Une séance de formation par année ne protège pas vos employés contre l’hameçonnage d’aujourd’hui. Les fraudes changent chaque mois, et la mémoire d’une formation de janvier s’efface bien avant la fausse facture de septembre. Ce qui fonctionne, c’est un programme court, régulier et testé en conditions réelles.
Ce que coûte un seul courriel
En 2025, le harponnage (l’hameçonnage ciblé, dont la fraude au président et les fausses demandes de paiement) a coûté 67,9 M$ aux 571 victimes qui l’ont signalé au Centre antifraude du Canada . C’est la deuxième fraude la plus coûteuse au pays, derrière les fraudes à l’investissement.
Le Centre parle d’une hausse marquée : 31 M$ de pertes déclarées au seul premier trimestre de 2026. Une entreprise québécoise a d’ailleurs viré plus de 200 000 $ en février 2026 après un courriel imitant son courtier d’assurance, selon une poursuite déposée au Manitoba.
Le scénario est presque toujours le même : un courriel qui ressemble à un message habituel d’un fournisseur demande d’envoyer le paiement à un nouveau compte. Le porte-parole du Centre recommande une formation continue, parce que la fraude change.
Pourquoi la formation annuelle ne tient pas
- Elle s’oublie. Une heure de contenu une fois par année laisse peu de traces quand le vrai piège arrive des mois plus tard.
- Elle vieillit. Les fraudes de l’an dernier ne ressemblent pas à celles de ce mois-ci : voix clonée d’un dirigeant, faux technicien dans la messagerie d’équipe, code QR piégé.
- Elle ne mesure rien. Sans simulation, vous ne savez pas qui cliquerait demain.
Ce qui fonctionne : un programme, pas une séance
Un bon programme repose sur trois choses : la répétition, la réalité et la mesure.
1. Du contenu court, chaque mois. Deux modules de 5 à 10 minutes, avec un quiz. Assez court pour être fait entre deux réunions, assez fréquent pour devenir un réflexe.
2. Trois angles qui alternent au fil de l’année :
- L’actualité : les fraudes qui circulent en ce moment.
- Votre réalité : des scénarios tirés de votre secteur, comme la fausse facture d’un fournisseur ou le faux client pressé.
- La mise en situation : des modules où l’employé prend des décisions et voit où elles mènent.
3. Des pièges réalistes, mesurés :
- Le courriel piégé : 1 à 2 simulations par employé par mois, en français ou en anglais, programmées selon les heures réelles des employés (de 6 h à 18 h par défaut, jusqu’à 21 h au besoin). Les fraudeurs n’attendent pas les heures de bureau.
- La demande sans lien : un faux dirigeant qui demande un virement ou une information. On ne mesure pas les clics, on mesure qui répond. C’est exactement le scénario du harponnage.
4. La leçon au bon moment. L’employé qui se fait prendre reçoit tout de suite une courte leçon de rattrapage. Jamais de punition : un employé qui a peur cache ses erreurs au lieu de les signaler.
5. Des résultats que la direction peut lire. Un rapport mensuel et un suivi hebdomadaire : qui a complété, qui a cliqué, qui a signalé.
La formation ne remplace pas une bonne procédure
Aucun programme ne garantit zéro clic. Il faut aussi une règle simple, appliquée par tous : tout changement de coordonnées bancaires d’un fournisseur se confirme par téléphone, au numéro déjà au dossier, jamais à celui du courriel. C’est le conseil du Centre antifraude, et il ne coûte rien.
Au Québec, la formation des employés aide aussi à démontrer vos mesures de sécurité au sens de la Loi 25, et elle répond à une question que posent presque tous les questionnaires d’assurance cyber. Voir notre guide : Questionnaire d’assurance cyber : comment y répondre sans risquer votre réclamation.
L’avantage UpSystems
UpSystems Solutions Canada, à Laval, offre ce programme dans son Pack Sécurité optimale, une option des forfaits de services TI gérés :
- Surveillance active : 6 campagnes différentes par année;
- Gestion 360 : 12 campagnes, une différente chaque mois;
- Essentielle : 6 ou 12 campagnes au choix, avec frais de mise en place.
Chaque nouvel employé reçoit une formation d’accueil, et le programme est renouvelé chaque année sur demande. Les campagnes et la plage d’envoi sont établies avec vous lors de l’analyse de départ, selon votre secteur et les heures réelles de votre équipe. Voir le Pack Sécurité optimale et nos forfaits.
Questions fréquentes
À quelle fréquence faut-il former les employés en cybersécurité ?
Chaque mois, avec du contenu court de 5 à 10 minutes et 1 à 2 simulations d’hameçonnage. Une séance annuelle s’oublie avant que le vrai piège arrive.
Est-ce que les simulations d’hameçonnage piègent les employés ?
Elles servent à apprendre, pas à punir. L’employé qui clique reçoit tout de suite une courte leçon, et les résultats servent à cibler la formation.
Combien de campagnes inclut le Pack Sécurité optimale d’UpSystems ?
6 par année avec Surveillance active, 12 avec Gestion 360, et 6 ou 12 au choix avec Essentielle, moyennant des frais de mise en place.
La formation suffit-elle contre la fraude au président ?
Non. Elle doit s’accompagner d’une procédure : tout changement de coordonnées bancaires se confirme par téléphone, au numéro déjà au dossier.