Rapport de référence 2025 sur la simulation de phishing

avant-propos

Points clés à retenir

Benchmarks globaux

Tendances des risques par zone géographique

Performances par niveau de langue

Tendances selon la taille de l’entreprise

Modèles sectoriels

Annexe

Il y a quinze ans, le phishing était relativement simple. Les cybercriminels copiaient des pages de connexion légitimes, les hébergeaient sur des sites web compromis ou des domaines très similaires à des domaines légitimes, puis envoyaient en masse des e-mails falsifiés à un grand nombre de victimes dans l’espoir de dérober des noms d’utilisateur et des mots de passe. En réponse, les grandes banques, les fournisseurs de services de paiement et les services de messagerie web ont développé la norme DMARC, conçue pour empêcher l’usurpation d’adresse e-mail de domaine exact lorsqu’elle est correctement mise en œuvre.

Les cybercriminels se sont rapidement adaptés. Plutôt que d’usurper directement des domaines légitimes, ils ont commencé à utiliser des comptes de messagerie gratuits et des domaines similaires récemment enregistrés, s’appuyant sur des noms d’affichage et des adresses visuellement proches pour tromper les utilisateurs.

Les navigateurs ont introduit des avertissements en temps réel pour les sites de phishing connus, mais ces protections étaient intrinsèquement réactives. Les premières victimes d’une nouvelle campagne de phishing bénéficiaient de peu de protection avant qu’un site ne soit identifié et placé sur liste de blocage. Les fournisseurs de sécurité des e-mails ont répondu par la réécriture d’URL et l’analyse au moment du clic, tandis que les entreprises ont déployé des passerelles web sécurisées pour mieux protéger les utilisateurs en interne.

Les opérateurs de phishing se sont de nouveau adaptés. Les campagnes de phishing par code QR se sont révélées particulièrement efficaces, car elles détournaient les victimes des appareils professionnels renforcés vers leurs smartphones personnels, où les contrôles de sécurité de l’entreprise étaient souvent absents ou considérablement plus faibles.

L’adoption généralisée de l’authentification multifactorielle (MFA) devait réduire considérablement le risque de phishing. Au lieu de cela, les attaquants ont une fois de plus fait évoluer leurs techniques.

Certains groupes se sont concentrés sur les attaques de SIM-swapping, convainquant les opérateurs mobiles de transférer le numéro de téléphone d’une victime vers un appareil sous le contrôle de l’attaquant. Une fois les identifiants dérobés, les codes SMS interceptés constituaient la dernière étape nécessaire pour accéder aux comptes.

Certains attaquants ont eu recours à l’ingénierie sociale. Dans un scénario courant, les attaquants obtenaient d’abord le nom d’utilisateur et le mot de passe d’une victime, puis déclenchaient une demande d’authentification multifacteur sur le service légitime. La victime recevait un appel téléphonique automatisé prétendant provenir de sa banque et l’avertissant d’une activité suspecte. L’appelant demandait ensuite à la victime de saisir le code de vérification récemment reçu, remettant ainsi sans le savoir le jeton d’authentification multifacteur à l’attaquant en temps réel.

Des méthodes plus sophistiquées sur le plan technique ont rapidement suivi. Les frameworks de phishing de type « adversary-in-the-middle » ont commencé à relayer l’intégralité des sessions de connexion, transmettant directement les frappes au clavier, les données de session et les défis d’authentification aux services légitimes. Ces attaques se sont avérées particulièrement efficaces contre les environnements d’entreprise dotés de portails de connexion personnalisés, car les victimes voyaient exactement le flux d’authentification auquel elles s’attendaient. D’autres groupes se sont plutôt tournés vers le détournement de session, le vol de jetons et la compromission au niveau des appareils, contournant ainsi totalement le vol traditionnel d’identifiants.

Cependant, l’évolution la plus significative a peut-être été l’essor du Phishing-as-a-Service (PaaS). Ces plateformes fournissent des modèles de phishing prêts à l’emploi, une infrastructure de diffusion résiliente et des kits de phishing modernes capables de contourner le MFA grâce à diverses techniques éprouvées. Par conséquent, les opérations de phishing sophistiquées ne nécessitent plus d’expertise technique approfondie. Beaucoup d’entre elles peuvent désormais être lancées avec un minimum de compétences, à faible coût et en seulement quelques clics.

L’écosystème moderne du phishing n’est plus défini par des arnaques isolées, mais par des plateformes criminelles en constante évolution qui s’adaptent en permanence aux améliorations défensives. Les tendances abordées dans cet article démontrent comment le phishing est devenu une industrie évolutive et axée sur les services. Compte tenu de cette évolution, il est impératif de se concentrer sur la formation de la composante humaine de cette équation. Atténuer le risque humain grâce à la sensibilisation est un facteur clé pour protéger les écosystèmes des entreprises.

John Wilson
Chercheur principal en recherche sur les menaces, Fortra

Les résultats des évaluations comparatives doivent mener à des actions ciblées, et non à un simple suivi annuel des scores.

La principale valeur du rapport ne réside pas dans un taux unique et global ; elle réside dans les tendances montrant où les utilisateurs signalent, cliquent, remplissent des formulaires et ouvrent des pièces jointes selon les segments.

Image

Figure 1. Échelle globale de référence et principaux taux de réponse. 

Ces chiffres posent les bases du reste de ce rapport, reflétant 14 millions de destinataires de simulations sur plus de 7 500 campagnes. À cette échelle, nous pouvons clairement établir la pertinence des indicateurs présentés dans la suite de ce rapport. 

Comprendre les benchmarks

Un taux de signalement de 10,5 % n’a rien de réjouissant. Cela signifie que neuf tentatives de phishing sur dix ne sont pas signalées. Il ne faut pas sous-estimer l’importance du signalement des e-mails de phishing pour les équipes de sécurité internes. Un seul signalement peut faire la différence pour déterminer si une campagne de phishing réussit ou non. Cette seule statistique devrait suffire à prouver qu’une formation accrue est nécessaire.

Ce rapport détaille les zones géographiques, les langues, les tailles d’entreprises et les secteurs d’activité où ce type de formation est la plus nécessaire. Il est facile de supposer qu’un taux de clic de 5,42 % ou un taux d’envoi de mots de passe de 1,99 % est raisonnable car ils sont faibles. Traduire ces pourcentages apparemment faibles en chiffres bruts révèle l’ampleur de la menace. Plus de 750 000 personnes ont cliqué sur des simulations de phishing, et plus de 250 000 personnes ont communiqué leur mot de passe.

Image

Figure 2. Comparaison régionale des taux de clics, de remplissage de formulaires, d’ouverture de pièces jointes et de signalement. Consultez l’annexe I - tableau 1 

Les données régionales offrent un aperçu intéressant des comportements des utilisateurs selon les zones géographiques lors des simulations de phishing. 

Il existe une distinction importante entre l’Amérique du Nord, l’Europe et l’Asie et l’Afrique, l’Amérique du Sud et le Moyen-Orient. Ces dernières régions affichent notamment des taux de signalement particulièrement faibles en comparaison, et le Moyen-Orient enregistre le pire taux de signalement de phishing parmi les six régions. Cependant, le Moyen-Orient présente le taux de fuite d’identifiants le plus faible, c’est-à-dire de remplissage de formulaires. L’Amérique du Nord arrive en tête avec les meilleurs taux de signalement, suivie de près par l’Europe et l’Asie. L’Europe présente un taux similaire pour le remplissage de formulaires et l’ouverture de pièces jointes. L’Amérique du Sud présente une tendance très intéressante où les taux (sur la base de cette disposition des données) diminuent de gauche à droite, les liens cliqués affichant le taux le plus élevé, suivis du remplissage de formulaires, puis de l’ouverture de pièces jointes, et enfin du signalement, qui enregistre le taux le plus faible des quatre.

Dans tous les cas, chaque région affichait des taux de remplissage de formulaires plus élevés que d’ouverture de pièces jointes. L’ouverture de pièces jointes malveillantes peut avoir des effets très néfastes sur l’infrastructure d’une organisation en raison du risque de propagation d’un virus ou d’un ransomware. Cependant, on peut soutenir que l’envoi d’identifiants tels que des noms d’utilisateur et des mots de passe lors du remplissage de formulaires est tout aussi préjudiciable.

Informations essentielles

Ces données suggèrent que davantage d’efforts sont nécessaires, quelle que soit la région, pour former les utilisateurs à identifier les pièces jointes potentiellement malveillantes et les attaques visant à collecter des identifiants.

Image

Image 3. Taux de réponse des dix plus grands groupes de codes de langue ISO par nombre de destinataires actifs. Voir l’annexe I - tableau 2

Les données de performance par langue montrent une tendance différente de celle des données sur les risques par secteur géographique. Seuls trois groupes linguistiques sur dix affichent des taux de signalement supérieurs à ceux des liens cliqués, des formulaires remplis et de l’ouverture de pièces jointes. À l’inverse, trois groupes sur six présentaient la même tendance dans les données géographiques. L’ENGB présente le même schéma que l’Amérique du Sud dans les données géographiques, avec des taux de clics supérieurs à tous les autres taux, suivis par les formulaires remplis, puis l’ouverture de pièces jointes, et enfin le signalement, qui représente le taux le plus faible pour ENGB. Le FR-FR affiche le taux de signalement le plus élevé, soit environ le double de celui de l’anglais, classé deuxième. Le FR-FR présente un taux presque égal de remplissage de formulaires et d’ouverture de pièces jointes, tout comme la tendance observée pour l’Europe dans les données géographiques de la Figure 2.

La comparaison des taux entre le FR-FR et le FR-CA est particulièrement intéressante. Les tendances sont différentes. Le FR-CA présente un taux de signalement inférieur à son taux de clics, à l’inverse du FR-FR. Le FR-CA présente un taux d’ouverture de pièces jointes inférieur à celui des envois de formulaires, ce qui est, une fois encore, différent du FR-FR. Les différences de tendances entre l’ES-419 et l’ES-ES sont également intéressantes, à l’instar des comparaisons pour le français. L’ES-419 présente un meilleur taux de signalement que l’ES-ES. Les deux présentent des taux de clics plus élevés que l’envoi de formulaires et l’ouverture de pièces jointes, mais cela est vrai pour toutes les langues de la Figure 3.

Informations essentielles

Ces données suggèrent qu’en moyenne, les utilisateurs sont plus susceptibles d’être victimes d’attaques de phishing basées sur l’envoi de formulaires que de phishing par pièce jointe. Les données indiquent également que les taux de clics sont en moyenne plus fréquents que le signalement de phishing dans la plupart des langues au sein de ce groupe.

Image

Figure 4. Taux de clics, de remplissage de formulaires, d’ouverture de pièces jointes et de signalement selon la taille de l’entreprise. Consultez l’annexe I - tableau 3 

En examinant les chiffres des simulations de phishing par taille d’entreprise, plusieurs conclusions s’imposent. Selon Innovation, Sciences et Développement économique Canada, les entreprises sont définies comme suit :

Bien que les entreprises de 2 500 à 4 999 salariés constituent une exception, les structures les plus exposées aux risques semblent être les petites et moyennes entreprises. Non seulement elles affichent des taux de clics et d’envoi de mots de passe plus élevés, mais elles enregistrent également les taux de signalement les plus faibles. La disparité en matière de signalement entre les grandes et les petites entreprises peut s’expliquer par une différence de ressources. Selon le rapport 2025 Training Industry Report de Training Magazine, les budgets alloués à la formation varient considérablement en fonction de la taille de l’entreprise :

Il est intéressant de noter que les plus grandes entreprises, comptant plus de 10 000 employés, sont les plus susceptibles d’ouvrir des pièces jointes dans des e-mails de phishing. Ces employés ont-ils été formés à ouvrir plus librement des pièces jointes en raison de la nature de leur travail ?

Image

Figure 5. Leaders du secteur selon les taux de clics, de remplissage de formulaires, de signalement et d’ouverture de pièces jointes. Consultez l’annexe I - tableau 4 

Les données présentées ici constituent une lueur d’espoir d’un côté, et une perte de confiance de l’autre. Du côté positif, près de 31 % des salariés des banques et 25 % des employés du secteur de la défense ont signalé des tentatives de phishing. Ce chiffre est nettement supérieur à la moyenne de 10,5 % enregistrée tous secteurs confondus, et s’avère significatif compte tenu de l’importance de ces secteurs.

Des statistiques alarmantes proviennent des secteurs des jeux vidéo et de l’assurance. Plus de 16 % des employés du secteur des jeux vidéo étaient prêts à saisir leurs mots de passe sur des pages de phishing. Ce chiffre est presque aussi alarmant que celui de plus de 12 % des employés du secteur de l’assurance qui ouvrent des pièces jointes.

Informations essentielles

Bien que les taux de clics soient préoccupants, les conséquences potentielles de la saisie de votre mot de passe ou de l’ouverture d’une pièce jointe sont considérablement plus graves. Il est impératif que les employés prêtent attention à ces menaces. Les secteurs mentionnés ci-dessus auraient tout intérêt à revoir leurs formations et leurs contrôles s’ils espèrent s’améliorer l’année prochaine.