\n

      Malgr\u00e9 cela, plusieurs personnes ont continu\u00e9 \u00e0 consulter le faux portail jusqu’au lundi matin.<\/p>\n\n\n\n

      Bien entendu, aucune donn\u00e9e n’\u00e9tait enregistr\u00e9e et l’objectif n’\u00e9tait pas de pi\u00e9ger les utilisateurs. L’int\u00e9r\u00eat de l’exercice \u00e9tait de d\u00e9montrer \u00e0 quel point une attaque cr\u00e9dible, s’appuyant sur un contexte r\u00e9aliste et une \u00e9motion forte, peut contourner les r\u00e9flexes habituels.<\/p>\n\n\n\n

      C’est \u00e9galement ce type d’exercice qui permet d’identifier les axes d’am\u00e9lioration : sensibilisation des collaborateurs, proc\u00e9dures de signalement, communication de crise et r\u00e9activit\u00e9 des \u00e9quipes de direction.<\/p>\n\n\n\n

      \n\n\n\n

      Et pour les \u00e9tablissements du m\u00e9dico-social ?<\/h2>\n\n\n\n

      M\u00eame si ce type d’exercice est particuli\u00e8rement int\u00e9ressant, nous ne disposons pas tous des moyens humains et techniques d’un centre hospitalier capable de d\u00e9velopper ses propres outils.<\/p>\n\n\n\n

      Pour autant, il est tout \u00e0 fait possible de mettre en place des campagnes de phishing efficaces avec des moyens plus modestes.<\/p>\n\n\n\n

      Aujourd’hui, de nombreuses solutions permettent de r\u00e9aliser des exercices simples, adapt\u00e9s aux associations et aux \u00e9tablissements m\u00e9dico-sociaux.<\/p>\n\n\n\n

      \u00c0 mon sens, le crit\u00e8re le plus important dans le choix d’un outil n’est pas forc\u00e9ment le r\u00e9alisme de la campagne ou la richesse des sc\u00e9narios propos\u00e9s. L’essentiel est de pouvoir agir apr\u00e8s l’exercice.<\/p>\n\n\n\n

      Une campagne de phishing n’a de valeur que si elle permet de faire progresser les collaborateurs.<\/p>\n\n\n\n

      Il est donc important de pouvoir identifier :<\/p>\n\n\n\n

        \n
      • les personnes ayant ouvert le message ;<\/li>\n\n\n\n
      • celles ayant cliqu\u00e9 sur le lien ;<\/li>\n\n\n\n
      • celles ayant \u00e9ventuellement tent\u00e9 de renseigner des informations ;<\/li>\n\n\n\n
      • celles ayant signal\u00e9 le message comme suspect.<\/li>\n<\/ul>\n\n\n\n

        L’objectif n’est pas de sanctionner ou de pointer du doigt les personnes concern\u00e9es.<\/p>\n\n\n\n

        Au contraire, ces informations permettent de comprendre o\u00f9 se situent les difficult\u00e9s et d’accompagner les collaborateurs dans l’acquisition des bons r\u00e9flexes.<\/p>\n\n\n\n

        Les outils les plus pertinents proposent g\u00e9n\u00e9ralement une page d’information ou une mini-formation imm\u00e9diatement apr\u00e8s le clic. Le collaborateur comprend alors qu’il s’agissait d’un exercice et d\u00e9couvre les indices qui auraient d\u00fb l’alerter.<\/p>\n\n\n\n

        Cette approche p\u00e9dagogique est souvent beaucoup plus efficace qu’une simple pr\u00e9sentation th\u00e9orique.<\/p>\n\n\n\n

        La prochaine fois qu’il recevra un message similaire, il se souviendra probablement de cette exp\u00e9rience et prendra quelques secondes suppl\u00e9mentaires pour v\u00e9rifier l’exp\u00e9diteur, le lien ou la coh\u00e9rence de la demande.<\/p>\n\n\n\n

        C’est pr\u00e9cis\u00e9ment cet objectif que doivent poursuivre les campagnes de phishing : non pas chercher \u00e0 obtenir le moins de clics possible \u00e0 tout prix, mais permettre aux \u00e9quipes de d\u00e9velopper progressivement leur vigilance face aux menaces r\u00e9elles.<\/p>\n\n\n\n

        \n

        Je pr\u00e9f\u00e8re un collaborateur qui clique aujourd’hui sur un exercice de phishing et qui apprend de son erreur, plut\u00f4t qu’un collaborateur qui d\u00e9couvre ce risque pour la premi\u00e8re fois lors d’une v\u00e9ritable attaque.<\/p>\n<\/blockquote>\n\n\n\n

        \n\n\n\n

        <\/p>\n\n\n\n

        Mon retour d’exp\u00e9rience<\/h2>\n\n\n\n

        Depuis maintenant deux ans, nous menons des campagnes de phishing au sein de notre association.<\/p>\n\n\n\n

        Comme beaucoup d’organisations, nous appr\u00e9hendions les premiers r\u00e9sultats. Nous nous demandions si les collaborateurs allaient adh\u00e9rer \u00e0 la d\u00e9marche, si les campagnes seraient bien per\u00e7ues et surtout quel serait le niveau r\u00e9el de vigilance face \u00e0 ce type de menace.<\/p>\n\n\n\n

        Les premiers r\u00e9sultats ont parfois \u00e9t\u00e9 surprenants, mais pas n\u00e9cessairement dans le sens que nous imaginions. Bien s\u00fbr, certains collaborateurs ont cliqu\u00e9 sur les liens propos\u00e9s, mais nous avons \u00e9galement constat\u00e9 que de nombreuses personnes avaient int\u00e9gr\u00e9 les messages de sensibilisation diffus\u00e9s au fil des ann\u00e9es.<\/p>\n\n\n\n

        Depuis le lancement de nos campagnes, nous n’avons observ\u00e9 qu’un seul cas de saisie d’identifiants lors d’un exercice de phishing. En revanche, les clics sur les liens restent relativement fr\u00e9quents, ce qui montre que la vigilance doit continuer \u00e0 \u00eatre entretenue dans le temps.<\/p>\n\n\n\n

        L\u00e0 o\u00f9 nous constatons la plus forte \u00e9volution, c’est dans les comportements du quotidien. Il y a encore quelques ann\u00e9es, il \u00e9tait tr\u00e8s rare qu’un collaborateur nous sollicite pour v\u00e9rifier la l\u00e9gitimit\u00e9 d’un e-mail. Aujourd’hui, cela se produit plusieurs fois par mois.<\/p>\n\n\n\n

        Nous recevons r\u00e9guli\u00e8rement des demandes concernant un exp\u00e9diteur inhabituel, un lien suspect ou une demande paraissant incoh\u00e9rente. Ces sollicitations nous am\u00e8nent parfois \u00e0 r\u00e9aliser nos propres v\u00e9rifications \u00e0 l’aide d’outils d’analyse d’URL ou en ouvrant certains liens dans des environnements isol\u00e9s afin de confirmer leur l\u00e9gitimit\u00e9.<\/p>\n\n\n\n

        C’est finalement l’un des r\u00e9sultats les plus encourageants de ces campagnes. Au-del\u00e0 des statistiques, elles ont contribu\u00e9 \u00e0 d\u00e9velopper une culture du doute raisonnable face aux messages re\u00e7us.<\/p>\n\n\n\n

        Il est rassurant de constater que les graines sem\u00e9es il y a quelques ann\u00e9es commencent aujourd’hui \u00e0 produire leurs premiers r\u00e9sultats. Les arbres ne sont pas encore matures, mais les premiers arbrisseaux sont bien l\u00e0.<\/p>\n\n\n\n

        Les campagnes de phishing ne supprimeront jamais totalement le risque. Elles permettent en revanche de transformer progressivement une organisation o\u00f9 chacun clique sans r\u00e9fl\u00e9chir en une organisation o\u00f9 chacun s’autorise \u00e0 douter, v\u00e9rifier et signaler.<\/p>\n\n\n\n

        Et en cybers\u00e9curit\u00e9, ce simple changement de comportement peut parfois faire toute la diff\u00e9rence.<\/p>\n\n\n\n

        <\/p>\n","protected":false},"excerpt":{"rendered":"

        Retour d’exp\u00e9rience dans une association gestionnaire de Foyers d’H\u00e9bergement, MAS et \u00e9tablissements m\u00e9dico-sociaux. Nous avons d\u00e9j\u00e0 \u00e9voqu\u00e9 l’importance de la sensibilisation des \u00e9quipes aux risques num\u00e9riques. Toutes les mesures de s\u00e9curit\u00e9 du monde peuvent \u00eatre mises en place : sauvegardes, antivirus, authentification multifacteur, filtrage des messageries ou supervision des syst\u00e8mes. Pourtant, si les utilisateurs ne…<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_kad_post_transparent":"","_kad_post_title":"","_kad_post_layout":"","_kad_post_sidebar_id":"","_kad_post_content_style":"","_kad_post_vertical_padding":"","_kad_post_feature":"","_kad_post_feature_position":"","_kad_post_header":false,"_kad_post_footer":false,"_kad_post_classname":"","footnotes":""},"categories":[4,8],"tags":[],"class_list":["post-91","post","type-post","status-publish","format-standard","hentry","category-cybersecurite","category-retours-dexperience"],"_links":{"self":[{"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/posts\/91","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/comments?post=91"}],"version-history":[{"count":2,"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/posts\/91\/revisions"}],"predecessor-version":[{"id":95,"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/posts\/91\/revisions\/95"}],"wp:attachment":[{"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/media?parent=91"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/categories?post=91"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/numeriquemedicosocial.fr\/index.php\/wp-json\/wp\/v2\/tags?post=91"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}