LePhish ou Microsoft Attack Simulation Training : lequel choisir ?

Si vos boîtes mail sont chez Microsoft 365 ou Office 365, vous avez sans doute croisé Attack Simulation Training, l'outil de simulation de phishing intégré à Microsoft Defender. Voici ce qu'il comprend, ce qu'il coûte et ce qui le distingue de LePhish, d'après la documentation publique de Microsoft consultée le 3 novembre 2026.

L'essentiel en un tableau

Attack Simulation Training : quelles licences ?

Attack Simulation Training est le module de simulation de phishing de Microsoft Defender for Office 365. Il se pilote depuis le portail Microsoft Defender du tenant et permet d'envoyer des e-mails piégés à ses utilisateurs, puis de leur affecter des formations.

Il n'existe que dans le Plan 2 de Defender for Office 365. On le trouve donc dans les offres qui incluent ce Plan 2 : Defender for Office 365 Plan 2 seul, Microsoft 365 E5 et E7, Office 365 E5, la Suite Microsoft Defender (anciennement Microsoft 365 E5 Security) et sa déclinaison pour Microsoft 365 Business Premium. Les clients E3 disposent seulement d'un essai réduit : une charge utile de collecte d'identifiants et le choix entre deux formations.

Depuis le 1er juillet 2026, Microsoft 365 E3 et Office 365 E3 incluent le Plan 1 de Defender for Office 365. Ce Plan 1 ne comprend pas Attack Simulation Training.

Combien coûte chaque solution ?

Attack Simulation Training n'a pas de prix propre : il faut acquérir une offre qui contient le Plan 2. Voici les prix publics affichés par Microsoft France le 3 novembre 2026, hors taxes, par utilisateur et par mois, en paiement annuel. Microsoft précise qu'ils peuvent varier selon le contrat du client.

Ces offres comprennent bien d'autres protections que la simulation de phishing (analyse des liens et des pièces jointes, anti-hameçonnage, investigation…). Si votre organisation dispose déjà de Microsoft 365 E5, Attack Simulation Training ne vous coûte rien de plus.

LePhish est un abonnement dédié, au prix public dégressif : 0,50 € HT par utilisateur et par mois de 11 à 99 utilisateurs, 0,45 € de 100 à 299, 0,42 € de 300 à 499, 0,40 € de 500 à 999 et 0,35 € au-delà ; gratuit jusqu'à 10 utilisateurs. Pour 100 utilisateurs, cela représente 540 € HT par an, simulations, sensibilisation et tableau de bord compris.

Les fonctions, côte à côte

Canaux et techniques

Attack Simulation Training propose sept techniques par e-mail : collecte d'identifiants, pièce jointe malveillante, lien dans une pièce jointe, lien vers un logiciel malveillant, téléchargement furtif (drive-by), demande de consentement OAuth et guide pratique. Le lien peut être remplacé par un QR code. La documentation consultée ne décrit pas de simulation par SMS, et la diffusion dans Teams, testée en préversion privée, n'y figure plus.

LePhish envoie des simulations par e-mail, par SMS et par QR code, à partir de scénarios réalistes (faux e-mails Microsoft, avis de livraison, demandes RH…) calibrés sur le niveau de chaque équipe.

Domaines utilisés

Chez Microsoft, l'adresse du lien piégé est choisie dans une liste fixe publiée par Microsoft ; le nom et l'adresse de l'expéditeur restent personnalisables. Microsoft prévient que Google Safe Browsing peut bloquer certaines de ces adresses dans Chrome et qu'il faut les autoriser dans les filtres de sécurité tiers.

LePhish utilise ses propres domaines de simulation, dédiés à cet usage et choisis selon le scénario. Ils sont publiés sur la page de whitelisting, pour que vos filtres les laissent passer.

Sensibilisation et formation

Microsoft fournit ses modules de formation en partenariat avec Terranova Security, dans une quarantaine de langues dont le français. Les formations sont affectées automatiquement ou selon des déclencheurs (clic, compromission), avec une échéance de 7, 15 ou 30 jours.

LePhish suit une méthode en trois temps : la simulation le jour J, un rappel pédagogique personnalisé le lendemain pour le collaborateur piégé, adapté au scénario reçu, puis un serious game une semaine plus tard pour ancrer les bons réflexes. Les modules interactifs et les vidéos, chacun suivi d'un quiz, sont modifiables, et un éditeur permet de créer les vôtres.

Automatisation et rapports

Les deux outils planifient des campagnes récurrentes et produisent des rapports détaillés. Microsoft ajoute des fonctions propres à son écosystème : charges utiles générées à partir de vrais e-mails signalés, taux de compromission prédit, API Microsoft Graph. LePhish fournit un tableau de bord en temps réel et des exports PDF, Excel et CSV pour les audits ISO 27001 et NIS2.

Contraintes techniques

Attack Simulation Training suppose un tenant Microsoft 365 avec des boîtes Exchange Online. Les boîtes Exchange sur site, en environnement hybride, sont prises en charge avec des rapports réduits ; la documentation ne prévoit rien pour des boîtes hébergées ailleurs, chez Google Workspace par exemple. Le journal d'audit doit être activé, faute de quoi les rapports restent vides.

LePhish fonctionne avec toutes les messageries. Comme pour tout prestataire, vos filtres doivent reconnaître nos envois : sous Microsoft 365, cela passe par la remise avancée, le réglage prévu par Microsoft pour les simulations de prestataires, et notre script PowerShell l'applique en quelques minutes.

Données et hébergement

Les données d'Attack Simulation Training sont stockées avec celles du tenant Microsoft 365. Microsoft classe Defender for Office 365 parmi les services exclus de son engagement EU Data Boundary, en indiquant que la plupart de leurs données sont transférées et stockées aux États-Unis ; la page ne détaille pas le cas propre aux simulations.

Chez LePhish, toutes les données sont hébergées en France, sur des serveurs dédiés chez OVHcloud, et LePhish agit comme sous-traitant au sens du RGPD.

Lequel choisir ?

Attack Simulation Training est un choix naturel si votre organisation dispose déjà de Microsoft 365 E5 ou de la Suite Microsoft Defender, si toutes vos boîtes sont chez Microsoft et si votre équipe informatique pilote déjà le portail Defender.

LePhish répond mieux à votre besoin si :

• vous n'avez pas de licence E5 et cherchez un coût maîtrisé ;
• vos messageries sont mixtes, ou hors Microsoft ;
• vous voulez aussi des simulations par SMS ;
• vous voulez une solution conçue en français, un accompagnement direct par l'éditeur et des données hébergées en France ;
• vous êtes une collectivité ou une administration et souhaitez commander via l'UGAP.

Vous pouvez comparer par vous-même : l'essai gratuit de LePhish dure 30 jours, sans engagement et sans carte bancaire.