Un paiement doit partir. Le service comptable reçoit une demande de changement de coordonnées bancaires et sait qu’il doit la vérifier. Pour suspendre le virement, il lui faut aussi un contact fiable, le droit de différer le paiement et une procédure qui tienne quand la demande est urgente. La formule du « maillon faible » ramène ces conditions à la vigilance d’une seule personne. Les sciences comportementales permettent d’examiner ce qui se passe au moment de décider et de tester ce que l’entreprise peut changer dans son fonctionnement.

Pourquoi une règle connue devient-elle difficile à appliquer ?

Beautement, Sasse et Wonham (2008) ont mené 17 entretiens dans deux entreprises pour comprendre comment les personnes arbitrent entre les exigences de sécurité et leur travail. Ils ont proposé la notion de « budget de conformité » pour rendre compte du coût que les salariés associent à l’application des règles. Les personnes interrogées tenaient compte de ce que la règle protégeait, mais aussi du temps nécessaire pour l’appliquer et de ses effets sur le travail attendu. Quand une mesure perturbe une tâche urgente, le salarié doit arbitrer entre deux exigences de son employeur.

Dans le cas d’un changement de RIB, Cybermalveillance.gouv.fr (2026) recommande de confirmer la demande en appelant le créancier à son numéro habituel. Pour que cette vérification ait lieu, la comptabilité doit pouvoir retrouver les coordonnées déjà enregistrées et savoir qui a le droit de suspendre le paiement. Si les délais de règlement font l’objet d’un suivi serré et qu’aucune procédure ne prévoit cette suspension, la personne qui vérifie doit aussi justifier le retard. Le contrôle devient plus praticable quand le processus de paiement prévoit le temps de confirmer la demande et reconnaît la suspension comme une étape normale.

Hameçonnage : que nous apprennent les formations et les simulations ?

Ho et ses collègues (2025) ont étudié dix campagnes de simulation sur huit mois auprès de plus de 19 500 salariés d’une organisation de santé. Ils n’ont pas trouvé d’association statistiquement significative entre le fait d’avoir suivi récemment la formation annuelle de sensibilisation et le risque d’échec à une simulation. Dans le volet randomisé, l’effet moyen de la formation présentée après une interaction avec un message simulé était très faible en valeur absolue. Le taux de formation suivie documente la participation. Les simulations renseignent sur les actions des salariés dans les situations proposées. Le responsable sécurité a besoin de ces deux informations s’il veut savoir ce que les personnes ont suivi et ce qu’elles ont fait ensuite.

Lain, Kostiainen et Čapkun (2022) ont suivi plus de 14 000 salariés d’une même entreprise pendant quinze mois. Le bouton ajouté à la messagerie a permis de collecter les signalements de messages suspects et de détecter rapidement de nouvelles campagnes. Les auteurs ont jugé le volume de traitement compatible avec le fonctionnement de l’équipe sécurité dans l’organisation étudiée. Le signalement a ici une fonction opérationnelle : un salarié donne à l’équipe sécurité une information qu’elle peut exploiter pour protéger d’autres destinataires.

Il faut aussi savoir ce qu’on compare. La Phish Scale du NIST (Dawkins et Jacobs, 2023) aide à estimer la difficulté de détection d’un message simulé en tenant compte de ses indices et du contexte des destinataires. Une équipe peut obtenir un taux de clic plus élevé sur un exercice dont le sujet correspond davantage à son activité habituelle. Sans tenir compte de la difficulté, le responsable sécurité risque d’attribuer à une baisse de vigilance ce qui relève d’un exercice différent.

Que se passe-t-il après le signalement ?

Un bouton accessible facilite le premier geste. L’organisation doit ensuite savoir qui reçoit l’alerte, qui en évalue la gravité et qui répond à la personne qui l’a envoyée. Un accusé de réception confirme que le signalement est arrivé. Un retour succinct sur la suite donnée, quand elle peut être communiquée, aide le salarié à comprendre ce que l’équipe fait de son alerte et dans quels cas il doit la solliciter de nouveau.

La situation change lorsque la personne a déjà cliqué ou pense avoir commis une erreur. Elle doit alors décrire ce qu’elle a fait, avec le risque d’être jugée. La sécurité psychologique éclaire ce coût interpersonnel. Un manager qui accueille le signalement sans chercher immédiatement un responsable facilite la transmission des faits utiles à l’équipe sécurité. L’examen des causes peut se poursuivre ensuite, à partir de ce que le salarié et les équipes techniques ont pu établir.

Comment appliquer les sciences comportementales à la cybersécurité ?

Le modèle COM-B de Michie, van Stralen et West (2011) aide à formuler des hypothèses sur une pratique précise. Dans le cas d’un changement de RIB, le comptable sait-il où trouver le numéro déjà enregistré ? Peut-il différer le paiement le temps de joindre le fournisseur ? Que lui répond son manager quand la vérification retarde un règlement ? Un exercice est pertinent si la personne ne maîtrise pas la procédure. Si elle dispose déjà de cette compétence, le diagnostic porte sur le fonctionnement de l’outil ou sur la règle d’approbation qui l’empêche d’agir.

Avec le protocole MEET de UNREST, Model consiste ici à reconstituer quelques changements de coordonnées bancaires pour comprendre comment ils sont validés. À l’étape Engineer, le responsable de la sécurité des systèmes d’information (RSSI) et la comptabilité conçoivent un changement adapté au frein observé, par exemple un accès direct au contact de référence depuis le dossier fournisseur. Experiment permet de tester la nouvelle pratique sur un périmètre pilote en suivant les vérifications et les délais de paiement. Si les résultats justifient de l’étendre, Transfer consiste à intégrer la pratique aux procédures et à vérifier qu’elle tient une fois l’appui du pilote retiré.

Le choix de la pratique dépend du moment où l’organisation a besoin d’agir. Avant un paiement, le contrôle sert à confirmer la demande. Après une interaction douteuse, l’alerte permet à l’équipe sécurité de qualifier la situation. À chaque décision correspondent un comportement à observer et une conséquence à suivre.

Décision Pratique à tester Pratique et résultat à suivre
Valider un changement de RIB Avant de valider le changement, le comptable confirme la demande auprès du fournisseur en utilisant un numéro déjà enregistré. Part des demandes vérifiées avant validation. Suivre aussi le délai des paiements légitimes.
Signaler un message douteux Le destinataire utilise le canal interne de signalement dès qu’il repère un message suspect. En exercice, part des messages simulés remis qui sont signalés et délai jusqu’au premier signalement de la campagne. En situation réelle, suivre la qualification des alertes reçues.
Alerter après une interaction La personne qui pense avoir interagi avec un message malveillant prévient l’équipe sécurité et indique ce qu’elle a fait. Sur les cas documentés, délai entre le moment où la personne dit avoir pris conscience du doute et son alerte. Relever si l’équipe a reçu les faits nécessaires pour qualifier la situation.
Traiter un signalement L’équipe sécurité accuse réception, qualifie l’alerte et indique la suite utile au salarié quand elle peut la communiquer. Délai entre réception et qualification. Part des alertes avec accusé de réception et, lorsque c’est possible, retour sur la suite donnée.

Quels indicateurs suivre au-delà du taux de clic ?

Dans la comptabilité, un indicateur comportemental est la part des demandes de changement de RIB vérifiées par le canal prévu avant validation. Le dénominateur comprend toutes les demandes qui relèvent de la procédure, y compris celles qui ont été traitées en urgence. Une case cochée atteste que la vérification a été déclarée. Un échantillon de dossiers permet de contrôler si le contact utilisé était déjà enregistré et si la confirmation a précédé la validation.

Pour le signalement, un exercice permet de mesurer la part des messages simulés remis qui ont été signalés et le temps écoulé entre les premières remises et le premier signalement de la campagne. En situation réelle, le délai entre la première alerte et sa qualification renseigne sur la réponse de l’organisation. Le nombre de messages malveillants effectivement reçus est souvent inconnu. Une hausse du nombre de signalements peut alors traduire une meilleure remontée, un volume de messages suspects plus élevé ou les deux. En rapprochant les alertes de leur qualification, le RSSI voit ce qui arrive à son équipe et ce qu’elle parvient à traiter.

L’évaluation sert aussi à repérer les effets indésirables. Si les vérifications progressent mais que les paiements légitimes prennent plus de temps, le responsable comptable peut rechercher où les dossiers s’accumulent. Une comparaison avec une équipe qui conserve la procédure habituelle, ou un déploiement échelonné, aide à interpréter les écarts. La direction peut décider du déploiement en tenant compte de la fréquence des contrôles et de leurs conséquences sur les délais.

Par quelle décision commencer ?

Le RSSI et le responsable métier peuvent partir d’un incident ou d’une erreur détectée à temps et reconstituer le moment où la personne a dû choisir. Si le comptable avait reconnu le doute mais qu’il ne pouvait pas suspendre le paiement, le premier changement appartient au responsable qui définit les droits de validation. Si les alertes arrivent tôt mais attendent dans une file, l’équipe sécurité a la main sur la qualification. L’accompagnement de UNREST sur le facteur humain en cybersécurité part de ces décisions pour tester une pratique dont les équipes métier et sécurité peuvent suivre les effets.

Questions fréquentes

Qui doit être associé au diagnostic du facteur humain ?

Le RSSI et le responsable du processus métier, avec les personnes qui exécutent le contrôle et celles qui reçoivent les alertes. Une vérification de RIB engage par exemple la comptabilité et les personnes qui administrent le fichier fournisseurs. En observant ensemble un dossier, ils peuvent établir qui dispose du contact, qui peut suspendre l’opération et qui peut la débloquer.

Comment analyser un signalement qui s’avère sans danger ?

Traitez-le comme une alerte de bonne foi et regardez si le doute était raisonnable avec les informations dont disposait le salarié. Si plusieurs personnes signalent un même message interne légitime, le service émetteur peut examiner ce que ses destinataires avaient à leur disposition pour le reconnaître. L’organisation apprend alors quelque chose sur ses propres communications.

Comment choisir entre une formation et une modification de procédure ?

Faites réaliser le contrôle dans les conditions habituelles de travail. Si la personne hésite sur l’action à mener alors qu’elle dispose du temps et des outils, un entraînement ciblé peut l’aider. Si elle connaît l’action mais qu’une étape d’approbation l’empêche de l’exécuter, c’est cette étape que le responsable du processus peut modifier.

Références

Beautement, A., Sasse, M. A., et Wonham, M. (2008). The Compliance Budget: Managing Security Behaviour in Organisations. Proceedings of the 2008 Workshop on New Security Paradigms, 47–58. 10.1145/1595676.1595684.

Cybermalveillance.gouv.fr (2026). Que faire en cas de fraude au virement ou au « faux RIB » ?. Fiche mise à jour le 14 octobre 2026.

Ho, G., Mirian, A., Luo, E., Tong, K., Lee, E., Liu, L., Longhurst, C. A., Dameff, C. J., Savage, S., et Voelker, G. M. (2025). Understanding the Efficacy of Phishing Training in Practice. IEEE Symposium on Security and Privacy, 37–54. 10.1109/SP61157.2025.00076.

Lain, D., Kostiainen, K., et Čapkun, S. (2022). Phishing in Organizations: Findings from a Large-Scale and Long-Term Study. IEEE Symposium on Security and Privacy. 10.1109/SP46214.2022.9833766.

Dawkins, S., et Jacobs, J. (2023). NIST Phish Scale User Guide. NIST Technical Note 2276. 10.6028/NIST.TN.2276.

Michie, S., van Stralen, M. M., et West, R. (2011). The Behaviour Change Wheel: A New Method for Characterising and Designing Behaviour Change Interventions. Implementation Science, 6, 42. 10.1186/1748-5908-6-42.

À propos de l’auteur

Maxime Rabéchault est président-fondateur de UNREST, cabinet de change enablement. Il mobilise les sciences comportementales appliquées pour accompagner la transformation des organisations.