Campagne de phishing : ce qu'imposent NIS 2 et DORA

Au Luxembourg, la Police grand-ducale a enregistré 367 plaintes pour phishing en 2025, contre 247 l'année précédente. Selon la réponse ministérielle du 15 avril 2026 à la question parlementaire n° 3691, elle estime le préjudice à une dizaine de millions d'euros depuis août 2023, et probablement davantage. Depuis le 1er janvier 2026, 7 932 e-mails d'hameçonnage ont été signalés au Luxembourg via SpamBee (compteur de l'observatoire NC3, lu le 20 octobre 2026). Le 9 octobre 2026, le groupe de travail cyberfraud.lu, mené par la Luxembourg House of Cybersecurity, a lancé l'édition 2026 de la campagne nationale de sensibilisation contre la fraude en ligne, sur le mot d'ordre « Ne cliquez pas. Vérifiez. Signalez ».

Côté entreprises, la préparation reste mince : en 2024, seules 22 % des entreprises luxembourgeoises de 10 personnes occupées et plus (hors secteur financier) sensibilisaient leur personnel par une formation ou une documentation obligatoire, contre 24,5 % dans l'Union, et 45 % ne le sensibilisaient pas du tout à ses obligations de sécurité informatique (Eurostat). La question n'est donc plus de savoir si vos collaborateurs recevront ces messages, mais si vous pouvez prouver que vous les y avez préparés.

C'est le rôle d'une campagne de simulation de phishing, aussi appelée test de phishing en entreprise : un faux e-mail piégé, envoyé dans un cadre maîtrisé, pour mesurer les réflexes et les entraîner. Elle complète une campagne de sensibilisation au phishing, sans la remplacer. Voici ce que la loi impose réellement, à quoi ressemble le phishing en 2026, ce que la recherche dit de l'efficacité des simulations, et comment mener une campagne sans se mettre en faute vis-à-vis du RGPD ou du droit du travail luxembourgeois.

La loi impose-t-elle une campagne de phishing ? La réponse courte

• Aucun texte n'écrit « simulation de phishing ». Ni la directive NIS 2, ni la loi luxembourgeoise du 5 mai 2026, ni DORA, ni le RGPD n'imposent cette méthode en tant que telle.
• La formation, elle, est obligatoire. La loi NIS 2 luxembourgeoise exige la formation à la cybersécurité et une formation régulière du personnel ; DORA impose des modules obligatoires de sensibilisation pour tous les employés et la direction.
• L'efficacité doit pouvoir être démontrée. NIS 2 exige des procédures pour évaluer l'efficacité des mesures, le RGPD, selon les besoins, une procédure pour la tester régulièrement, et le règlement d'exécution (UE) 2024/2690 demande que le programme de sensibilisation des fournisseurs numériques soit testé, s'il est besoin.
• L'ILR cite les simulations d'hameçonnage comme preuve. Son modèle de description des mesures (août 2026) les donne en exemple de justificatif. C'est un modèle de référence, pas une obligation.
• Une campagne se prépare juridiquement. Elle traite des données de salariés : il lui faut une base légale RGPD et, si elle suit des réactions individuelles, la prudence commande d'informer au préalable la délégation du personnel (article L. 261-1 du Code du travail). Nous recommandons de ne jamais sanctionner un clic.

Autrement dit, la simulation n'est pas l'obligation : c'est la manière la plus directe d'en apporter la preuve.

Ce que la loi luxembourgeoise du 5 mai 2026 (NIS 2) impose

La directive NIS 2 a été transposée par la loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité, publiée au Mémorial A n° 225 du 6 mai 2026 et entrée en vigueur le 10 mai 2026 selon l'ILR. Elle s'applique aux entités essentielles et importantes, aux entités de l'administration publique au sens de la loi (toujours qualifiées d'essentielles) et aux entités critiques, elles aussi essentielles quelle que soit leur taille.

Deux obligations de formation, dont une va plus loin que la directive

• Article 12, paragraphe 2, point 7° : parmi les mesures minimales de gestion des risques figurent « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ». Les mesures doivent tenir compte de « l'état des connaissances » (article 12, paragraphe 1er). Le point 6° du paragraphe 2 exige en outre « des politiques et des procédures pour évaluer l'efficacité des mesures de gestion des risques en matière de cybersécurité ». L'article 12 transpose l'article 21 de la directive.
• Article 13, paragraphe 2 : les membres des organes de direction « sont tenus de suivre régulièrement une formation », et « les entités essentielles et importantes offrent régulièrement une formation similaire aux membres de leur personnel ». L'article 20 de la directive se contentait de demander aux États d'encourager cette formation du personnel : le Luxembourg en fait une obligation. L'organe de direction approuve et supervise les mesures, et sa responsabilité peut être engagée (article 13, paragraphe 1er).

Le texte ne mentionne jamais le phishing ni la simulation. Le mot « hameçonnage » n'apparaît que dans le considérant 89 de la directive, qui invite à sensibiliser le personnel « aux cybermenaces, au hameçonnage ou aux techniques d'ingénierie sociale ». Un considérant n'a pas de force obligatoire.

Ce que l'ILR attend comme preuves

Les entités essentielles notifient leurs mesures à l'ILR (article 12, paragraphe 3) ; selon l'ILR, elles lui transmettent chaque année leurs livrables (mesures en place, analyse des scénarios de risque, plan d'action). Les entités importantes sont contrôlées a posteriori, mais doivent pouvoir produire leurs preuves sur demande (article 23). Les modèles publiés par l'ILR le 3 août 2026 montrent ce qui sera regardé :

• dans le modèle « Description des mesures en place », l'objectif SO-29 donne comme exemples de preuves « Campagnes (simulations d'hameçonnage, e-learning) et taux de participation » et « Évaluation de l'efficacité du programme » ;
• dans le modèle d'analyse des principaux scénarios de risques cyber, le phishing est l'un des dix scénarios génériques préremplis (SCG-S02, « Phishing exploitant l'ingénierie sociale pour compromettre les comptes agents ») ;
• les lignes directrices de l'ILR pour les organes de direction (version du 17 février 2026) citent le phishing parmi les cyberattaques que la formation des dirigeants devrait couvrir.

L'ILR précise que ces modèles « sont proposés à titre de référence ». Le projet de règlement qui fixerait une notification annuelle des mesures au 15 mars a été soumis à une consultation close le 31 août 2026 ; au 20 octobre 2026, il n'est pas encore adopté.

Les sanctions

Un manquement à l'article 12, qui inclut la formation à la cybersécurité, expose à une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent pour une entité essentielle, et 7 millions d'euros ou 1,4 % pour une entité importante, le montant le plus élevé étant retenu (article 26). Un manquement à l'article 13 (approbation des mesures par la direction, formation des dirigeants et du personnel) peut être sanctionné d'un avertissement, d'un blâme ou d'une amende de 250 000 euros au plus (article 25). Une astreinte peut s'y ajouter, jusqu'à 1 250 euros par jour dans la limite de 25 000 euros (article 26, paragraphe 7). Ce qui est sanctionné, c'est l'absence de formation et de mesures, jamais l'absence d'une simulation en particulier.

Fournisseurs numériques : un test d'efficacité écrit noir sur blanc

Le règlement d'exécution (UE) 2024/2690 va plus loin pour une liste fermée de fournisseurs numériques : fournisseurs de services DNS, registres de noms de domaine de premier niveau, fournisseurs de cloud, de centres de données et de réseaux de diffusion de contenu, prestataires de services gérés et de services de sécurité gérés, places de marché en ligne, moteurs de recherche, réseaux sociaux et prestataires de services de confiance. Son annexe exige un programme de sensibilisation répété dans le temps et couvrant les nouveaux arrivants (point 8.1.2), puis ajoute : « S'il est besoin, l'efficacité du programme de sensibilisation est soumise à des tests » (point 8.1.3). L'entité qui juge ce test inutile doit documenter son raisonnement de manière compréhensible (article 2, paragraphe 2). Le même texte impose un mécanisme simple de signalement des événements suspects et une formation régulière du personnel à son utilisation (point 3.3).

Le guide technique de l'ENISA (juin 2025, non contraignant) suggère de tester cette efficacité, par exemple au moyen de quiz ou de scénarios réels. Il ne cite pas la simulation de phishing parmi les preuves : sur ce point, les modèles de l'ILR sont plus explicites que le guide européen.

Banques, assurances et autres entités financières : c'est DORA qui s'applique

Pour les entités financières, NIS 2 s'efface pour l'essentiel : l'article 1er, paragraphe 2, de DORA fait du règlement un acte sectoriel au sens de l'article 4 de la directive, et la loi luxembourgeoise du 5 mai 2026 écarte alors ses dispositions pertinentes, supervision et sanctions comprises (article 1er, paragraphe 8). Ce test d'équivalence ne vise expressément que les mesures de l'article 12 et la notification des incidents : que l'article 13 (formation) soit lui aussi écarté relève de l'interprétation, mais DORA couvre le même terrain. L'obligation de formation vient donc de DORA :

• Article 13, paragraphe 6 : les entités financières élaborent des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique « sous forme de modules obligatoires », destinés à tous les employés et aux membres de la direction. Les prestataires tiers de services TIC y participent le cas échéant, et cette participation figure dans le contrat (article 30, paragraphe 2, point i).
• Article 5 : l'organe de direction alloue le budget de ces programmes, et ses membres entretiennent leurs connaissances, « notamment en suivant régulièrement une formation spécifique ».
• Article 16 : les entités soumises au cadre simplifié développent ces programmes selon leurs besoins et leur profil de risque informatique.

DORA n'emploie jamais les mots « phishing » ou « ingénierie sociale ». Ses textes d'application, eux, les citent : comme technique d'attaque à déclarer dans les notifications d'incidents majeurs (« ingénierie sociale, y compris hameçonnage », champ 3.25 de l'annexe II du règlement d'exécution (UE) 2025/302), et dans les normes techniques sur les tests d'intrusion fondés sur la menace (TLPT) : les équipes rouges doivent maîtriser l'ingénierie sociale, et le plan de test fixe « les limites éthiques de l'ingénierie sociale » (annexe IV du règlement délégué (UE) 2025/1190). Seules les entités désignées doivent mener ces tests, au moins tous les trois ans.

Au Luxembourg, la loi du 1er juillet 2024 désigne la CSSF et le Commissariat aux assurances comme autorités compétentes, chacun pour les entités qu'il surveille ; la BCE est l'autorité compétente pour les établissements de crédit importants (article 46 de DORA). Pour les entités qu'elles surveillent, ces deux autorités peuvent sanctionner un manquement à l'article 13 de DORA d'une amende allant jusqu'à 5 millions d'euros ou 10 % du chiffre d'affaires annuel total pour une personne morale, et jusqu'à 5 millions d'euros pour une personne physique, membres de l'organe de direction compris (article 20-24 de la loi modifiée du 16 juillet 2019, inséré par la loi du 1er juillet 2024).

Reste, hors du champ de DORA, la circulaire CSSF 20/750 : depuis les circulaires 25/881 et 26/915, elle ne vise plus que les PSF de support, les PSF spécialisés et POST Luxembourg en tant que prestataire de services de paiement. Elle attend une formation de tout le personnel et des prestataires au moins une fois par an (point 49). Là non plus, aucune mention du phishing.

Le RGPD : pas de formation imposée, une obligation de preuve

Le RGPD ne fixe ni formation générale du personnel ni fréquence. Il impose en revanche, selon les besoins, « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles » (article 32, paragraphe 1, point d), et la capacité de démontrer sa conformité (article 24). La CNPD peut exiger toute information et mener des audits (article 58), et le délégué à la protection des données contrôle la sensibilisation et la formation du personnel (article 39). Un manquement à l'article 32 peut coûter jusqu'à 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu (article 83).

Le comité européen de la protection des données recommande une formation régulière du personnel à la gestion des violations de données, actualisée selon les dernières tendances d'attaque (lignes directrices 01/2021, point 12). Son cas n° 18 montre ce que peut coûter un e-mail piégé : faute d'avoir pu établir comment l'attaquant était entré, l'entreprise supposait qu'un e-mail infecté lui avait ouvert les boîtes du service des paiements ; des règles de transfert ont ensuite exfiltré les données de 99 salariés, pendant qu'une fraude aux coordonnées bancaires d'un fournisseur était menée. Pour le comité, les 99 salariés auraient dû être informés, et pas seulement les dix dont la fiche de salaire détaillée avait fuité, notamment parce que ces données pouvaient faciliter d'autres attaques, comme le phishing.

Au Luxembourg, la CNPD a reçu 425 notifications de violation en 2025. Les actes malveillants externes en représentent 30 % ; par nature d'incident, le piratage pèse 24,9 % et le phishing 3,1 %. Le régulateur relève qu'un certain nombre d'actes de piratage et de phishing ciblent la direction et son entourage (assistants, secrétariat), souvent pour obtenir de quoi effectuer des transactions financières frauduleuses (rapport annuel 2025).

Normes, auditeurs et assureurs

• ISO/IEC 27001:2022 : la sensibilisation (clause 7.3) est exigée pour toute certification, et la mesure A.6.3 de l'annexe A couvre la sensibilisation, l'enseignement et la formation. Ni l'une ni l'autre ne nomme la simulation.
• PCI DSS v4.0.1 : depuis le 31 mars 2025, la formation doit couvrir le phishing et l'ingénierie sociale (exigence 12.6.3.1), en plus de mécanismes techniques anti-phishing (exigence 5.4.1). Le test périodique du signalement n'apparaît que dans les recommandations, qui ne sont pas obligatoires.
• NIST SP 800-50 Rev. 1 (septembre 2024, écrit pour les administrations fédérales américaines) range les simulations de phishing parmi les exercices pratiques et mesure le progrès au nombre de personnes qui signalent l'e-mail de test.
• Assureurs : certains questionnaires cyber demandent si l'entreprise mène des simulations au moins une fois par an, par exemple celui d'AIG Europe, société de droit luxembourgeois, pour le marché néerlandais (version de septembre 2023). Une réponse négative n'y est pas présentée comme excluant la couverture.

Le phishing en 2026 : ce qui a changé

Le phishing n'est plus partout la première porte d'entrée, mais l'humain reste au cœur des intrusions :

• dans le rapport DBIR 2026 de Verizon (plus de 22 000 violations confirmées), l'élément humain intervient dans 62 % des violations. Comme vecteur d'accès initial, l'exploitation de vulnérabilités (31 %) devance le phishing (16 %) ; dans la zone Europe, Moyen-Orient et Afrique, c'est 47 % contre 28 %, avec un élément humain dans 70 % des cas ;
• dans les interventions de réponse à incident de Microsoft (Digital Defense Report 2026), le phishing est passé de 7 % à 23 % des accès initiaux, presque à égalité avec l'exploitation d'applications exposées (24 %) ;
• selon l'ENISA (Threat Landscape 2026, 8 257 incidents analysés pour 2025), le phishing représente 77,8 % des techniques d'ingénierie sociale identifiées.

Le MFA classique ne suffit plus

Les kits dits « adversary-in-the-middle » relaient la vraie page de connexion et volent la session une fois l'authentification réussie : le code SMS ou la notification ne protègent plus. Tycoon2FA, le kit le plus observé en 2025 selon l'éditeur ANY.RUN (cité par l'ENISA), servait à des e-mails qui atteignaient plus de 500 000 organisations par mois avant la perturbation de son infrastructure en mars 2026, coordonnée par Microsoft avec Europol et des partenaires ; en juin, son activité avait baissé de 95 % par rapport à son pic de novembre 2025. Dans la télémétrie de Microsoft, cette technique représente 44,6 % des techniques de phishing identifiées, et 87,7 % des intrusions par phishing impliquaient un vol d'identifiants ou de session. La parade est l'authentification résistante au phishing (clés FIDO2, passkeys) : voir notre analyse du MFA résistant au phishing au regard de l'article 32 du RGPD et celle du kit Tycoon 2FA.

Au-delà de l'e-mail

• QR codes : Microsoft a détecté plus de 145 millions d'attaques par QR code entre juillet 2025 et juin 2026. Les PDF en étaient le principal support : leur part a atteint 79 % en avril 2026, après quatre mois de hausse. Le code fait passer la victime de son poste protégé à son téléphone.
• Appels et Teams : le volume hebdomadaire d'appels Teams malveillants confirmés venant d'autres organisations (vishing) a progressé de 502 % en un an ; le scénario type commence par un bombardement d'e-mails, puis un faux support informatique propose son aide.
• Code d'appareil : l'attaquant fait saisir à la victime un code sur la vraie page de connexion Microsoft et récupère ses jetons. Microsoft a signalé en février 2025 des campagnes de ce type menées depuis août 2024 par le groupe Storm-2372 ; dans une mise à jour du 31 juillet 2026, Microsoft le rattache à Midnight Blizzard, dont il serait un sous-groupe chargé de l'accès initial.
• Deepfakes : à Hong Kong, en 2024, un employé a effectué 15 virements pour 200 millions de dollars de Hong Kong (environ 25 millions de dollars américains) après une visioconférence truquée ; selon la police, l'escroc avait téléchargé des vidéos à l'avance et y avait ajouté des voix générées par IA. La presse a identifié l'entreprise comme Arup.

L'IA rend le phishing ciblé bon marché

Dans une expérience menée auprès de 101 participants (Heiding et al., Expert Systems with Applications, 2026), des e-mails de spear phishing entièrement générés par IA ont obtenu 54 % de clics, autant que ceux écrits par des experts humains, contre 12 % pour des e-mails génériques. Sur environ 7 700 participants, une étude présentée à USENIX Security 2026 (Czybik et al.) mesure qu'une personnalisation par IA multiplie presque par trois le taux de clic d'un e-mail générique (10,0 % contre 3,7 à 4,1 %), pour environ trois centimes de dollar par message ; dans cette étude, les e-mails ciblés écrits à la main restaient plus efficaces (24,2 %, sur 99 e-mails seulement). Une campagne de simulation limitée à des e-mails génériques mal écrits mesure donc la menace d'hier.

Ce que la recherche dit de l'efficacité des simulations

Les grandes études de terrain invitent à l'humilité, et c'est ce qui permet de concevoir une campagne utile :

• La formation annuelle seule ne se voit pas dans les résultats. Sur 19 789 salariés d'UC San Diego Health, huit campagnes mensuelles et dix leurres, la date de la dernière formation annuelle n'a aucun lien statistiquement significatif avec l'échec à une simulation (Ho et al., IEEE Symposium on Security and Privacy 2025).
• La page « vous avez été piégé » apprend peu. Dans la même étude, la formation affichée après le clic ne réduit le taux d'échec que de 1,7 point : la durée médiane d'une session allait de 0 à 10 secondes selon les variantes, et seules 24 % des sessions allaient jusqu'au bout. Sur 14 733 salariés suivis pendant 15 mois, cette formation, proposée sans obligation, n'a même pas réduit les clics (Lain et al., IEEE S&P 2022).
• Sur la durée, beaucoup finissent par cliquer. Chez UC San Diego Health, 56 % des salariés ont échoué au moins une fois en huit mois, alors que 9,7 % seulement échouaient le premier mois. Le taux d'échec allait de 1,8 % à 30,8 % selon le leurre : un taux de clic ne veut rien dire sans la difficulté de l'e-mail.
• Le signalement, lui, fonctionne. Chez Lain et al., les salariés ont signalé les simulations sans lassitude pendant 15 mois ; les salariés de bureau qui utilisent l'ordinateur au quotidien en signalaient 22 % (contre 10 % pour ceux qui l'utilisent rarement), et environ 10 % des signalements arrivaient dans les cinq minutes, assez tôt pour bloquer une vraie campagne. Selon le DBIR 2025 de Verizon (données de simulation de plus de 7 000 organisations, sans analyse causale), les salariés formés dans les 30 derniers jours signalent environ 21 % des simulations, contre 5 % pour ceux sans formation récente.
• Les avertissements techniques comptent. Dans l'étude de Lain et al., un bandeau d'alerte sur les e-mails suspects a divisé les clics par près de trois (3 964 clics sans bandeau, 1 427 avec un bandeau court).

Conclusion pratique : une campagne de phishing sert d'abord à mesurer l'exposition réelle avec des e-mails de difficulté connue, et à installer le réflexe de signalement. Elle ne remplace ni le MFA résistant au phishing, ni le filtrage, ni l'authentification des e-mails (DMARC).

Mener une campagne de phishing en toute légalité au Luxembourg

À notre connaissance, aucune autorité luxembourgeoise ne s'est prononcée sur la licéité des simulations de phishing au regard du RGPD ou du droit du travail ; l'ILR les cite seulement comme exemple de preuve. Ce qui suit est notre lecture des textes en vigueur au 20 octobre 2026.

1. Une base légale RGPD, pas le consentement

Le consentement d'un salarié est rarement valable, en raison du lien de subordination : pour la plupart des traitements au travail, le comité européen de la protection des données estime qu'il ne peut ni ne doit en être la base (lignes directrices 05/2020, point 21). Deux bases se discutent, à documenter : l'obligation légale de former le personnel (NIS 2, DORA) et d'évaluer l'efficacité des mesures (NIS 2), à condition que la simulation soit nécessaire pour la respecter, aucun texte ne la nommant ; ou l'intérêt légitime à sécuriser le système d'information, qui n'est pas ouvert aux autorités publiques dans l'exécution de leurs missions (article 6). Le principe de minimisation s'applique (article 5).

2. Informer la délégation du personnel, et les salariés

Si la campagne enregistre des réactions individuelles (qui a cliqué, qui a saisi un mot de passe), la prudence commande de la traiter comme un traitement à des fins de surveillance au sens de l'article L. 261-1 du Code du travail :

• information préalable de la délégation du personnel, ou à défaut de l'Inspection du travail et des mines, ainsi que des salariés concernés ;
• cette information précise la finalité, les modalités, la durée de conservation, et contient l'engagement formel de ne pas utiliser les données à une autre fin ;
• dans les 15 jours, la délégation (ou à défaut les salariés) peut demander un avis préalable à la CNPD, qui a un mois pour se prononcer, la demande suspendant le traitement pendant ce délai : prévoyez jusqu'à 15 jours plus un mois, soit six à sept semaines, entre l'information et le lancement ;
• un traitement contraire à ces règles est pénalement sanctionné (article L. 261-2 : emprisonnement de huit jours à un an et amende de 251 à 125 000 euros, ou l'une de ces peines seulement).

Dès 15 salariés, la délégation donne son avis sur les plans de formation professionnelle continue (article L. 414-3). Dans les entreprises d'au moins 150 salariés, l'article L. 414-9 soumet notamment à codécision les installations techniques destinées à contrôler le comportement et les performances des salariés, tout programme ou action collective de formation professionnelle continue et les critères généraux d'appréciation des salariés. Une campagne qui suit des réactions individuelles, ou qui s'inscrit dans un programme collectif de formation, peut relever des points 1 et 4 de cet article : dans ces entreprises, la prudence commande de la décider d'un commun accord avec la délégation. Celle dont les résultats nourriraient les évaluations individuelles toucherait en plus aux critères d'appréciation : raison de plus pour ne jamais les y utiliser.

3. Une analyse d'impact si les résultats ont des conséquences individuelles

La liste de la CNPD des traitements soumis à analyse d'impact (article 35) vise la surveillance régulière et systématique des activités des salariés lorsqu'elle peut produire des effets juridiques à leur égard ou les affecter de manière significative. Une campagne restituée de façon agrégée, sans conséquence individuelle, ne devrait pas l'exiger ; des résultats nominatifs utilisés à des fins disciplinaires, très probablement.

4. Ne jamais sanctionner, ne jamais conserver les mots de passe

Le NCSC britannique prévient que sanctionner des clics sur des e-mails que l'on a soi-même envoyés s'apparente à de la provocation ; il recommande de consulter les ressources humaines au préalable et de mesurer les signalements autant que les clics. Le NIST demande que ces exercices ne soient pas punitifs et qu'aucun salarié ne soit pointé du doigt.

La jurisprudence française l'illustre. Dans l'affaire Natixis, la cour d'appel de Paris (30 octobre 2024) a jugé fondé le licenciement d'un salarié qui avait cliqué délibérément sur six e-mails de test et saisi des insultes en guise d'identifiants, en plus de deux autres fautes : « Il n'a pas été sanctionné pour avoir échoué aux tests mais pour l'avoir fait à dessein ». Les salariés ayant été informés de la campagne, l'argument de la provocation a été écarté. Mais la cour a jugé que ces données avaient été collectées en violation du RGPD ; elle ne les a admises comme preuve que parce qu'elles étaient indispensables et proportionnées. La Cour de cassation (24 juin 2026) n'a cassé l'arrêt que sur les dommages-intérêts alloués, sans revenir sur ce constat. Leçon : informer les salariés, et ne collecter que l'événement (« identifiants saisis »), jamais le texte tapé.

5. Des leurres éthiques

Les faux e-mails promettant une prime ont provoqué des crises internes : chez GoDaddy en décembre 2020 (une prime de fin d'année de 650 dollars, environ 500 salariés piégés puis renvoyés en formation, suivis d'excuses de l'entreprise), chez Tribune Publishing en septembre 2020 (une prime promise en pleine vague de réductions de salaires), ou chez West Midlands Trains, dans une affaire révélée en mai 2021 (environ 2 500 destinataires). Bannissez les leurres qui jouent sur la rémunération, la santé ou l'emploi, et n'imitez pas une vraie marque sans précaution : le NIST recommande d'associer le service juridique à la conception des scénarios.

6. Une liste blanche étroite

Pour que les e-mails de test arrivent, il faut les déclarer à la messagerie (dans Microsoft 365, la « stratégie de remise avancée »). Les messages déclarés échappent alors aux filtres anti-spam et anti-phishing : limitez la déclaration au domaine et aux adresses IP de la plateforme, pour la durée de la campagne. Une liste blanche trop large est une porte ouverte aux vrais attaquants.

La méthode : une campagne de simulation de phishing en 10 étapes

1. Cadrer : objectifs, périmètre (dirigeants et assistants inclus), base légale, calendrier, interlocuteurs RH et sécurité.
2. Informer la délégation du personnel, puis les salariés, qu'un programme de simulations existe, sans annoncer les dates.
3. Choisir les canaux selon la menace réelle : l'e-mail d'abord, et selon les cas le SMS, le QR code dans un PDF, le faux appel ou le message Teams du « support ».
4. Calibrer la difficulté : nombre d'indices visibles et adéquation du prétexte au quotidien des équipes, les deux critères de la Phish Scale du NIST, gratuite pour un usage académique, dont tout usage commercial requiert une licence du NIST. Varier les niveaux d'une campagne à l'autre.
5. Déclarer la campagne à la messagerie et au SOC, de façon étroite et temporaire.
6. Offrir un bouton de signalement simple, relié à une vraie analyse des messages signalés, avec un retour à la personne qui signale.
7. Ne mesurer que des événements : ouverture, clic, saisie d'identifiants (jamais le mot de passe tapé), signalement.
8. Piloter sur les bons indicateurs : taux de signalement, délai du premier signalement, part des personnes qui cliquent à plusieurs reprises, toujours rapportés à la difficulté du leurre.
9. Restituer collectivement, sans nommer personne. Réservez l'accompagnement individuel au volontariat : dans un essai mené auprès de 4 554 salariés, imposer une formation de rattrapage à ceux qui avaient échoué deux fois n'a apporté aucun bénéfice significatif (Lain et al., ACM CCS 2024).
10. Recommencer et conserver les preuves : campagnes régulières, nouveaux arrivants inclus, rapports archivés pour l'ILR, la CSSF ou l'auditeur ISO 27001.

Comment Luxgap mène votre campagne de simulation de phishing

Notre campagne de simulation de phishing est une campagne par e-mail, clé en main, en quatre étapes (cadrage, lancement, suivi, restitution) :

• un envoi de scénarios d'e-mails réalistes, calibrés à votre secteur et à vos usages internes ;
• jusqu'à 200 collaborateurs par campagne, mise en place en 10 jours environ ; le cas échéant, le lancement attend la fin du délai prévu par l'article L. 261-1 du Code du travail ;
• suivi en temps réel des ouvertures, clics, soumissions d'identifiants et signalements ;
• rapport PDF partageable avec vos auditeurs, recommandations priorisées et débrief de sensibilisation pour les équipes ;
• données traitées en Europe, et aucune campagne lancée sans votre accord écrit sur le périmètre ;
• 850 € HT par campagne, sans abonnement.

Au-delà de 200 collaborateurs, contactez-nous pour un devis sur mesure. Pour former vos dirigeants et vos équipes, voir notre offre de sensibilisation cyber ; pour le volet RGPD (base légale, analyse d'impact, documentation), notre mandat DPO.

Sources officielles et études citées

• Loi du 5 mai 2026 (NIS 2), Mémorial A n° 225 et ILR, mesures de sécurité NIS 2 et modèles
• Règlement d'exécution (UE) 2024/2690, annexe, points 3.3 et 8.1
• Loi du 1er juillet 2024 (DORA), Mémorial A n° 271
• Code du travail, articles L. 261-1, L. 261-2, L. 414-3 et L. 414-9
• CNPD, rapport annuel 2025 ; réponse à la question parlementaire n° 3691 ; observatoire NC3 ; Eurostat, isoc_cisce_ra
• ENISA Threat Landscape 2026 ; Verizon DBIR 2026 ; Microsoft Digital Defense Report 2026
• Ho et al., IEEE S&P 2025 ; Lain et al., IEEE S&P 2022
• NCSC, Phishing attacks: defending your organisation ; NIST SP 800-50 Rev. 1

Voir aussi : Comprendre NIS 2 · Comprendre DORA · Comprendre le RGPD · Commander une campagne de simulation de phishing