--- title: The Science Behind CyberCoach description: Why phishing simulations fail — and what works instead. Research from ETH Zurich, Purdue, and Google informs CyberCoach's approach to security training. image: https://www.cybercoach.com/hubfs/cybercoach%20science%20behind%20why%20phishing%20sims%20fail.png --- [![CyberCoach Full Logo with Bot Icon](https://www.cybercoach.com/hubfs/CyberCoach_Full_Logo_Black-2.svg)](https://www.cybercoach.com?hsLang=fr) - [Français](https://www.cybercoach.com/fr/science-behind-cybercoach) - [English](https://www.cybercoach.com/science-behind-cybercoach) - [Español](https://www.cybercoach.com/es/programas-de-formacion-personalizadas-para-cada-rol) - [Suomi](https://www.cybercoach.com/fi/science-behind-cybercoach) - [Svenska](https://www.cybercoach.com/sv/role-based-learning-paths) - [PRODUIT](https://www.cybercoach.com/fr/?hsLang=fr) ## [CyberCoach en un coup d’œil CyberCoach est une application de formation à la sensibilisation en cybersécurité qui révolutionne le secteur, disponible sur Teams, Slack ou directement sur navigateur.](https://www.cybercoach.com/fr/?hsLang=fr) ### [Apprentissage Basé sur les Rôles Déployez rapidement un programme complet de formation à la sensibilisation en sécurité, adapté aux différents rôles.](https://www.cybercoach.com/science-behind-cybercoach?hsLang=fr) ### [Sensibilisation au phishing Les formations CyberCoach sont engageantes et psychologiquement sûres, autour des différents scénarios d’attaque, et disponibles directement dans Teams et Slack (ou dans le navigateur).](https://www.cybercoach.com/legal-basis-phishing-simulation?hsLang=fr) ### [Apprentissage anonyme Notre approche est basée sur des recherches récentes et actualisée régulièrement.](https://blog.cybercoach.com/benefits-of-anonymous-learning?hsLang=fr) ### [Comment choisir la bonne plateforme de formation à la sensibilisation en sécurité ?](https://blog.cybercoach.com/security-awareness-training-platform-guide?hsLang=fr) ### [Tarification Plans flexibles, disponibles également mensuellement.](https://www.cybercoach.com/pricing?hsLang=fr) ### [BLOG Derniers insights sur la sensibilisation à la sécurité et nouveautés de CyberCoach.](https://blog.cybercoach.com?hsLang=fr) ### [Té­moi­gna­ges clients Découvrez comment CyberCoach a aidé des organisations de différents secteurs à moderniser leur approche de la formation en sécurité.](https://www.cybercoach.com/customer-stories?hsLang=fr) ### [Formation à la sécurite OT Formation ciblée pour les employés qui travaillent avec des technologies OT.](https://www.cybercoach.com/ot-security-training?hsLang=fr) - [SÉCURITÉ IA](https://www.cybercoach.com/ai-security-training?hsLang=fr) ## [Formation en Sécurité IA La bibliothèque de formation en sécurité et conformité IA la plus complète du marché.](https://www.cybercoach.com/ai-security-training?hsLang=fr) ### [Formation en sécurité IA Pourquoi choisir CyberCoach pour vos besoins en formation IA ?](https://www.cybercoach.com/ai-security-training?hsLang=fr) ### [Guide pour Gérer les Risques de Sécurité et de Conformité Liés aux Assistants IA.](https://blog.cybercoach.com/guide-to-managing-security-and-compliance-risks-related-to-ai-meeting-assistants?hsLang=fr) ### [Checklist et Meilleures Pratiques pour la Sensibilisation des Employés à la Sécurité en IA.](https://blog.cybercoach.com/ai-security-training-for-employees-checklist-and-best-practices?hsLang=fr) - [POUR LES DÉVELOPPEURS](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=fr) ## [Pour les Développeurs Allez au-delà du OWASP Top10 et proposez des formations interactives et pratiques spécifiques aux profils techniques.](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=fr) ### [Compétences en Codage Sécurisé Répondez aux exigences ISO/IEC 27001 ou SOC 2 autour des pratiques de développement sécurisé, grâce à des formations concrètes pour vos développeurs et autres rôles techniques, directement dans Microsoft Teams ou Slack.](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=fr) - [ENTREPRISE](https://www.cybercoach.com/about-us?hsLang=fr) ## [À propos de nous Nous évoluons pour devenir l’entreprise de sensibilisation la plus diversifiée au monde.](https://www.cybercoach.com/about-us?hsLang=fr) ### [À Propos de Nous Rencontrez notre équipe internationale](https://www.cybercoach.com/about-us?hsLang=fr) ### [Contactez-Nous Prenez contact.](https://www.cybercoach.com/contact-us?hsLang=fr) ### [Carrières Nous recrutons.](https://www.cybercoach.com/careers?hsLang=fr) ### [Partenariat En savoir plus sur notre programme partenaires.](https://www.cybercoach.com/partnerships?hsLang=fr) - [Français](https://www.cybercoach.com/fr/science-behind-cybercoach) - [English](https://www.cybercoach.com/science-behind-cybercoach) - [Español](https://www.cybercoach.com/es/programas-de-formacion-personalizadas-para-cada-rol) - [Suomi](https://www.cybercoach.com/fi/science-behind-cybercoach) - [Svenska](https://www.cybercoach.com/sv/role-based-learning-paths) [GRATUIT](https://www.cybercoach.com/free-trial?hsLang=fr) [DÉMO](https://meetings-eu1.hubspot.com/maria-bique/cybercoach-demo?uuid=88959d26-2ff7-4dd0-8ebd-dd43eb31443e)   Les données scientifiques ## Pourquoi les simulations de phishing traditionnelles ne fonctionnent pas Depuis vingt ans, le principe reste le même : envoyer aux salariés des e-mails de phishing sans les prévenir, identifier ceux qui cliquent, puis les rediriger vers une page de formation. L’hypothèse est qu’en constatant les conséquences de leur erreur, ils modifieront durablement leur comportement. Cette hypothèse a désormais été testée à grande échelle, et les résultats ne la confirment pas. ![Badges de challenges de phishing CyberCoach](https://www.cybercoach.com/hubfs/science%20behind%20cybercoach.png) [01 L’attention, pas les connaissances](https://www.cybercoach.com/fr/science-behind-cybercoach#f1) [02 L’échec n’apprend pas](https://www.cybercoach.com/fr/science-behind-cybercoach#f2) [03 Des indicateurs faciles à fausser](https://www.cybercoach.com/fr/science-behind-cybercoach#f3) [04 La sécurité psychologique](https://www.cybercoach.com/fr/science-behind-cybercoach#f4) [05 L’IA aggrave le problème](https://www.cybercoach.com/fr/science-behind-cybercoach#f5) 01 C’est un problème d’attention ### La vulnérabilité au phishing tient à l’attention, pas au manque de connaissances 4,554 salariés étudiés 3 campagnes en 6 semaines 0 bénéfice de la formation corrective obligatoire Lain, Jost, Matetic, Kostiainen et Capkun (ETH Zurich, ACM CCS 2024) ont cherché à déterminer quels éléments d’une formation intégrée aux simulations de phishing produisaient réellement une amélioration. L’effet semble provenir presque entièrement du rappel créé par l’exercice, et non des connaissances transmises : la plupart des participants n’ont même pas lu le contenu de la formation, mais leur comportement s’est tout de même amélioré après avoir vu la page. Un simple e-mail indiquant les conséquences de l’erreur s’est révélé aussi efficace qu’une formation intégrée complète. Lorsqu’on leur a demandé pourquoi ils s’étaient fait piéger par les simulations, les salariés ont cité le volume d’e-mails et le manque de temps, et non un manque de connaissances. Imposer une formation supplémentaire aux personnes ayant échoué à plusieurs reprises n’a produit aucun bénéfice supplémentaire. Les auteurs s’interrogent donc sur l’intérêt de remplacer ces pratiques par des rappels annoncés à l’avance, capables de produire le même effet sans recourir à la tromperie ni créer un excès de confiance. > "Je n’ai tout simplement pas fait attention et je n’ai pas regardé plus loin."Participant à l’étude \[P26\] 02 L’échec n’apprend pas ### Une formation déclenchée après un échec peut aggraver la situation 14,733 participants sur 15 mois 43% ont déclaré que la page de formation les rassurait 40% avaient le sentiment que l’organisation les protégeait Dans une étude longitudinale menée au sein d’une grande organisation, Lain et ses collègues (ETH Zurich, IEEE Security & Privacy 2022) ont constaté que les salariés redirigés vers une page de formation contextuelle après avoir échoué à une simulation de phishing ont ensuite cliqué sur *davantage* d’e-mails de phishing que ceux qui n’avaient jamais vu cette page. Les questionnaires permettent de comprendre pourquoi : la page a été perçue comme une forme de réassurance, et non comme un enseignement. > "La formation intégrée au phishing, telle qu’elle est couramment déployée aujourd’hui dans l’industrie, n’est pas efficace et peut même avoir des effets secondaires négatifs."Lain, Jost, Matetic, Kostiainen & Capkun, 2022 03 Des indicateurs faciles à fausser ### Une baisse du taux de clic ne signifie pas que la formation fonctionne 12,511 salariés étudiés 7% taux de clic sur les leurres faciles 15% taux de clic sur les leurres difficiles Rozema et Davis (Purdue University, ACM Web Conference 2026) ont constaté que ni les formations magistrales ni les formations interactives au phishing n’amélioraient de manière significative la capacité de détection. En revanche, la difficulté de l’attaque était fortement corrélée au taux de clic. Autrement dit, cet indicateur mesure surtout la difficulté du leurre utilisé ce mois-là. Les taux de clic diminuent également avec le temps parce que les salariés finissent par reconnaître les habitudes de leur fournisseur : styles visuels, noms d’expéditeur et types de scénarios récurrents. Cette reconnaissance de schémas n’offre cependant aucune protection contre de véritables attaquants, qui ne suivent pas le même scénario. À cela s’ajoute un problème de mesure : le fournisseur qui réalise les simulations est aussi celui qui en mesure les résultats. Il a donc un intérêt commercial à montrer des chiffres en amélioration, sans contrôle indépendant permettant d’établir ce qui explique réellement cette évolution. 04 La sécurité psychologique compte ### Les exercices incendie surprises appartiennent au passé. Pourquoi continuons-nous à organiser des tests de phishing sans prévenir ? L’équipe de sécurité de Google est arrivée à la même conclusion du point de vue organisationnel. Dans un article publié en 2024 sur le Google Security Blog, elle expliquait pourquoi Google n’organise pas de tests de phishing surprises en interne. Les salariés ont le sentiment d’avoir été trompés La confiance entre les salariés et les équipes de sécurité se détériore Aucune preuve d’une diminution des incidents de phishing réussis Google Security Blog, 2024 Une étude menée en 2026 à l’Université Aalto par Weidhaas, von Preuschen et Distler auprès de 41 salariés a mis en évidence un phénomène intéressant : plusieurs participants qui soupçonnaient correctement une tentative de phishing ont malgré tout cliqué, par crainte qu’une fausse alerte ne les fasse mal voir au travail. Cela suggère non seulement que les simulations de phishing peuvent fragiliser la sécurité psychologique, mais aussi que les salariés évoluant dans des organisations où celle-ci est faible pourraient être encore plus susceptibles de tomber dans le piège du phishing. La sécurité psychologique n’est pas un vague concept RH : l’étude interne Project Aristotle de Google l’a identifiée comme le facteur le plus fortement associé aux performances d’une équipe, devant les talents individuels ou les ressources disponibles. 05 L’IA ne fait qu’aggraver le problème ### Les simulations deviennent à la fois moins efficaces et plus coûteuses Rozema et Davis soulignent également que le phishing généré par l’IA fragilise le principe même du modèle fondé sur le taux de clic. Les simulations reposent sur des indices observables que les salariés apprennent progressivement à repérer : fautes d’orthographe, URL suspectes, noms d’expéditeur incohérents ou anomalies de mise en forme. Fautes d’orthographe URL suspectes Expéditeurs incohérents Mise en forme inhabituelle Les attaques générées par l’IA présentent de moins en moins ces indices. Les attaques modernes assistées par l’IA peuvent être parfaitement adaptées au contexte, irréprochables sur le plan grammatical et visuellement impossibles à distinguer d’un e-mail légitime. Et si la réponse consiste à demander aux salariés de s’arrêter et de vérifier auprès d’un collègue à chaque doute, le coût du dispositif augmente rapidement.   Le coût caché ## Deux coûts que le taux de clic ne révèle jamais Au-delà de leur efficacité limitée, les recherches mettent en évidence deux effets secondaires récurrents des campagnes de phishing simulé. 01 ### Excès de confiance Une part importante des salariés interprète la page de formation comme la preuve que les systèmes de l’entreprise interceptent les menaces réelles, plutôt que comme un enseignement à retenir. Effet recherché ↑ Vigilance face aux e-mails reçus Effet observé ↑ Confiance accordée aux e-mails reçus Une forme particulière d’excès de confiance : elle naît d’une mauvaise compréhension de l’exercice lui-même. Lain et al., 2022 & 2024 02 ### Érosion de la confiance Une seule ligne apparaît au budget. Pourtant, trois autres coûts sont bel et bien supportés par l’organisation. Confiance des salariés hors budget Culture organisationnelle hors budget Allocation des ressources hors budget Coût direct de mise en œuvre sur la facture L’étude met en évidence des coûts cachés importants qui s’ajoutent aux coûts directs de mise en œuvre. Brünken, Buckmann, Hielscher & Sasse — USENIX Security, 2023   Ce qui fonctionne réellement ## Trois approches étayées par les recherches La sensibilisation à la cybersécurité n’est pas inutile. Les recherches montrent au contraire assez clairement ce qui fonctionne réellement. 01 ### Les rappels sont plus efficaces que la simple transmission de connaissances Un contenu conçu pour transmettre une leçon ↓ Des rappels réguliers et crédibles, là où arrivent les véritables menaces L’effet de rappel produit par les simulations entraîne des résultats mesurables, même lorsque le contenu de formation lui-même n’est pas lu. Lain et al., 2024 02 ### La sécurité psychologique favorise des comportements plus authentiques Formation corrective nominative et visible par les responsables ↓ Anonyme, sans public et sans conséquence Le sentiment d’être capable d’adopter un comportement est l’un des facteurs qui déterminent le plus fortement sa capacité à se maintenir dans le temps. La crainte d’être pris en faute, elle, freine un engagement sincère. Bandura — sentiment d’efficacité personnelle 03 ### Les attaques ne se limitent pas à un seul canal E-mail — simulé SMS Teams LinkedIn Codes QR Appels téléphoniques Étendre les simulations à tous les canaux reviendrait à surveiller les salariés dans presque tous les aspects de leur vie professionnelle. La bonne réponse n’est pas davantage de surveillance, mais davantage de pratique : apprendre à reconnaître des tactiques variées dans un environnement unique, sûr et motivant. Les simulations ne couvrent qu’un canal parmi beaucoup d’autres   L’approche CyberCoach ## Un dialogue, pas une simple page de formation Une pédagogie fondée sur le dialogue : la compréhension se construit par le raisonnement, pas simplement en cliquant. Étape 01 ### Un scénario réaliste Directement dans l’outil qu’ils utilisent déjà : Teams, Slack ou un navigateur. Étape 02 ### Ils répondent avec leurs propres mots Ils expliquent leur raisonnement au lieu de simplement cliquer pour avancer. Étape 03 ### Un retour immédiat et personnalisé Directement dans le contexte, alors que le scénario est encore frais à l’esprit. Étape 04 ### Des analyses et des rapports réellement utiles Les formations terminées avec succès sont enregistrées afin que vous puissiez apporter la preuve de leur réalisation. En revanche, les réponses données par les utilisateurs ne le sont jamais. Le système fonctionne avec des identifiants Slack ou Microsoft UUID pseudonymisés. Anonyme par défaut : les réponses ne sont jamais visibles par les responsables Des rappels là où les vraies menaces arrivent, pas dans un portail séparé Aucun coût social lorsqu’on se trompe ### Recevez les dernières informations sur la sensibilisation à la sécurité **Conseils d’experts :** Restez informé grâce à un contenu sélectionné, des avis d’experts et des études de cas pertinents pour la stratégie de sensibilisation à la sécurité de votre organisation. **Offres spéciales :** Accédez aux réductions CyberCoach et aux offres early bird. **Restez informé :** Recevez directement dans votre boîte mail les dernières informations et mises à jour sur les tendances en matière de sécurité, les menaces et les bonnes pratiques. **Email professionnel\*** ![cybercoach\_logo\_white.svg.2023\_03\_15\_16\_58\_04.0](https://www.cybercoach.com/hubfs/cybercoach_logo_white.svg.2023_03_15_16_58_04.0.svg) ### Produit - Pour les Développeurs - Sécurité IA - [Impact social](https://www.cybercoach.com/social-impact?hsLang=fr) - [Gérer l’Abonnement](https://billing.stripe.com/p/login/28o4jRclF4gab1C6oo) - [FAQ](https://www.cybercoach.com/faq?hsLang=fr) ### Connecter - [Partenariat](https://www.cybercoach.com/fr/programme-partenaire?hsLang=fr) - [Carrières](https://www.cybercoach.com/careers?hsLang=fr) - [Pour les Médias](https://www.cybercoach.com/media?hsLang=fr) - [Contactez-Nous](https://www.cybercoach.com/fr/contactez-nous?hsLang=fr) ### Légal - [Confidentialité](https://www.cybercoach.com/cybercoach-website-privacy?hsLang=fr) - [Conditions générales](https://www.cybercoach.com/general-terms?hsLang=fr) ### Entreprise - [À Propos de Nous](https://www.cybercoach.com/about-us?hsLang=fr) - [Événements](https://www.cybercoach.com/events?hsLang=fr) - [Blog](https://blog.cybercoach.com?hsLang=fr) - [Politique ESG](https://www.cybercoach.com/esg-policy?hsLang=fr) © 2025 CyberCoach Tous droits réservés ```json { "@context" : "https://schema.org", "@id" : "https://www.cybercoach.com/#organization", "@type" : "Organization", "foundingDate" : "2019", "legalName" : "Cult Security", "logo" : "https://www.cybercoach.com/hubfs/CyberCoach_Full_Logo_Black-2.svg", "name" : "CyberCoach", "sameAs" : [ "https://www.linkedin.com/company/cult-security", "https://x.com/cybercoachUS", "https://www.instagram.com/cybercoachus/", "https://www.youtube.com/@CyberCoachOfficial" ], "url" : "https://www.cybercoach.com/" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://www.cybercoach.com/#software", "@type" : "SoftwareApplication", "applicationCategory" : "BusinessApplication", "applicationSubCategory" : "Security awareness and AI skills training", "availableLanguage" : [ "English", "Spanish", "Portuguese (Brazil)", "Portuguese (Portugal)", "French", "Dutch", "German", "Swedish", "Finnish" ], "description" : "CyberCoach is a role-based security awareness, privacy and AI skills training platform that runs as a conversational app inside Microsoft Teams, Slack or a web browser. Employees practice AI skills and responding to social engineering in short, psychologically safe scenario-based sessions. Learning is anonymous while successful completions are recorded per user so the organization can evidence training completion for compliance. CyberCoach can also run on pseudonymous identifiers such as Slack or Microsoft UUIDs, with no personal data shared with CyberCoach.", "featureList" : [ "Conversational phishing and social engineering challenges", "Role-based training programs for technical and non-technical roles", "AI security and AI use training", "Secure coding training for developers", "OT security training", "Custom content creation", "Compliance assessments (ISO/IEC 27001, GDPR, AI compliance)", "Anonymous learning with per-user completion records for compliance", "Optional pseudonymous deployment using Slack or Microsoft UUIDs" ], "name" : "CyberCoach", "offers" : [ { "@type" : "Offer", "description" : "Cover the basics.", "name" : "Starter", "price" : "49", "priceCurrency" : "EUR" }, { "@type" : "Offer", "description" : "Broad topic coverage, custom content, hosted kick-off.", "name" : "Advanced", "price" : "159", "priceCurrency" : "EUR" }, { "@type" : "Offer", "description" : "Full coverage, 24/7 AI chat, compliance assessments, hosted kick-off.", "name" : "Complete", "price" : "179", "priceCurrency" : "EUR" } ], "operatingSystem" : "Microsoft Teams, Slack, Web browser, iOS, Android", "publisher" : { "@id" : "https://www.cybercoach.com/#organization" }, "url" : "https://www.cybercoach.com/" } ``` ```json { "@context" : "https://schema.org", "@id" : "https://www.cybercoach.com/#faq", "@type" : "FAQPage", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "CyberCoach is a security awareness, privacy and AI skills training platform that runs inside Microsoft Teams, Slack or a web browser. Employees practice role-based skills such as responding to social engineering, ethical and productive use of AI and even secure coding skills in short conversational scenarios. Learning is anonymous, while successful completions are stored so the organization can evidence training completion for compliance frameworks such as ISO/IEC 27001 and SOC 2." }, "name" : "What is CyberCoach?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Yes, but not by sending deceptive emails to employees. CyberCoach uses conversational phishing challenges in which employees practice recognizing and responding to social engineering scenarios in Teams, Slack or the browser. Peer-reviewed research, including Lain et al. (ETH Zurich, 2022 and 2024), finds that traditional email-based simulated phishing does not reduce risk and can increase misplaced trust in the inbox." }, "name" : "Does CyberCoach do phishing tests?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "No. Learning is anonymous: how an employee answered a training scenario is never visible to managers or administrators. What is recorded is successful completion, so the organization can evidence who has completed required training for compliance purposes. This is privacy by design: the sensitive part of the interaction stays private, and only the completion fact is retained." }, "name" : "Are individual employee answers visible to managers?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Yes. CyberCoach can be deployed using pseudonymous identifiers, such as Slack or Microsoft UUIDs, so no personal data is shared with CyberCoach. Compliance reporting still works: the mapping between a UUID and a real person is resolved only for authenticated and authorized administrators within the customer's own organization." }, "name" : "Can CyberCoach be used without sharing personal data?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "CyberCoach supports security awareness and secure development training requirements under ISO/IEC 27001 and SOC 2, and includes assessments covering ISO 27001, GDPR and AI compliance on the Complete plan." }, "name" : "Which compliance requirements does CyberCoach support?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "CyberCoach is available in English, Spanish, Portuguese (Brazil), Portuguese (Portugal), Polish, French, Dutch, German, Swedish, Norwegian, Danish and Finnish, with more languages in development." }, "name" : "Which languages does CyberCoach support?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Plans start at 49 EUR per month for Starter, 159 EUR per month for Advanced and 179 EUR per month for Complete, available monthly or yearly, including through the Microsoft Azure Marketplace." }, "name" : "How much does CyberCoach cost?" } ] } ```