Phishing en entreprise : obligations et réaction 2026

Le 22 janvier 2026, la CNIL a sanctionné France Travail de 5 millions d’euros. Le point d’entrée de l’attaque n’était ni une faille zero-day ni un ransomware sophistiqué : des techniques d’ingénierie sociale — la famille à laquelle appartient le phishing — qui ont permis d’usurper des comptes de conseillers CAP EMPLOI et d’accéder aux données de toutes les personnes inscrites depuis vingt ans. Ce que dit cette décision est simple et brutal : quand une manipulation réussit, la CNIL ne regarde pas l’attaquant, elle regarde ce que vous aviez mis en place pour que son message ne suffise pas.

Le phishing en chiffres : ce que subissent réellement les entreprises françaises

Le rapport d’activité 2025 de Cybermalveillance.gouv.fr, publié en 2026, donne la mesure du phénomène. Sur l’ensemble des publics, l’hameçonnage arrive au premier rang des menaces, avec environ 108 000 demandes d’assistance, en hausse de 70 %.

Pour les entreprises et associations spécifiquement, le classement est instructif :

Rang	Menace	Part des demandes d’assistance	Évolution 2024-2025
1	Piratage de compte	21 %	+52 %
2	Hameçonnage (phishing)	16 %	+29 %
3	Fraude au virement (FOVI)	13,5 %	+93 %
4	Rançongiciel	8,1 %	+9 %
5	Violation de données	6,6 %	+40 %
6	Piratage informatique	6 %	+112 %

Lisez ce tableau comme une chaîne causale, pas comme une liste. Le phishing n’est presque jamais l’objectif final : c’est le vecteur d’accès initial. Cybermalveillance le dit explicitement à propos des piratages informatiques en hausse de 112 % : « les comptes fuités ou hameçonnés constituent un accès initial dans les systèmes d’information ». Le rang 2 alimente les rangs 1, 3, 4, 5 et 6.

C’est pour cette raison que traiter le phishing comme un « problème de sensibilisation » est une erreur d’architecture. Un phishing réussi n’est pas un incident isolé, c’est le premier maillon d’un incident de sécurité complet — avec, au bout, une obligation de notification à la CNIL et, selon votre secteur, à l’ANSSI.

Pourquoi le phishing fonctionne mieux qu’avant

Deux évolutions documentées par Cybermalveillance en 2025 rendent les anciens réflexes de détection obsolètes.

La personnalisation par les données fuitées. Les campagnes ne se contentent plus d’un « Cher client ». Elles intègrent l’IBAN et le BIC du destinataire dans de fausses confirmations de prélèvement, sa plaque d’immatriculation et le modèle de son véhicule dans les faux impayés de péage autoroutier, son numéro client dans de faux messages de sécurité. Ces éléments proviennent des violations de données massives de 2024 et 2025. L’effet recherché n’est pas seulement la crédibilité : c’est la diversion de l’attention. Un destinataire qui reconnaît son IBAN ne vérifie plus l’adresse d’expédition ni l’URL du lien.

L’interception de l’authentification à deux facteurs. Certains sites d’hameçonnage bancaire disposent de fonctionnalités permettant d’intercepter la double authentification en temps réel, ce qui ouvre simultanément une session active sur l’appareil du cybercriminel. Techniquement, ce sont des proxys d’attaque de type adversary-in-the-middle. La conséquence pratique est importante et souvent mal comprise : un MFA par code SMS ou OTP réduit fortement le risque de bourrage d’identifiants, mais ne protège pas contre un phishing en temps réel. Seuls les facteurs résistants au phishing — FIDO2, clés de sécurité physiques, passkeys liées au domaine — cassent ce mode opératoire, parce que le secret cryptographique est lié à l’URL réelle du service.

Ajoutez à cela le ciblage spécifique des professionnels décrit dans le rapport : faux avis de courrier recommandé électronique, faux acte notarié, fausse facture, et surtout les messages annonçant une « procédure obligatoire de changement de mot de passe » ou un « renforcement de la sécurité » sur Microsoft 365 ou Zimbra. Ce sont les scénarios qui visent vos boîtes professionnelles.

Le cadre juridique : l’article 32 est une obligation de moyens, pas une excuse

Beaucoup de dirigeants croient qu’une attaque exonère. C’est l’inverse. Le RGPD ne vous reproche pas d’être attaqué — il vous reproche de ne pas avoir rendu l’attaque plus difficile.

L’article 32(1) impose de mettre en œuvre « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », compte tenu de l’état de l’art, des coûts, et de la nature du traitement. La CNIL l’a rappelé mot pour mot dans le communiqué France Travail : c’est une obligation de moyens. Mais une obligation de moyens s’apprécie au regard de l’état de l’art, et l’état de l’art en 2026 intègre le fait que le phishing est la première menace documentée par le dispositif national.

Trois autres fondements sont mobilisables dans un dossier phishing :

• Art. 5(1)(f) — le principe d’intégrité et de confidentialité, qui érige la protection contre le « traitement non autorisé » en principe cardinal, et non en simple mesure technique.
• Art. 32(1)(d) — l’obligation de disposer d’une procédure visant à tester, analyser et évaluer régulièrement l’efficacité des mesures. C’est le fondement juridique le plus direct des campagnes de phishing simulé et des tests d’intrusion.
• Art. 32(1)(b) — l’obligation de garantir « la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes ». C’est, avec l’art. 5(1)(f), le fondement du principe de moindre privilège : un compte dont les droits excèdent le besoin métier est déjà un problème de conformité, avant même toute attaque. L’art. 32(4) le complète en imposant que toute personne agissant sous l’autorité du responsable de traitement ne traite les données que sur instruction.

Ce que la décision France Travail retient concrètement

La formation restreinte n’a pas sanctionné l’existence de l’attaque. Elle a retenu un manquement unique à l’article 32, caractérisé par trois insuffisances très précises — qui constituent de fait une grille de lecture pour tout dossier d’hameçonnage réussi :

1. Des modalités d’authentification insuffisamment robustes pour l’accès des conseillers CAP EMPLOI au système d’information.
2. Une insuffisance des mesures de journalisation permettant de détecter les comportements anormaux — c’est-à-dire l’incapacité à repérer qu’un compte légitime se comportait anormalement après compromission.
3. Des habilitations définies de manière trop large, permettant d’accéder aux données de personnes non accompagnées, ce qui a mécaniquement accru le volume de données exposées.

Circonstance aggravante retenue : la plupart des mesures adéquates avaient été identifiées en amont dans les analyses d’impact, sans avoir été effectivement mises en œuvre. C’est le point qui devrait faire réfléchir tout DPO. Une analyse d’impact qui identifie un risque sans plan de mise en œuvre suivi ne protège pas : elle documente votre connaissance du risque.

Le montant retenu — 5 millions d’euros, assorti d’une injonction sous astreinte de 5 000 euros par jour de retard — s’explique par le fait que France Travail n’est pas une « entreprise » au sens du RGPD : l’amende ne se calcule donc pas sur un chiffre d’affaires, mais dans une fourchette plafonnée à 10 millions d’euros. Une entreprise privée serait exposée au plafond complet de l’article 83(4) : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour mémoire, la CNIL a sanctionné le 13 janvier 2026 les sociétés Free Mobile et Free de 27 et 15 millions d’euros après une intrusion ayant exposé les données de 24 millions de contrats d’abonnés.

La superposition NIS2

Si vous relevez du champ de NIS2 — entité essentielle ou importante dans l’un des 18 secteurs couverts —, un phishing ayant abouti à une compromission déclenche un second régime, indépendant du RGPD. L’article 21(2) de la directive énumère dix mesures socles, dont deux visent frontalement notre sujet : au point (g), « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » ; au point (j), « l’utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue ». La formation anti-phishing n’y est donc pas une bonne pratique : c’est une mesure de sécurité exigée par le texte, dont l’absence est directement opposable, avec une responsabilité personnelle des dirigeants à la clé.

Les cinq formes de phishing qui visent les entreprises

Distinguer les modes opératoires n’est pas un exercice académique : chacun appelle une contre-mesure différente, et ils ne relèvent pas tous du même régime juridique en cas de préjudice.

Forme	Mode opératoire	Cible privilégiée	Contre-mesure décisive
Phishing de masse	Courriels ou SMS envoyés en très grand nombre, marques usurpées (impôts, Assurance Maladie, Amazon, opérateurs)	Tout salarié, boîte pro et perso	Filtrage en amont, SPF/DKIM/DMARC en rejet, sensibilisation
Spear phishing	Message personnalisé à partir d’informations réelles (poste, projet en cours, données fuitées)	Comptables, RH, assistants de direction, DSI	MFA résistant au phishing, procédure de double validation
BEC / fraude au président (FOVI)	Usurpation d’un dirigeant ou d’un fournisseur pour obtenir un virement ou un changement de RIB	Direction financière, comptabilité fournisseurs	Procédure de rappel sur un numéro connu, séparation des tâches
Smishing / vishing / quishing	SMS, appel téléphonique, QR code frauduleux	Nomades, terrain, flottes mobiles	Politique BYOD, sensibilisation aux canaux non-courriel
Phishing de collecte d’identifiants	Faux portail Microsoft 365, Zimbra, extranet, faux avis de recommandé électronique	Tous les utilisateurs de messagerie	FIDO2 / passkeys, détection des connexions anormales

Un mot sur la fraude au virement, qui progresse de 93 % chez les professionnels. Juridiquement, tout dépend de qui a appuyé sur le bouton. Quand un salarié effectue lui-même le virement après manipulation, l’opération est autorisée au sens de l’article L. 133-6 du code monétaire et financier — le payeur a consenti à son exécution — et le régime de remboursement des opérations non autorisées de l’article L. 133-18 ne s’applique pas. L’entreprise ne peut alors rechercher la responsabilité de sa banque que sur le terrain du devoir de vigilance, en démontrant une anomalie apparente, ce qui aboutit rarement. Si en revanche le virement a été initié par l’attaquant depuis un accès bancaire compromis, l’opération est non autorisée et le régime de remboursement de l’article L. 133-18 retrouve son empire.

Quant au phishing bancaire proprement dit, la chambre commerciale de la Cour de cassation avait fixé une ligne stricte dans son arrêt du 28 mars 2018 (n° 16-20.018, publié au Bulletin) : commet une négligence grave au sens de l’article L. 133-19, IV du code monétaire et financier l’utilisateur qui communique ses données de sécurité personnalisées en réponse à un courriel comportant des indices permettant à un utilisateur normalement attentif de douter de sa provenance — peu important qu’il ait été ou non averti du risque d’hameçonnage. Conséquence directe : la victime supporte la perte.

Cette rigueur a toutefois été nettement tempérée depuis. Par un arrêt du 23 octobre 2024 (n° 23-16.267), la même chambre a jugé que le client contacté par téléphone depuis le numéro affiché de sa banque — technique dite du spoofing — et qui exécute les instructions d’un faux conseiller ne commet pas nécessairement une négligence grave, la charge de la preuve de celle-ci pesant sur l’établissement bancaire. La ligne de partage se déplace donc vers la qualité du leurre : plus l’usurpation est techniquement convaincante, moins la négligence de la victime est retenue. Pour l’entreprise, la leçon pratique est la même dans les deux cas : ce sont vos procédures internes, et non le comportement individuel du salarié, qui décident de l’issue.

Un point souvent négligé : en application de l’article L. 133-2 du code monétaire et financier, le régime protecteur des articles L. 133-18 et suivants peut être écarté par contrat lorsque l’utilisateur n’est pas un consommateur. Relisez votre convention de compte professionnelle avant de compter sur ce régime.

Les mesures que la CNIL et l’ANSSI attendent réellement

Voici la grille que j’utilise en audit. Elle est organisée par couche, parce que le phishing se traite en défense en profondeur : chaque couche existe pour absorber les échecs de la précédente.

Couche 1 — Empêcher le message d’arriver

• SPF, DKIM et DMARC en politique de rejet (p=reject) sur tous vos domaines, y compris les domaines parqués et les domaines de marque que vous n’utilisez pas pour l’envoi. Une politique en p=none ne protège personne : elle observe.
• Filtrage anti-hameçonnage avec réécriture et analyse des liens au moment du clic, pas seulement à la réception.
• Bannière de signalement externe sur les courriels entrants de l’extérieur. Mesure simple, effet mesurable sur les usurpations de dirigeants.
• Surveillance des dépôts de noms de domaine proches du vôtre (typosquatting), qui préparent souvent une campagne ciblée.

Couche 2 — Rendre les identifiants volés inutilisables

• MFA résistant au phishing (FIDO2, passkeys, certificats) sur les accès à privilèges, les accès distants et la messagerie. La CNIL a adopté une recommandation dédiée à l’authentification multifacteur par sa délibération n° 2025-019 du 20 mars 2025 ; s’en écarter sans justification documentée est difficilement défendable en contrôle.
• Blocage de l’authentification héritée (protocoles legacy type IMAP/POP basique) qui contourne le MFA sur les environnements Microsoft 365.
• Conditions d’accès contextuelles : pays, appareil géré, plage horaire. Une session ouverte depuis un pays où vous n’avez aucune activité est une anomalie détectable.
• Politique de mot de passe alignée sur la recommandation CNIL — utile en défense de fond, insuffisante seule.

Couche 3 — Limiter ce qu’un compte compromis peut atteindre

C’est le manquement le plus coûteux du dossier France Travail. La gestion des habilitations selon le moindre privilège détermine directement l’ampleur de la violation. Un compte conseiller correctement cloisonné aurait exposé les dossiers d’un portefeuille ; un compte trop large a exposé vingt ans d’inscrits.

Ajoutez le cloisonnement réseau, la revue périodique des droits, et l’application des principes Zero Trust sur les applications les plus sensibles.

Couche 4 — Détecter

L’insuffisance de journalisation a été retenue comme manquement autonome par la CNIL. Concrètement, votre dispositif de journalisation doit permettre de répondre à trois questions après coup : qui s’est connecté, depuis où, et qu’a-t-il consulté ou exporté. La recommandation CNIL sur les mesures de journalisation fixe le cadre — durée de conservation, périmètre, protection des journaux eux-mêmes.

Les alertes utiles en contexte phishing : connexion depuis une nouvelle géographie, création d’une règle de transfert automatique dans une boîte aux lettres (signature quasi systématique d’une compromission de messagerie), volume d’export inhabituel, désactivation d’un facteur MFA.

Couche 5 — Préparer l’humain, correctement

La sensibilisation reste indispensable, mais son efficacité dépend de la manière dont elle est conçue. Trois principes issus de mon expérience :

1. Former sur les scénarios réellement observés dans votre secteur, pas sur le prince nigérian. Un cabinet comptable doit être formé au faux avis de dépôt de document ; une direction financière au changement de RIB fournisseur.
2. Rendre le signalement plus rapide que la vérification. Un bouton « signaler un message suspect » dans le client de messagerie, avec accusé de réception et retour, produit plus de valeur qu’un module e-learning annuel. Vous voulez que le salarié qui a cliqué le dise dans les cinq minutes, pas qu’il ait honte.
3. Ne jamais faire du taux de clic un indicateur de performance individuel. Outre les questions juridiques exposées ci-dessous, cela détruit exactement le comportement que vous cherchez à obtenir : le signalement spontané.

Phishing simulé : ce que vous avez le droit de faire

C’est la question qui revient le plus souvent, et la plus mal traitée. Les campagnes de phishing simulé sont licites en France, mais à des conditions précises. Elles constituent un traitement de données à caractère personnel — elles enregistrent qui a reçu, qui a ouvert, qui a cliqué, qui a saisi ses identifiants.

La base légale. L’intérêt légitime de l’article 6(1)(f) est le fondement le plus adapté : sécuriser le système d’information est un intérêt légitime reconnu, que conforte le considérant 49 du RGPD — lequel vise le traitement « dans la mesure strictement nécessaire et proportionnée » aux fins de garantir la sécurité des réseaux et de l’information. Le consentement est inadapté (lien de subordination, et une campagne annoncée perd son objet). Encore faut-il documenter une mise en balance : finalité, nécessité, absence d’alternative moins intrusive, garanties.

Les conditions de licéité, dans l’ordre :

• Information préalable et générale (art. 12 et 13). Vous n’annoncez pas la date d’une campagne, mais vous devez avoir informé les salariés, dans la charte informatique ou une note dédiée, que des campagnes de test peuvent être menées, avec quelles finalités, quelles données sont collectées, combien de temps elles sont conservées et qui y accède. Un test non annoncé dans son principe est un traitement déloyal au sens de l’article 5(1)(a).
• Consultation du CSE. Dans les entreprises d’au moins 50 salariés, l’article L. 2312-38 du code du travail impose l’information et la consultation du comité social et économique préalablement à la décision de mise en œuvre de tout moyen ou technique permettant un contrôle de l’activité des salariés. Un dispositif de phishing simulé nominatif entre sans discussion dans cette catégorie. C’est l’omission la plus fréquente que je rencontre — et elle est facile à éviter, puisqu’il s’agit d’une consultation, non d’une autorisation.
• Exploitation agrégée par défaut. Les résultats doivent être exploités de manière statistique. L’identification individuelle ne se justifie que pour déclencher une action pédagogique immédiate (page de remédiation, module court), pas pour alimenter un classement, un tableau de bord managérial nominatif ou un entretien annuel.
• Aucune sanction disciplinaire fondée sur un test. Un clic sur un message simulé n’est pas une faute. Sanctionner sur cette base est juridiquement fragile et opérationnellement contre-productif.
• Durée de conservation courte des données individuelles — quelques mois au plus, le temps du cycle de remédiation — puis anonymisation.
• Inscription au registre des activités de traitement avec une finalité explicite, et mention dans la charte informatique.

Le contenu du leurre a aussi ses limites. Évitez les prétextes qui exploitent la détresse ou la vie privée : fausse prime exceptionnelle, faux plan social, faux résultat médical, fausse convocation disciplinaire. Ils produisent des taux de clic spectaculaires et un effondrement durable de la confiance dans la fonction sécurité. Le principe de loyauté du traitement n’est pas qu’un slogan : un test conçu pour humilier est difficilement défendable devant un CSE comme devant la CNIL.

Que faire dans les 72 heures après un phishing réussi

Voici la séquence que je recommande de figer dans votre procédure de gestion des incidents, avant d’en avoir besoin.

Moment	Action	Base
T+0 à T+1h	Révoquer les sessions actives du compte concerné, réinitialiser le mot de passe, révoquer et réenrôler le facteur MFA, vérifier les règles de transfert de la boîte aux lettres	Confinement
T+1h à T+4h	Qualifier le périmètre : à quelles données le compte donnait-il accès, qu’a-t-il réellement consulté ou exporté (journaux)	Art. 33 — évaluation du risque
T+4h à T+24h	Si vous relevez de NIS2 : alerte précoce à l’ANSSI dans les 24 heures en cas d’incident significatif	NIS2 art. 23
Avant T+72h	Notification à la CNIL si la violation est susceptible d’engendrer un risque pour les droits et libertés	Art. 33(1)
Dans les meilleurs délais	Communication aux personnes concernées si le risque est élevé	Art. 34(1)
T+72h	Notification complète à l’ANSSI le cas échéant	NIS2 art. 23
Dans le mois	Rapport final ANSSI ; dépôt de plainte ; déclaration à l’assureur	NIS2 art. 23 / cyber-assurance
En continu	Inscription au registre interne des violations, quelle que soit l’issue	Art. 33(5)

Trois points de vigilance, tirés de dossiers réels.

Le délai de 72 heures court à compter de la prise de connaissance, pas de la fin de l’investigation. L’article 33(4) autorise une notification par phases : notifiez avec les informations disponibles, complétez ensuite. Attendre d’avoir tout compris pour notifier est la faute la plus fréquente — et elle transforme un incident en manquement autonome. Un modèle de notification prêt à l’emploi fait gagner les heures qui comptent.

Une compromission de messagerie professionnelle est presque toujours une violation notifiable. Une boîte aux lettres de responsable RH ou de comptabilité contient des données d’identification, souvent des données bancaires, parfois des données de santé en pièce jointe. Le raisonnement « l’attaquant cherchait de l’argent, pas des données » n’a aucune portée juridique : l’article 4(12) définit la violation par l’accès non autorisé, pas par l’intention de l’auteur.

Le registre des violations de l’article 33(5) est obligatoire même sans notification. Il doit documenter les faits, les effets et les mesures correctrices — y compris pour les incidents que vous avez estimés non notifiables. C’est cette documentation, et non vos déclarations, qui prouve que vous avez évalué le risque.

Le phishing simulé et la sensibilisation ne suffisent pas : documentez

Ce que la décision France Travail met en évidence, au fond, c’est un écart entre le papier et la mise en œuvre. Les mesures adéquates figuraient dans les analyses d’impact. Elles n’ont pas été déployées, ou pas suffisamment. Aucun document ne rattrape cela.

En pratique, tenir à jour la traçabilité entre les risques identifiés, les mesures décidées, leur date de déploiement effectif et leur preuve de contrôle est un travail continu que peu d’organisations arrivent à maintenir sur tableur — c’est typiquement le type de suivi que Legiscope automatise. Mais l’outil n’est que le support : ce qui compte est que, le jour du contrôle, vous puissiez démontrer non pas ce que vous aviez prévu, mais ce que vous avez fait.

Ce qu’il faut retenir

• Le phishing est la 2e menace pour les entreprises françaises (16 % des demandes d’assistance à Cybermalveillance.gouv.fr en 2025, +29 %) et il alimente les autres : piratage de compte, fraude au virement, violation de données.
• L’attaque n’exonère pas. La CNIL a sanctionné France Travail de 5 millions d’euros (délibération SAN-2026-003 du 22 janvier 2026) après une compromission par ingénierie sociale, en retenant un manquement à l’article 32 caractérisé par trois insuffisances : authentification, journalisation, habilitations trop larges.
• Le MFA par SMS ne protège plus contre les kits de phishing qui interceptent la double authentification en temps réel. Les facteurs résistants au phishing (FIDO2, passkeys) sont désormais l’état de l’art sur les accès sensibles.
• Le phishing simulé est licite sur la base de l’article 6(1)(f), à condition d’informer préalablement les salariés dans leur principe, de consulter le CSE dans les entreprises d’au moins 50 salariés (art. L. 2312-38 du code du travail), d’exploiter les résultats de façon agrégée et de ne jamais sanctionner un clic.
• Une compromission de messagerie est presque toujours notifiable à la CNIL sous 72 heures (art. 33), et l’inscription au registre des violations (art. 33(5)) est obligatoire même lorsque vous décidez de ne pas notifier.

---

Recevez nos analyses conformité chaque semaine. Décisions CNIL décryptées, échéances réglementaires, méthodes applicables : inscrivez-vous à la newsletter.

---

FAQ

Une entreprise peut-elle être sanctionnée par la CNIL après un phishing réussi ?

Oui. L’article 32 du RGPD impose une obligation de moyens en matière de sécurité, et la CNIL apprécie si les mesures mises en place étaient appropriées au risque compte tenu de l’état de l’art. La délibération SAN-2026-003 du 22 janvier 2026 contre France Travail (5 millions d’euros) illustre cette logique : la sanction ne porte pas sur l’existence de l’attaque, mais sur l’insuffisance de l’authentification, de la journalisation et de la gestion des habilitations qui l’ont rendue possible et en ont aggravé les effets.

Faut-il notifier la CNIL quand un salarié s’est fait voler ses identifiants ?

Il faut d’abord évaluer le risque pour les droits et libertés des personnes concernées. Si le compte compromis donnait accès à des données personnelles — ce qui est presque toujours le cas d’une messagerie professionnelle —, la notification sous 72 heures s’impose au titre de l’article 33(1), même en l’absence de preuve d’exfiltration. Dans tous les cas, l’incident doit être inscrit au registre interne des violations prévu par l’article 33(5).

Les campagnes de phishing simulé sont-elles légales en France ?

Oui, sous conditions. Elles reposent sur l’intérêt légitime de l’article 6(1)(f), mais supposent une information préalable des salariés sur le principe des tests (sans en annoncer la date), la consultation du CSE au titre de l’article L. 2312-38 du code du travail dans les entreprises d’au moins 50 salariés, une exploitation agrégée des résultats, une durée de conservation courte et l’absence de toute sanction disciplinaire fondée sur un clic.

La banque doit-elle rembourser un virement obtenu par phishing ?

Cela dépend du mécanisme. Si le virement a été effectué par le salarié lui-même après manipulation (fraude au président, faux changement de RIB), l’opération est juridiquement autorisée au sens de l’article L. 133-6 du code monétaire et financier et le régime de remboursement des opérations non autorisées ne s’applique pas. Pour le phishing bancaire, la Cour de cassation retenait la négligence grave de l’utilisateur qui communique ses données de sécurité en réponse à un message comportant des indices de fraude (Cass. com., 28 mars 2018, n° 16-20.018), mais elle a assoupli cette position pour les fraudes au faux conseiller par usurpation du numéro de la banque (Cass. com., 23 octobre 2024, n° 23-16.267), en faisant peser sur l’établissement la preuve de cette négligence.

Le MFA suffit-il à protéger contre le phishing ?

Non, pas dans toutes ses formes. Cybermalveillance.gouv.fr a documenté en 2025 des sites d’hameçonnage capables d’intercepter la double authentification en temps réel et d’ouvrir une session active sur l’appareil de l’attaquant. Les facteurs à usage unique transmis par SMS ou application restent vulnérables à ce mode opératoire ; seuls les mécanismes liant cryptographiquement l’authentification au domaine légitime (FIDO2, clés de sécurité, passkeys) le neutralisent.

Un salarié peut-il être sanctionné pour avoir cliqué sur un lien de phishing ?

Un clic isolé sur un message frauduleux, dans le cadre normal du travail, ne caractérise pas une faute disciplinaire : la jurisprudence sociale exige un comportement fautif, pas une erreur d’appréciation face à un message conçu pour tromper. La situation diffère en cas de violation caractérisée et répétée de consignes claires figurant dans la charte informatique. En tout état de cause, un test de phishing simulé ne peut servir de fondement à une sanction.