Le phishing reste la principale porte d’entrée des cyberattaques visant les PME suisses, et aucune formation, aussi rigoureuse soit-elle, ne peut ramener ce risque à zéro. Chez Bien-Assuré, nous recommandons de combiner sensibilisation des équipes et assurance cyber pour couvrir la faille qui subsiste toujours : l’erreur humaine. Cette double approche protège vos collaborateurs et la pérennité financière de votre entreprise.
Un e-mail semblant provenir de votre banque, une facture de fournisseur légèrement modifiée, un message urgent signé par votre direction : il suffit d’un clic pour qu’une PME suisse bascule dans la crise. Le phishing est devenu la technique d’attaque la plus utilisée contre les entreprises, quelle que soit leur taille. En 2024, l’OFCS a recensé plus de 975 000 messages de phishing, contre moins de 500 000 en 2023. La sensibilisation des collaborateurs reste indispensable, mais elle ne couvre qu’une partie du problème : il faut aussi anticiper l’après, lorsque l’attaque a malgré tout réussi.
Pourquoi le phishing demeure la principale porte d’entrée des cyberattaques
Le phishing consiste à usurper l’identité d’un tiers de confiance – banque, administration, fournisseur, collègue – pour inciter la victime à cliquer sur un lien piégé ou à valider un paiement frauduleux. Cette technique a évolué : le simple e-mail générique a cédé la place au spear phishing ciblé, à la fraude au président et à l’usurpation de fournisseurs, des scénarios construits sur une connaissance fine de l’organisation visée.
Les chiffres du Centre national pour la cybersécurité (NCSC) confirment cette tendance. Avec 6 643 signalements de phishing au premier semestre 2024, le nombre a augmenté d’environ 2 800 cas par rapport à la même période l’année précédente, et le mouvement s’est poursuivi sur l’ensemble de l’exercice, avec un total de 62 954 signalements reçus en 2024. Les PME sont des cibles de choix : ressources informatiques limitées, maturité cyber plus faible, recours fréquent à des sous-traitants qui multiplient les points d’entrée. Une étude de la Mobilière montre que seules 31% des PME organisent régulièrement des formations de sensibilisation à la cybersécurité, un chiffre qui traduit le retard de préparation de nombreuses structures.
Des techniques toujours plus sophistiquées
L’intelligence artificielle générative a changé la donne : elle permet de rédiger des e-mails frauduleux quasi parfaits, sans les fautes qui trahissaient autrefois les tentatives de phishing. Les cybercriminels utilisent aussi des imitations abouties de sites bancaires ou administratifs suisses, ainsi que des usurpations de grandes entreprises ou de fausses notifications de livraison. La vigilance individuelle devient de plus en plus difficile à maintenir dans la durée.
Ce que couvre (et ne couvre pas) la formation de vos équipes
La formation phishing entreprise reste un pilier de toute stratégie de cybersécurité. Elle permet à vos collaborateurs de reconnaître les signaux d’alerte : adresse d’expéditeur modifiée, urgence artificielle, demande inhabituelle de virement. Les campagnes de simulation d’e-mails frauduleux, associées à des procédures claires de signalement interne, aident à réduire progressivement le taux de clic sur ce type de message.
Mais cette approche connaît des limites structurelles :
- L’erreur humaine reste incompressible : fatigue, urgence ou arrivée de nouveaux employés non encore formés augmentent le risque.
- Les attaques ciblées et personnalisées sont difficiles à détecter même pour un collaborateur aguerri.
- Une formation ponctuelle s’use avec le temps face à des méthodes d’attaque en évolution constante.
- Un seul clic malheureux suffit : la formation réduit le risque, elle ne l’annule jamais complètement.
Chez Bien-Assuré, nous considérons la formation comme nécessaire, mais non suffisante. C’est cette zone de risque résiduel qui doit être couverte par une solution complémentaire.
Quand la prévention ne suffit plus : les conséquences concrètes pour une PME
Lorsqu’une attaque de phishing aboutit, les conséquences dépassent le cadre informatique. On distingue les impacts directs – perte financière immédiate, vol de données clients ou fournisseurs, interruption d’activité – et les impacts indirects, souvent plus durables, comme l’atteinte à la réputation ou la perte de confiance des partenaires.
Sur le plan légal, la nouvelle loi sur la protection des données (nLPD), entrée en vigueur en septembre 2023, renforce les obligations des entreprises suisses en cas de fuite de données : les violations de la sécurité des données doivent être annoncées dans les meilleurs délais au PFPDT, le préposé fédéral à la protection des données. Le non-respect de cette obligation peut exposer l’entreprise à des sanctions, en plus des conséquences opérationnelles de l’incident lui-même.
Cette dimension légale a une conséquence directe : si des données de clients ou de partenaires sont compromises à la suite d’un phishing réussi, votre société peut voir sa responsabilité engagée envers ces tiers. C’est là que le lien avec votre responsabilité civile professionnelle prend tout son sens : une cyberattaque n’est plus seulement un problème technique interne, elle peut se transformer en litige aux conséquences financières bien réelles.
L’assurance cyber : le complément indispensable à la formation
L’assurance cyber entreprise agit comme un filet de sécurité financier au moment où la prévention humaine a échoué. Elle ne remplace pas la formation, elle la complète : là où la sensibilisation réduit la fréquence des incidents, l’assurance en limite les conséquences financières.
Une police cyber bien construite peut prendre en charge :
- Les frais de gestion de crise et d’intervention d’experts en cybersécurité.
- La restauration des systèmes et des données compromises.
- Les frais de notification des victimes en cas de fuite de données.
- Les pertes d’exploitation liées à l’interruption d’activité.
- L’assistance juridique en cas de mise en cause par des tiers.
Cette couverture s’articule avec la protection de votre matériel informatique, qui intervient sur le volet physique des dommages, pour une gestion globale de vos risques numériques et matériels. Chez Bien-Assuré, notre expertise nous permet de réaliser un diagnostic personnalisé du risque cyber selon votre métier, la taille de votre structure et votre exposition numérique.
Comment choisir une couverture adaptée à votre activité
Le choix d’une assurance cyber pertinente repose sur quelques critères :
- Le volume et la sensibilité des données traitées (clients, salariés, fournisseurs).
- Le niveau de dépendance de votre activité aux outils numériques et systèmes d’information.
- Votre exposition aux paiements électroniques et transactions bancaires en ligne.
Nous recommandons un accompagnement personnalisé plutôt qu’une solution standardisée : chaque secteur présente un profil de risque différent. Pour approfondir vos obligations en matière de cybersécurité, vous pouvez consulter les publications officielles sur le sujet, qui détaillent l’évolution des menaces et les bonnes pratiques à adopter.
