Phishing Initiative

Le projet naît d'un constat simple : les campagnes de phishing de masse envoyent des milliards de faux emails chaque année, et les défenses les plus efficaces restent des humains formés. Phishing Initiative agit sur ce maillon en transformant l'erreur en apprentissage. Son catalogue, publié sur son site, reprend les arnaques les plus répandées en France : faux avis de facture, faux code de déverrouillage, faux message de banque, faux courriel administratif. Chaque scénario est testé sur un panel volontaire avant d'être diffusé, et les résultats anonymisés alimentent un comparatif public des taux d'ouverture et de clic, souvent compris entre 10 % et 40 % selon la cible.

La méthode repose sur trois gestes : simuler l'attaque, mesurer la réaction, corriger le comportement. Le collectif se distingue aussi par sa publication des données brutes, rare dans un espace où les prestataires commerciaux gardent leurs indicateurs confidentiels. Il collabore régulièrement avec des associations de consommateurs, des directions de la communication d'administrations publiques et des plateformes comme HackerOne et les communautes de défense, où les rapports sont discutés, contestés et réutilisés. Cette ouverture en fait une référence citée dans les guides internes de nombreuses organisations européennes.

Un collectif né en 2016 pour rendre les emails piégés inoffensifs

Le collectif a pris sa forme actuelle en 2016, après un premier projet expérimental lancé en 2014 qui a mesuré un taux de clic de 45 % sur un échantillon de 300 volontaires. Ce chiffre, publié sans détour, a fixé la ligne éditoriale de Phishing Initiative : montrer les ordres de grandeur réels, sans adoucissement. Le nom de domaine .fr a été enregistré la même année, ce qui ancre le projet dans le marché francophone et simplifie la diffusion des campagnes en français, langue dans laquelle les taux d'erreur restent parmi les plus élevés d'Europe, en raison notamment de la traduction tardive de certaines alertes officielles.

La gouvernance du collectif reste volontaire : aucun financement publicitaire, aucune revente de données, et un conseil de 5 référents qui valide chaque rapport avant publication. Ce choix explique une cadence modérée, de l'ordre de 2 à 3 campagnes par trimestre, mais une traçabilité complète, chaque jeu de données étant horodaté et archivé.

Comment fonctionne une campagne de simulation

Une campagne suit 4 étapes, de la conception à la correction, et chaque étape produit une mesure que le collectif publie.

1. Concevoir un email crédible, en s'appuyant sur les modèles réellement interceptés pendant l'année précédente, avec les 3 éléments déclencheurs du doute : urgence, lien suspect, expéditeur inconnu.
2. Envoi à un panel volontaire de 200 à 500 destinataires, avec un horodatage précis de chaque ouverture et de chaque clic.
3. Score individuel immédiat, noté sur 100, calculé d'après les ouvertures, les clics, les saisies de données et la rapidité du signalement.
4. Correction ciblée : le destinataire reçoit en moins de 24 h le scénario complet, les indices à retenir et un rappel des 5 réflexes de base.

Le taux de clic moyen constaté sur ces campagnes s'établit autour de 20 % la première année, puis tombe sous 10 % après 3 campagnes successives, un résultat cohérent avec les méta-analyses publiées par les laboratoires universitaires qui suivent le projet.

Le phishing de masse et la place des collectifs

Le phishing de masse envoie des milliers de courriers identiques sans ciblage, avec un coût marginal proche de zéro et un taux de conversion faible, souvent inférieur à 1 %, compensé par le volume. Les collectifs comme Phishing Initiative documentent cette menace en publiant les campagnes les plus virales de l'année, leur volume estimé et les secteurs attaqués. Leurs rapports distinguent trois familles d'acteurs : les fraudeurs opportunistes, les groupes criminels organisés et les acteurs étatiques, ces derniers opérant des campagnes ciblées de spear phishing qui échappent aux statistiques de masse mais représentent la part la plus dangereuse des intrusions.

Ce tableau, construit à partir des publications du collectif et des bases de données open source de 2023 à 2025, montre pourquoi la sensibilisation doit couvrir les 3 niveaux : la masse produit le bruit, le ciblage produit la pénétration.

Un kit pédagogique libre de droit

Le kit pédagogique est disponible en téléchargement libre, sous licence libre, et s'adresse aux formateurs qui veulent reproduire les campagnes sans dépendre d'un outil commercial. Il contient 40 scénarios d'emails prêts à envoyer, un tableau de bord d'analyse, et un référentiel de 30 questions de contrôle, soit un total de 170 éléments réutilisables. Chaque scénario est classé par difficulté, du niveau 1 (email grossier, facile à détecter) au niveau 4 (email personnalisé avec un prétexte plausible). Le kit est traduit en 6 langues, dont le français et l'anglais, ce qui facilite son usage dans les organisations multilingues.

Les limites reconnues par le collectif

Phishing Initiative publie aussi ses limites, ce qui renforce la crédibilité de ses résultats. La première concerne le biais des volontaires : les participants acceptant volontairement d'être testés ne sont pas représentatifs de la population, et les taux mesurés sous-estiment probablement les erreurs réelles. La deuxième concerne la saturation : après 2 ou 3 simulations identiques, les destinaires apprennent à reconnaître le format du test plutôt que le contenu de l'attaque, un phénomène que le collectif appelle « effet de scénario ». La troisième est linguistique : les campagnes en français ne mesurent que les comportements des francophones, et la généralisation à d'autres langues reste hypothétique. Le collectif annonce pour 2026 un protocole double aveugle qui devrait réduire ce biais, avec un panel de 1 000 volontaires tirés au sort.

Comment intégrer la sensibilisation dans une organisation

Pour intégrer la sensibilisation à l'anti-hacking dans une organisation, le collectif recommande 3 gestes simples, à dérouler dans l'ordre : mesurer le niveau initial avec une campagne de référence, former sur les 5 réflexes de vérification (expéditeur, lien, urgence, pièce jointe, signalement), puis retester à 6 mois pour mesurer le progrès. Les organisations qui suivent ce cycle voient leurs taux de clic baisser de moitié en deux campagnes, un gain que le collectif considère comme l'indicateur le plus prédictif d'une réduction future des incidents. Cette démarche s'inscrit dans la logique de défense en profondeur, où la sensibilisation complète les filtres techniques et les procédures de réponse à incident, sans les remplacer.

Les collectifs de sensibilisation occupent une place spécifique dans l'écosystème de sécurité : entre les fournisseurs d'outils et les agences publiques, ils produisent des données ouvertes et reproductibles, un positionnement que Phishing Initiative a popularisé depuis 2016. Leur influence se mesure à la diffusion de leurs scénarios dans les formations internes, à la citation de leurs rapports dans les recommandations des régulateurs, et à la formation de nouveaux collectifs locaux qui reproduisent leur méthode en s'adaptant aux contextes nationaux. En France, cette dynamique a renforcé les partenariats entre le secteur associatif et les directions de la sécurité des systèmes d'information des administrations, un mouvement que le collectif suit de près et documente chaque année dans son rapport annuel, publié chaque novembre depuis 2017.