Test de phishing pour les collectivités et le secteur public

Les collectivités, une cible régulière

Les collectivités gèrent des données sensibles et des services essentiels, avec des équipes informatiques souvent réduites. Les chiffres publics le confirment :

• en 2024, l'ANSSI a traité 218 incidents touchant des collectivités territoriales, soit 14 % de l'ensemble des incidents qu'elle a traités ; les comptes de messagerie compromis représentaient 30 % des événements signalés ;
• en 2025, Cybermalveillance.gouv.fr a assisté 5 078 collectivités et administrations, 22 % de plus qu'en 2024 ;
• l'hameçonnage figure parmi les deux premières menaces signalées par les collectivités et administrations : première en 2024 (24 %), deuxième en 2025 (19,2 %), juste derrière le piratage de compte.

Former les agents à reconnaître un message piégé est une mesure essentielle, et la simulation permet de les entraîner en conditions réelles.

Deux façons simples d'acheter LePhish

Via l'UGAP, sans appel d'offres

LePhish est référencé à l'UGAP, la centrale d'achat public. Selon l'article L2113-4 du Code de la commande publique, un acheteur qui passe par une centrale d'achat est réputé avoir respecté ses obligations de publicité et de mise en concurrence, quel que soit le montant. Il suffit d'exprimer votre besoin depuis notre fiche éditeur sur ugap.fr pour recevoir un devis et commander en ligne.

En achat direct, sous 60 000 € HT

Depuis le 1er avril 2026, les marchés de fournitures et de services dont la valeur totale reste sous 60 000 € HT peuvent être conclus sans publicité ni mise en concurrence (article R2122-8). Le montant s'apprécie sur toute la durée du contrat : même pour 3 000 agents, trois ans d'abonnement restent sous ce seuil.

Le détail des démarches, textes à l'appui, est dans notre guide Acheter une solution anti-phishing via l'UGAP.

Ce que vos agents reçoivent

• Des simulations réalistes par e-mail, SMS et QR code, envoyées depuis des domaines dédiés et adaptées au niveau de chaque service.
• Une sensibilisation au bon moment : l'agent piégé reçoit le lendemain un rappel pédagogique adapté au scénario, puis un serious game une semaine plus tard.
• Des modules interactifs et des vidéos, chacun suivi d'un quiz, tous modifiables pour coller à votre organisation.
• Un tableau de bord par service et des rapports PDF, Excel et CSV pour vos instances et vos audits.
• Plusieurs organisations dans un même compte : une intercommunalité, un centre de gestion ou un groupement suit chaque structure séparément.
• Votre identité : marque blanche ou co-marquage, et envoi des e-mails de sensibilisation depuis votre propre serveur.

Tarifs publics

Un prix unique par agent, dégressif, sans engagement, tout compris. Exemples de coût annuel au prix public direct :

Jusqu'à 10 utilisateurs, LePhish est gratuit. Via l'UGAP, le prix figure sur le devis de la centrale. Voir aussi la page Tarification.

Données, RGPD et comité social

Toutes les données sont hébergées en France, sur des serveurs dédiés chez OVHcloud. LePhish agit comme sous-traitant au sens du RGPD, et les mots de passe saisis sur les pages de simulation ne sont jamais conservés.

Avant la première campagne, associez votre DPO, informez les agents de l'existence du programme et présentez-le au comité social territorial : notre guide RGPD, CSE et information des collaborateurs détaille ce qui relève de l'obligation et de la bonne pratique.

Se préparer à NIS2

Le projet de loi de transposition de la directive NIS2, encore en discussion au Parlement, ferait des régions, des départements, des communes de plus de 30 000 habitants et des principales intercommunalités des entités essentielles ou importantes, avec des obligations de formation à la cybersécurité. Un programme de simulations régulières, avec des rapports à l'appui, vous permet d'anticiper : voir notre guide NIS2 et sensibilisation.