Formation cybersécurité pour les employés : repérer l'hameçonnage, protéger ses comptes et ses appareils, signaler un incident sans attendre

Que saurez-vous faire à la fin de la formation, et que ne couvre-t-elle pas ?

Les attaques que l'on rencontre le plus souvent dans une PME ne demandent aucune prouesse technique. Elles passent par un geste ordinaire : un clic sur un lien, un code transmis au téléphone, un virement fait dans l'urgence, un mot de passe déjà utilisé ailleurs. Cette formation s'adresse à ceux qui font ces gestes chaque jour, c'est-à-dire tout le personnel, et pas seulement à l'informaticien. Elle se déroule sur les messageries, les téléphones et les comptes réels des participants, parce qu'un réflexe appris sur un exemple fictif résiste mal à un vrai message bien imité.

À la fin de la journée, chaque participant sait faire huit choses, vérifiées par un exercice et non par un questionnaire : lire l'adresse réelle d'un expéditeur et d'un lien avant de cliquer ; reconnaître les ressorts d'un message piégé ; refuser de communiquer un code reçu par SMS ou de valider une connexion qu'il n'a pas déclenchée ; ranger ses mots de passe dans un coffre-fort ; activer la double authentification sur sa messagerie ; verrouiller et mettre à jour son téléphone et son ordinateur ; appliquer le contre-appel avant un virement inhabituel ; signaler un incident à la bonne personne, dans les minutes qui suivent.

La formation ne traite pas des décisions qui reviennent à la direction : politique de sauvegarde, attribution des droits d'accès, contrats avec les prestataires, plan de réponse à un incident grave. Ces sujets font l'objet de la formation consacrée à la sécurité des données et aux sauvegardes pour dirigeants. Le choix d'un hébergement ou d'un service en nuage relève d'une autre formation, destinée aux décideurs. Elle ne forme pas non plus d'administrateurs systèmes : pare-feu, supervision et durcissement des serveurs relèvent d'une prestation technique, comme la maintenance et le support de vos outils.

Elle ne prétend pas rendre une entreprise invulnérable. Un salarié formé se fera peut-être tromper un jour par un message très bien construit ; la différence tient à ce qu'il fait ensuite. Celui qui prévient dans les dix minutes laisse une chance de bloquer un virement, de couper une session ou de changer un mot de passe avant que le dégât ne s'étende. C'est pourquoi chaque séquence de la journée se termine par la même question, posée à voix haute : à qui le dire, et comment ?

Que disent ces chiffres pour une entreprise de dix ou de cinquante personnes ?

Les trois premières menaces relevées par Cybermalveillance.gouv.fr pour les entreprises et associations ont un point commun : elles passent par une personne. Un compte est piraté parce qu'un mot de passe a été saisi sur une fausse page ou réutilisé ailleurs ; un hameçonnage réussit parce qu'un message a été cru ; une fraude au virement aboutit parce qu'une demande pressante n'a pas été vérifiée. Un antivirus ou un filtre de messagerie écarte une partie de ces tentatives, jamais toutes. Le dernier filtre reste la personne qui lit le message, et c'est elle que la formation équipe.

Les sources africaines vont dans le même sens. La page « En entreprise » de l'ANSSI de Côte d'Ivoire range parmi les menaces la compromission des boîtes mail, l'usurpation d'identité professionnelle et les escroqueries par fausses factures ou changement d'IBAN, et fait de la formation des équipes une priorité, avec des sessions régulières, des mises en situation et des tests d'hameçonnage. INTERPOL observe, dans son rapport 2026, que les escroqueries sentimentales et la compromission de messagerie professionnelle prospèrent en Afrique de l'Ouest.

Pour une petite structure, la conséquence est pratique : la dépense la plus utile n'est pas toujours un nouvel outil, mais une journée où chacun active ce qu'il possède déjà. La double authentification est souvent incluse dans la messagerie, les mises à jour sont gratuites, un coffre-fort de mots de passe peut ne rien coûter. Ce qui manque, en général, c'est le temps de le faire ensemble, avec quelqu'un qui répond aux questions au moment où elles se posent.

À quoi ressemble un hameçonnage aujourd'hui, et pourquoi les anciens conseils ne suffisent plus ?

On a longtemps appris à repérer les fautes d'orthographe et les logos flous. Ces indices s'effacent : les textes produits par l'intelligence artificielle sont propres, les pages imitées copient les vraies, et les données volées lors de fuites précédentes permettent de citer votre nom, votre fonction ou votre dernière commande. Le rapport 2026 d'INTERPOL sur l'Afrique note que des contenus truqués générés par IA accompagnent déjà la sextorsion et le harcèlement en ligne. La formation déplace donc l'attention de la forme du message vers ce qu'il demande.

Quatre demandes suffisent à déclencher l'alerte, quel que soit le canal : saisir un identifiant après avoir cliqué sur un lien, communiquer un code reçu par SMS, installer un logiciel ou une application, payer ou modifier des coordonnées bancaires. Aucune n'est forcément frauduleuse, mais chacune justifie une vérification par un autre chemin : retaper soi-même l'adresse du site, rappeler sur un numéro déjà connu, poser la question à un collègue. Cybermalveillance.gouv.fr le rappelle dans sa fiche sur les mots de passe : aucune organisation sérieuse ne vous demandera de lui communiquer le vôtre.

Les canaux changent aussi. En Afrique de l'Ouest, une grande partie des échanges professionnels passe par WhatsApp et par le téléphone, et les attaques suivent : message d'un collègue dont le compte a été volé, code de vérification « envoyé par erreur » qu'on vous prie de renvoyer, faux agent de transfert d'argent, faux recruteur. Les participants travaillent ces variantes autant que le courriel classique, à partir des exemples qu'ils ont eux-mêmes reçus, et apprennent à activer la vérification en deux étapes de WhatsApp.

Dernier changement, l'attaque vise parfois la double authentification elle-même. Une fausse page peut demander le code à usage unique en même temps que le mot de passe, puis le rejouer aussitôt sur le vrai site ; une rafale de demandes de validation peut pousser un salarié excédé à appuyer sur « oui ». D'où deux réflexes travaillés en séance : ne jamais saisir un code sur une page atteinte par un lien reçu, et refuser toute demande de connexion que l'on n'a pas déclenchée soi-même, puis le signaler.

Que nous apprennent British Airways et Maersk sur les gestes des salariés ?

L'histoire de British Airways commence par un identifiant. Selon l'avis de sanction de l'autorité britannique de protection des données (ICO), daté du 16 octobre 2020, l'attaquant s'est connecté en 2018 à une passerelle d'accès à distance avec l'identifiant et le mot de passe d'un employé de Swissport, prestataire de fret de la compagnie. Ce compte n'était pas protégé par une authentification à plusieurs facteurs. Un mot de passe seul a suffi à ouvrir la porte. C'est la raison pour laquelle la double authentification occupe une heure entière de la formation.

Chez Maersk, tout part d'une demande banale. D'après l'enquête publiée par Wired le 21 août 2018, un responsable financier du bureau d'Odessa avait demandé l'installation d'un logiciel de comptabilité ukrainien, M.E.Doc, sur un seul ordinateur ; c'est par ce logiciel que NotPetya est entré en juin 2017. La reprise n'a été possible que grâce à un serveur resté hors ligne au Ghana après une coupure de courant. Pour un salarié, la leçon est concrète : un logiciel installé hors du circuit prévu engage toute l'entreprise.

Ces deux histoires ne disent pas que les salariés sont fautifs. Elles montrent que les attaques empruntent les chemins de tous les jours, un accès de prestataire, un logiciel métier, et que les protections décidées sur le papier ne servent que si elles sont appliquées compte par compte. La formation fait le lien entre les deux : chaque participant voit, sur ses propres comptes, la mesure qui aurait fermé la porte.

Un fonds de formation peut-il prendre en charge cette journée ?

Peut-être, et c'est au fonds de le dire. En Côte d'Ivoire, la page du FDFP consacrée au plan de formation, lue le 5 octobre 2026, réserve le dépôt d'un plan aux entreprises qui justifient du paiement régulier des deux taxes, et précise que le règlement n'intervient qu'après le suivi et le contrôle du fonds, puis l'approbation de sa commission permanente. Au Bénin, le FODEFCA fonctionne selon les statuts approuvés par le décret n° 2022-286 du 11 mai 2022 : demandez-lui directement les conditions qui s'appliquent à votre entreprise.

Au Sénégal, le 3FPT ouvre un guichet consacré au personnel des entreprises et aux membres des organisations professionnelles, avec une demande déposée en ligne ; un groupement de PME qui organise une session commune peut y regarder. En France, France Compétences indique que, depuis le 1er janvier 2022, un prestataire doit être certifié Qualiopi pour accéder aux fonds publics ou mutualisés, dont ceux des OPCO.

Richard SALANON n'affiche ni certification Qualiopi ni agrément d'un fonds de formation, et ne promet aucune prise en charge. Si le financement conditionne votre décision, envoyez au fonds le programme et le devis, attendez sa réponse écrite, et prévoyez le budget sans aide. Le programme, les feuilles de présence et le bilan des exercices remis en fin de session restent utiles dans tous les cas.

Que change le contexte en Afrique de l'Ouest : appareils, lois et interlocuteurs ?

Dans beaucoup d'entreprises, le téléphone personnel sert aussi au travail, les comptes WhatsApp portent la relation client, et une partie des connexions passe par des cybercafés ou des réseaux Wi-Fi partagés. La formation part de ces usages au lieu de les ignorer : séparation des usages quand elle est possible, verrouillage et mises à jour du téléphone dans tous les cas, déconnexion systématique sur un poste public. Elle tient compte aussi d'une connexion parfois lente : les activations se préparent hors ligne, et les supports s'impriment.

Au Bénin, la loi n° 2017-20 portant code du numérique impose au responsable du traitement, à son article 426, des mesures techniques et d'organisation appropriées pour protéger les données personnelles contre la perte, l'altération, la diffusion ou l'accès non autorisés ; l'article 425 réserve le traitement aux personnes qui agissent sous son autorité et sur ses instructions. Former les salariés qui manipulent ces données fait partie de ces mesures d'organisation.

Les interlocuteurs béninois ont changé. Le conseil des ministres du 1er juin 2022 a fusionné quatre agences, dont l'ANSSI, dans l'Agence des systèmes d'information et du numérique (ASIN), selon la SRTB. Le bjCSIRT, hébergé par l'ASIN, publie des alertes et reçoit les déclarations d'incidents des institutions publiques et des opérateurs d'infrastructures critiques. Pour une escroquerie subie par une entreprise ou un particulier, les plaintes sont enregistrées dans les commissariats d'arrondissement et à l'Office central de répression de la cybercriminalité (OCRC), rappelait Enabel en mars 2023.

En Côte d'Ivoire, l'ANSSI, instituée par le décret n° 2024-958 du 30 octobre 2024, regroupe des responsabilités jusque-là réparties entre l'ARTCI et le CI-CERT ; ce dernier figure désormais dans son organisation et assure la réponse aux incidents. Elle publie des bulletins sur les campagnes d'hameçonnage visant le pays et les arnaques au Mobile Money, et décrit la conduite à tenir en cas d'incident. La PLCC mettait en garde, en novembre 2025, selon l'Agence ivoirienne de presse, contre l'usurpation d'identité en ligne, punie par la loi n° 2013-451 du 19 juin 2013 relative à la lutte contre la cybercriminalité.

Au Sénégal, la Direction générale du Chiffre et de la Sécurité des Systèmes d'information (DCSSI), rattachée à la Présidence, coordonne la détection, l'alerte et la réponse aux cyberattaques, apporte son assistance aux administrations et aux entreprises, et diffuse des bulletins d'alerte et des conseils pratiques. La formation indique à chaque participant les bons interlocuteurs de son pays, et les inscrit sur la fiche réflexe remise en fin de journée.

Et pour une entreprise installée en Europe ?

En Europe, le RGPD encadre les violations de données personnelles : la CNIL attend la notification d'une violation de données présentant un risque pour les personnes dans les meilleurs délais, si possible sous 72 heures après sa découverte. Ce délai ne tient que si le salarié qui a envoyé un fichier au mauvais destinataire, ou qui a perdu un ordinateur, le signale sans attendre. La CNIL indique que la moitié des 6 167 violations notifiées en 2025 relevaient d'un piratage, et annonce pour 2026 la moitié de ses contrôles consacrée à la sécurité des données.

Les salariés en France disposent de ressources publiques gratuites que la formation présente : les fiches réflexes et les modules SensCyber de Cybermalveillance.gouv.fr, le diagnostic en ligne 17Cyber, le 33700 pour signaler un SMS frauduleux, Signal Spam pour un courriel et Phishing Initiative pour un site d'hameçonnage. En Belgique, en Suisse ou au Canada, les équivalents nationaux sont indiqués au moment de préparer la session.

Pourquoi suivre cette formation avec Richard SALANON ?

Richard SALANON est consultant en digitalisation et développeur logiciel, basé à Cotonou, au Bénin. Il crée des sites, des applications web et mobiles, des automatisations et des intégrations d'intelligence artificielle, déploie Odoo et Dolibarr, et forme les équipes à ces outils, pour des entreprises d'Afrique francophone, d'Europe et du Canada.

La sécurité des comptes n'est pas pour lui un sujet théorique. Les sites, applications et ERP qu'il construit et maintient vivent de comptes utilisateurs, de droits d'accès, de mises à jour et de messageries professionnelles ; il voit donc de près ce qu'un mot de passe réutilisé ou une double authentification absente peut coûter à un client. Il a aussi créé Wapy, un assistant WhatsApp à intelligence artificielle, ce qui l'amène à connaître les usages de WhatsApp en entreprise et les détournements qui les visent.

Fort de 6 ans d'expérience dans le numérique, formé à EPITECH (2022) et co-fondateur d'Audyxa, il déclare avoir formé plus de 200 personnes au numérique, à l'IA, à l'automatisation et aux ERP, et a travaillé dans 14 pays, du Bénin à la Côte d'Ivoire, du Sénégal au Gabon, de la France au Canada. Son parcours est présenté sur la page Richard SALANON, les pays servis sur la page zones d'intervention.

Il n'est ni auditeur certifié ni prestataire qualifié par une agence nationale de cybersécurité, et le dit avant toute signature : cette journée apprend des réflexes, elle ne remplace pas un audit. Ses engagements sont vérifiables : réponse sous 24 heures, programme écrit avant la session, exercices sur vos appareils et vos outils, aucun mot de passe vu, supports qui restent à l'entreprise. Les autres formations du domaine figurent sur la page formations cybersécurité et IT, l'ensemble du catalogue sur la page formations.