Une formation où on ne lit pas la cybersécurité, on la vit. Cas réels chronométrés, débats contradictoires, simulations de crise H+0 à H+24.
Ton mot de passe vient d'apparaître dans une base qui a fuité cette nuit. Change-le maintenant. Si tu mets plus de 8 secondes, un bot l'aura déjà essayé sur tes comptes.
Notre lab a estimé qu'il tomberait en moins d'une seconde face à une attaque par force brute classique. Dans la vraie vie, c'est le genre de mot de passe qui ouvre une boîte mail pro, un VPN, ou tout le SI d'une PME.
Sur les fuites de données analysées en 2024-2025, les variantes de ce mot de passe figurent dans plus de 800 000 entrées.
Pas de panique : rien n'est envoyé, tout reste dans ton navigateur. C'est exactement le diagnostic qu'on fait sur les mots de passe d'équipe en module 02.
C'est une nuance énorme, et c'est elle qui guide toute la formation. L'angle est résolument décisionnel. À la sortie, l'apprenant a vu défiler une vingtaine de situations qui vont lui arriver dans sa carrière, et il a déjà eu à les jouer. Quand la vraie crise viendra, il aura un réflexe au lieu d'avoir une question.
La formation s'appuie sur Sophia, le catalogue cyber et IA d'AlphAstra. Sophia a été construit avec des médecins, des juristes, des dirigeants et des animateurs pédagogiques. Le récit, les personnages mentors, les médailles de progression et les anti-décrochages sont importés tels quels, et adaptés au présentiel.
Idéal pour les personnes qui n'ont pas de bagage technique. La formation s'adresse à toute personne qui veut comprendre les enjeux cyber et IA dans son travail : salariés, indépendants, agents publics, fondateurs, RH, communicants, dirigeants, apprenants en formation initiale. Aucun pré-requis technique : on part du vocabulaire, on installe les bons réflexes, on entraîne les gestes. Le ton, la profondeur des cas et la durée des modules sont ajustés une fois le public confirmé.
Un ordinateur, une messagerie professionnelle ouverte, et l'envie de se confronter à des situations inconfortables, ça suffit. L'effectif idéal se situe entre vingt et trente personnes. Au-delà, les ateliers se dédoublent, sinon la pratique perd ce qui fait sa valeur.
Chaque compétence est observable, mesurable, et entraînée en salle. Pas de « sensibilisation au sujet de » qui ne se vérifie nulle part.
Phishing, ransomware, ingénierie sociale, deepfake, désinformation : qui attaque qui, pourquoi, et combien ça coûte vraiment.
Mots de passe, double authentification, données sensibles, comportement en déplacement. Sans ces bases, tout le reste est bavardage.
Phishing, faux site, deepfake vidéo, voix clonée. La cible des soixante secondes est exigeante, c'est ce que la vraie vie laisse.
Couper les accès, prévenir la bonne personne en interne, contacter les autorités compétentes (l'agence française de cybersécurité, le service de signalement), gérer la communication interne et préparer ce qu'on dira (ou pas) aux médias.
Deepfake, vishing IA, ingénierie sociale automatisée. On ne se défend bien que de ce qu'on comprend.
Vérifier si un site, un compte ou un communiqué est crédible avant de relayer. Reconnaître quand une vague d'avis négatifs ou de rumeurs vise volontairement une entreprise ou une personne — et savoir comment répondre (ou ne pas répondre).
Cadre de prompt solide, vérification anti-hallucination, conformité RGPD et AI Act qui n'attend pas la sanction pour exister.
On apprend en pratiquant, en débattant et en se trompant. C'est dans ce « se tromper » que la compétence s'installe.
Le cadre théorique, les chiffres récents, et au moins un cas tiré de l'actualité française pour ancrer.
Un quiz rapide ou un vote à main levée. On souffle un peu, et on voit ce que la salle a compris (et ce qu'elle n'a pas compris) avant d'attaquer l'atelier.
L'apprenant met les mains dedans : analyse de cas, débat, jeu de rôle, simulation, audit en direct. La modalité change selon le module.
Cinq tentatives de phishing réelles, chrono visible. Chaque apprenant a soixante secondes par mail pour le démasquer. Classement live de la promotion.
« Faut-il payer la rançon ? », « Faut-il communiquer publiquement ? », « Faut-il interdire l'IA en entreprise ? » Pas de bonne réponse, juste de bons arguments.
Un apprenant joue l'attaquant, un autre la cible. Appel vishing en direct, cellule de crise H+1, négociation avec un journaliste après une fuite.
Chaque apprenant cherche, en 15 minutes, ce qu'on peut trouver de lui en ligne avec des outils gratuits (réseaux sociaux, moteurs de recherche, archives publiques). Ce qu'il découvre suffit en général à le rendre durablement prudent.
L'outil maison d'AlphAstra est utilisé en classe pour démasquer un faux site préparé pour l'occasion, et challenger les sources que les apprenants citent.
Chacun repart avec une fiche qu'il a construite session après session. Elle lui ressemble, et lui sera utile longtemps après le diplôme.
Pas d'examen final classique. La note repose sur la participation active aux ateliers, un slalom final de douze mini-cas chronométrés, et le playbook personnel rendu en fin de formation. La pondération exacte est calée avec le responsable de formation côté commanditaire.
Pas besoin d'être expert cyber pour animer. Pour chaque module, AlphAstra fournit un guide d'animation pas-à-pas (déroulé minute par minute, scripts d'introduction, questions de relance, corrigés de chaque atelier). Les jeux de rôle (appel vishing, cellule de crise, négociation journaliste) sont livrés avec leurs grilles d'observation et leurs scénarios prêts à l'emploi. Les mini-jeux interactifs (phishing 60 s, password lab, etc.) sont aussi inclus dans le kit, prêts à projeter ou à intégrer sur le LMS de l'école.
Cinq signaux d'alerte se cachent dans ce mail. Clique sur ceux que tu repères. C'est exactement ce qu'on fait en classe, en plus rapide.
5 signaux d'alerte cachés dans ce mail. 60 secondes. Clique pour lancer.
Bonjour,
Nous avons detecté une activitée suspecte sur vottre compte. Pour éviter la suspension, vous devez confirmer vos identifiants immediatement.
Cliquez ici pour réactiver votre compte : https://microsoft-account-secure.tk/verify?id=xyz
Pièce jointe : 📎 facture_securite_compte.exe.pdf
Cordialement,
Service Sécurité Microsoft
Les modules incontournables. On va à l'essentiel sans diluer.
Couverture complète du socle cyber et désinformation, plus la prise en main professionnelle de l'IA générative.
La version complète. On y ajoute la conformité réglementaire et la simulation finale en cellule de crise, qui ancre tout le reste.
Chaque carte décrit ce qui se passe dans une session. La partie en bleu, en bas, indique l'atelier interactif qui suit l'apport. Aucun module ne fait l'impasse sur cette partie pratique.
La photo réelle du paysage cyber actuel : 4 PME françaises sur 5 ciblées dans l'année, deepfake vocal triplé en douze mois. On installe aussi le vocabulaire que les apprenants entendront partout : phishing, smishing, vishing, ransomware, ANSSI, CERT-FR, NIS2.
Mots de passe robustes, gestionnaires (Bitwarden, 1Password, Dashlane), double authentification généralisée, comportements en déplacement (Wi-Fi public, perte, vol). Sans ce socle, tout ce qui suit reste théorique.
Les cinq signaux qui déclenchent l'alarme intérieure : expéditeur, URL, urgence fabriquée, fautes inattendues, pièce jointe trop pratique. Une fois le modèle posé, on attaque la pratique.
Comment un rançongiciel s'installe, comment il se propage, pourquoi il ne faut jamais payer, et ce qu'on fait dans les premières soixante secondes. La chronologie de la réaction est aussi importante que la décision.
Comment l'œil et l'oreille peuvent encore détecter un deepfake en 2026 (yeux, dents, contours, intonation), quand ils ne le peuvent plus, et les outils sur lesquels s'appuyer. Le but n'est pas la paranoïa, c'est le doute productif.
Les quatre leviers que les attaquants exploitent sans relâche : autorité, urgence, exclusivité, validation sociale. Les comprendre, c'est aussi mieux lire ses interactions professionnelles ordinaires.
Quand une vague de faux avis tombe en 48 heures, ce n'est jamais un hasard. On apprend à reconnaître une campagne coordonnée et à choisir entre trois postures rarement abordées en formation : le silence, la réponse, le signalement DGCCRF.
Le cadre RCORCF pour structurer un prompt qui tient (Rôle, Contexte, Objectif, Ressources, Contraintes, Format), l'itération en trois passes, et les cinq endroits où une IA hallucine le plus : citations, chiffres, noms, dates, mentions légales. Introduction au sujet : ce module installe les réflexes essentiels en 2h. Pour aller plus loin (master prompt, multi-IA, conformité AI Act détaillée), c'est la formation IA générative complète qui prend le relais — sans doublon, les deux se prolongent.
Ce qu'il faut savoir de l'AI Act (art. 4, 14, 50), du RGPD côté cyber (art. 5, 32, 33), de NIS2 (art. 20) et de DORA (art. 13, 17). L'objectif n'est pas de vous transformer en juriste, c'est de vous permettre de reconnaître un sujet de conformité avant qu'il devienne un sujet de contentieux.
La session de bouclage. Un scénario tombe en début de séance (rançongiciel, deepfake du PDG, fuite client), tiré au sort. Les apprenants forment une cellule de crise. Le temps est réel, la pression aussi. C'est l'épreuve qui révèle ce que la formation a réellement installé.
Pour l'usage en classe, aucune licence payante n'est requise. Tous les outils tiers (Bitwarden, VirusTotal, Have I Been Pwned, etc.) sont gratuits dans leur version publique. WebScore, notre propre outil, est utilisable gratuitement pour l'usage pédagogique en classe — l'enseignant reçoit un accès dédié. Pour un usage récurrent ou intensif au-delà de la formation, WebScore propose un abonnement à discuter directement avec AlphAstra.
| Outil | Ce qu'on en fait en salle | Accès |
|---|---|---|
| WebScore, par AlphAstra | Évaluation de la crédibilité d'un site sur 15 critères avec IA Claude. On démasque un faux site préparé pour l'occasion, et on challenge les sources citées. | Accès enseignant fourni pour la classe · abonnement pour usage intensif au-delà |
| Bitwarden | Manipulation réelle d'un gestionnaire de mots de passe : création de coffre, partage sécurisé, génération de mots de passe forts. | Gratuit (plan Free suffit) |
| Intel FakeCatcher · Deepware | Détection de deepfake vidéo. Les apprenants soumettent des extraits, parfois piégés, pour voir où la machine se plante encore. | Gratuit (Deepware) / démo publique (FakeCatcher) |
| VirusTotal · URLscan | Vérification d'URL et de pièces jointes suspectes en direct, à partir des mails de phishing du module 3. | Gratuit, sans compte |
| Have I Been Pwned | Vérification de fuites de données, et exploitation pour la red team personnelle. | Gratuit, sans compte |
| Une IA générative | Claude, ChatGPT ou Mistral. Chaque apprenant en utilise une sur ses propres cas au module 8. | Compte gratuit suffit (Claude.ai Free, ChatGPT Free, Le Chat Mistral) |
| SignalConso (DGCCRF) | Signalement de faux avis et atteintes à la marque, à partir d'un cas réel de désinformation. | Gratuit, service public français |
Pas une certification réglementaire, mais un balayage propre de ce qu'il faut avoir vu pour ne pas se faire surprendre dans ses premières années de poste.
La formation se mesure aussi à ce qui reste un an plus tard. On distingue ce que l'apprenant emporte et ce que l'enseignant reçoit pour pouvoir poursuivre seul à la rentrée suivante.
Construite session après session, versionnée et capitalisable. Elle lui ressemble parce qu'il l'a construite lui-même.
Un cadre de prompt qui fonctionne, une check-list anti-hallucination, une mémoire des cas où il s'est planté en classe.
Tirée des ateliers de la promotion. Qu'il pourra rouvrir dans cinq ans en se demandant comment il réagirait aujourd'hui.
Récapitulant les modules suivis et les compétences couvertes, alignée sur les exigences de l'AI Act article 4 et de NIS2 article 20.
10 jeux de slides au format PowerPoint et Keynote, à la charte de l'école si besoin. Prêts à projeter ou à découper pour vos propres cours.
Une grille par compétence, alignée sur le slalom final de 12 mini-cas. Pour noter sans ambiguïté et défendre la note en commission.
Pour chaque cas du slalom : la réponse attendue, les pièges typiques, les variantes acceptables et la grille de notation. Permet de noter même sans expertise cyber.
Pour chaque session de 2h : déroulé minute par minute, scripts d'introduction, questions de relance, signaux à surveiller en salle, transitions vers l'atelier.
Jeux de rôle (vishing, cellule de crise, journaliste), mails de phishing à analyser, cas de désinformation, scripts de simulation H+24. Tous documentés avec rôles, contraintes, debrief.
Le Phishing 60 s et le Password Lab (les deux mini-jeux présents sur cette page) en HTML autonome — à projeter en classe ou à intégrer sur le LMS de l'école pour usage post-formation.
Plateforme en ligne en construction, ouverte aux enseignants partenaires : parcours interactifs, suivi des élèves, banque de questions d'examen. Arrivée prévue 2026.
L'intervention est assurée par un membre de l'équipe AlphAstra, partie prenante du programme Sophia dont est tirée cette formation. Tous nos intervenants ont la double casquette : la rigueur de gens qui construisent les outils que vous utilisez (WebScore, ArGus, Sophia), et le regard de celles et ceux qui voient la même attaque réussir contre des organisations différentes pour les mêmes raisons. Derrière AlphAstra (SAS) : Guillaume Dupont, président-fondateur, et Psy-X, responsable technique.
Pendant que vous lisez cette page, des PME, des écoles et des collectivités encaissent leur première crise. La vôtre n'est pas une exception, juste une question de calendrier.
Premier échange en visio sous huit jours. Devis adapté à votre public et à votre volume sous deux semaines.
Démarrer la conversation