Outils de simulation de phishing : le comparatif 2026

Dix-sept solutions de simulation de phishing sont proposées aux organisations françaises, sans compter le logiciel libre GoPhish. Elles se distinguent surtout par les canaux simulés, le lieu d'hébergement des données, la transparence des prix et la possibilité de commander via l'UGAP. Voici ce que chaque éditeur affiche publiquement au 3 novembre 2026.

Six critères pour comparer

• Les canaux simulés : e-mail, SMS, QR code, appel téléphonique, clé USB. Les attaques réelles ne se limitent pas à la messagerie.
• Ce qui suit le clic : page pédagogique immédiate, rappel personnalisé, module court. C'est à ce moment que le collaborateur apprend le plus.
• L'intégration : synchronisation des collaborateurs depuis Microsoft Entra ID ou Google Workspace, bouton de signalement dans Outlook.
• L'hébergement des données : France, Union européenne ou hors d'Europe. Les résultats des simulations sont des données personnelles.
• Le prix : public ou sur devis, avec ou sans engagement.
• L'achat public : une solution référencée à l'UGAP peut être commandée par une collectivité ou une administration sans appel d'offres propre.

Les éditeurs français

Onze solutions conçues par des sociétés françaises, par ordre alphabétique. Les canaux et l'hébergement sont ceux que chaque éditeur annonce.

Arsen

Arsen met l'accent sur les attaques avancées : en plus de l'e-mail, l'éditeur simule des SMS, des QR codes, des appels avec une voix générée par IA et des deepfakes. La sensibilisation repose sur du micro-apprentissage de quelques minutes par mois, adapté au rôle de chacun. Prix sur devis, sans essai gratuit ; Arsen annonce un hébergement dans l'Union européenne par défaut.

Bluesecure

Éditée par Bluedigital, à Puteaux, Bluesecure propose trois offres sur devis : Essentiel, Premium et Ultimate. L'e-mail et le QR code sont inclus dans toutes ; les SMS, les clés USB et les appels en deepfake vocal sont réservés à l'offre Ultimate ou facturés sur devis. Les contenus incluent mini-jeux et escape games. La plateforme est hébergée en France, avec une option SecNumCloud sur devis.

Conscio Technologies (Sensiwave)

Installé à Plescop, dans le Morbihan, Conscio Technologies édite la plateforme Sensiwave : simulations par e-mail, SMS et QR code, et une large palette de formats de sensibilisation (modules, quiz, serious games, vidéos interactives). L'hébergement est assuré en France. Aucun prix n'est publié : l'éditeur propose une démonstration.

Hucency (ex-Avant de cliquer)

Créé en 2017 près de Rouen, Avant de cliquer s'appelle Hucency depuis octobre 2025. La plateforme simule l'e-mail, le SMS, l'appel et le QR code, et ajuste la fréquence et la difficulté des tests au comportement de chacun. Elle est hébergée en France et l'éditeur affiche une certification ISO 27001. Prix non affiché.

Kamaé

La start-up parisienne mise sur la gamification : micro-apprentissages de moins de cinq minutes, quiz mensuel, ceintures de progression et classements par équipe, avec des tests de phishing automatisés. Son site ne précise ni les canaux simulés ni le lieu d'hébergement de la plateforme, et les prix sont communiqués sur demande.

LePhish

Éditeur parisien fondé en 2023, LePhish envoie des simulations par e-mail, SMS et QR code, avec une méthode en trois temps : la simulation le jour J, un rappel personnalisé le lendemain pour le collaborateur piégé, puis un serious game une semaine plus tard. Les données sont hébergées en France, chez OVHcloud. Le prix est public, de 0,50 € à 0,35 € HT par utilisateur et par mois, gratuit jusqu'à 10 utilisateurs, avec un essai de 30 jours sans carte bancaire.

Mailinblack (Cyber Coach)

Connu pour sa protection de messagerie, le Marseillais Mailinblack propose aussi Cyber Coach : simulations par e-mail (dont rançongiciel et fausse fenêtre de connexion), par QR code et par clé USB, avec une sensibilisation au moment de l'erreur et une académie en ligne. Les centres de données sont en France. Prix sur devis.

nophi.sh

Édité par NXT Initiative, à Paris, nophi.sh vise les PME de 50 à 500 salariés. Les simulations passent par e-mail ; l'éditeur prévoit d'y ajouter les SMS. Après un clic, un débrief de quelques minutes puis un cours sont assignés. Les données sont hébergées en France chez Nextmap. Les prix sont publics, par palier : de 79,20 € HT par mois (jusqu'à 50 utilisateurs, en paiement annuel) à 249 € HT par mois (jusqu'à 200 utilisateurs, en paiement mensuel), avec un essai de 14 jours.

Oppens

Filiale du groupe Société Générale, Oppens simule le phishing par e-mail, SMS, Teams et Slack, avec pièces jointes et QR codes, et propose des formats de deux à trente minutes ainsi que des formations avec un expert. Prix affiché : à partir de 3,20 € par personne et par an, avec un forfait minimum de 1 960 € par an jusqu'à 100 salariés ; une offre dédiée aux collectivités démarre à 1 500 € par an. Le lieu d'hébergement n'est pas précisé.

Phosforea

Phosforea, réunie avec June-Factory sous le nom June Factory selon sa fiche UGAP, propose des campagnes de faux e-mails de phishing et une plateforme d'e-learning en huit langues, avec un essai gratuit de 15 jours. Prix et lieu d'hébergement non affichés.

Riot

Start-up française passée par l'accélérateur Y Combinator, Riot simule l'e-mail et le SMS et forme les équipes avec Albert, un coach conversationnel dans Teams, Slack et Google Chat. Les données sont hébergées dans l'Union européenne (AWS en Irlande, Azure en France). Prix public : 5,89 € par employé et par mois, payé à l'année, avec un essai gratuit.

Les éditeurs internationaux

Six solutions d'éditeurs étrangers, proposées en France.

KnowBe4

Société américaine détenue par le fonds Vista Equity Partners, KnowBe4 simule l'e-mail, le QR code, la clé USB et, depuis juillet 2026, l'appel téléphonique, disponible en français dans l'offre SAT Advanced. Sa bibliothèque de contenus est très large. Le prix est public, de 2,28 € à 1,55 € par poste et par mois en SAT Foundation, avec un engagement de 3 ans, et le client choisit le pays de stockage de ses données. Voir notre comparatif Alternative française à KnowBe4.

Microsoft Attack Simulation Training

Intégré à Microsoft Defender for Office 365 Plan 2 et à Microsoft 365 E5, Attack Simulation Training simule des e-mails contenant un lien, une pièce jointe ou un QR code, et assigne des formations. Il n'est pas vendu seul : le Plan 2 coûte 4,30 € HT par utilisateur et par mois. Ses données sont stockées avec les autres données Microsoft 365 du client. Voir notre comparatif LePhish ou Microsoft Attack Simulation Training.

SoSafe

Éditeur allemand installé à Cologne, SoSafe propose des simulations par e-mail et, dans son offre Advanced, par SMS et par appel, avec des leçons courtes et gamifiées présentées juste après le clic. La plateforme est hébergée dans l'Union européenne. Les packs démarrent à 625 € par mois, 50 licences incluses, en facturation annuelle.

Hoxhunt

Fondé en Finlande en 2016, Hoxhunt simule l'e-mail, les messages Teams, le SMS (en service géré par ses équipes) et l'appel avec une voix générée par IA, et augmente la fréquence des tests pour ceux qui cliquent souvent. Les données sont hébergées par défaut dans l'Espace économique européen, certains sous-traitants opérant aux États-Unis. Prix sur devis.

Proofpoint ZenGuide

Le programme de sensibilisation de l'américain Proofpoint s'appelle ZenGuide depuis septembre 2024. Il simule l'e-mail, le SMS, le QR code et la clé USB, et inscrit automatiquement aux formations ciblées ceux qui se font piéger. L'hébergement se fait chez AWS, dans une région qui dépend de la localisation du client, dont l'Irlande. Prix sur devis.

LibraCyber (ex-Mantra)

Mantra, start-up française rachetée en 2025 par l'italien Cyber Guru, fait désormais partie de LibraCyber, groupe né en 2026 du rapprochement de Cyber Guru et de Libraesva. La plateforme simule l'e-mail, le SMS, le QR code et des vidéos en deepfake, et forme par des vidéos, des jeux et un assistant conversationnel. Elle est hébergée en Europe. Prix sur devis ; la fiche UGAP est au nom de Mantra (Cyber Guru).

Le logiciel libre : GoPhish

GoPhish, sous licence MIT, est gratuit mais à installer et à faire fonctionner soi-même : serveur, relais d'envoi, domaines, modèles et pages de simulation. Il ne simule que l'e-mail, et sa dernière version publiée date de septembre 2022. Les autres options sans frais sont détaillées dans notre guide Simulation de phishing gratuite : quelles options en 2026 ?

Comment choisir selon votre situation

• Collectivité ou administration : passer par l'UGAP évite de lancer votre propre appel d'offres. Douze éditeurs de ce comparatif ont une fiche sur ugap.fr ; confirmez auprès de l'UGAP que l'offre est commandable. Les démarches sont détaillées dans notre guide Acheter une solution anti-phishing via l'UGAP.
• Données hébergées en France : LePhish, Bluesecure, Conscio, Hucency, Mailinblack et nophi.sh l'annoncent. Riot, Arsen, SoSafe, Hoxhunt et LibraCyber hébergent en Europe, et KnowBe4 propose l'Irlande ou l'Allemagne.
• Simulations au-delà de l'e-mail : le SMS est proposé notamment par LePhish, Riot, Arsen, Conscio, Hucency, Oppens, Hoxhunt, Proofpoint et LibraCyber, et par SoSafe et Bluesecure dans leurs offres les plus complètes ; l'appel téléphonique par Arsen, Hucency, Bluesecure, KnowBe4, SoSafe et Hoxhunt.
• Déjà équipé de Microsoft 365 E5 : Attack Simulation Training est inclus ; un outil dédié se justifie si vous voulez d'autres canaux, comme le SMS, ou des domaines d'envoi plus variés.
• Budget maîtrisé : les prix publics permettent de chiffrer sans rendez-vous commercial. Les calculs pour 50, 100 et 200 utilisateurs sont dans notre guide Combien coûte une simulation de phishing en 2026 ?

Le plus sûr reste de tester en conditions réelles : l'essai gratuit de LePhish dure 30 jours, sans engagement et sans carte bancaire.