Faux colis en attente, facture impayée, mot de passe expiré, message urgent du dirigeant : l'hameçonnage (ou phishing) prend de nombreuses formes. Son but est toujours le même : vous faire cliquer sur un lien, ouvrir une pièce jointe ou transmettre une information. C'est encore aujourd'hui l'une des premières portes d'entrée des attaques contre les entreprises.
Les 7 signes qui doivent alerter
1. L'adresse de l'expéditeur
Le nom affiché peut être celui de votre banque ou d'un fournisseur, mais l'adresse réelle trahit souvent l'arnaque : domaine inconnu, faute d'orthographe dans le nom, suite de chiffres. Passez la souris sur le nom, ou appuyez longuement sur mobile, pour voir l'adresse complète.
2. L'urgence ou la menace
« Votre compte sera suspendu sous 24 heures », « dernier rappel avant poursuites » : la pression du temps empêche de réfléchir. C'est précisément l'effet recherché.
3. Les liens qui ne mènent pas où ils prétendent
Avant de cliquer, survolez le lien pour afficher sa véritable adresse. Méfiez-vous des adresses qui imitent un site connu avec un domaine différent, par exemple le nom de votre banque suivi d'un domaine sans rapport.
4. Les pièces jointes inattendues
Une facture que vous n'attendiez pas, un fichier compressé, un document qui demande d'« activer le contenu » ou les macros : n'ouvrez rien sans avoir vérifié auprès de l'expéditeur par un autre moyen.
5. Une demande d'informations sensibles
Aucune banque, aucune administration ne vous demande votre mot de passe, votre code de carte ou un code reçu par SMS par e-mail.
6. Un changement de coordonnées bancaires
C'est l'arnaque la plus coûteuse pour les entreprises : un faux fournisseur, ou un faux dirigeant, demande de régler une facture sur un nouveau RIB. Toute modification de coordonnées bancaires doit être confirmée par téléphone, à un numéro que vous connaissez déjà.
7. Un message qui ne vous ressemble pas
Formules inhabituelles, tutoiement soudain, demande hors procédure : si un message d'un collègue ou du dirigeant sort de l'ordinaire, vérifiez de vive voix.
Le bon réflexe tient en une phrase : en cas de doute, vérifiez par un autre canal, jamais en répondant au message suspect.
Que faire si vous avez cliqué ?
Pas de panique, mais agissez vite :
- Si vous avez saisi un mot de passe, changez-le immédiatement, ainsi que sur tous les services où vous utilisiez le même, et activez la double authentification.
- Si vous avez ouvert une pièce jointe, déconnectez l'appareil du réseau (Wi-Fi et câble), sans l'éteindre, et prévenez votre prestataire informatique.
- Si vous avez communiqué des coordonnées bancaires, appelez immédiatement votre banque pour faire opposition.
- Prévenez vos collègues : le même message a probablement été envoyé à plusieurs personnes.
- Signalez le message : sur signal-spam.fr (nouvel onglet) pour les e-mails, au 33700 pour les SMS frauduleux, et sur cybermalveillance.gouv.fr (nouvel onglet) pour être accompagné.
Réduire le risque dans l'entreprise
Aucun filtre ne bloque 100 % des messages piégés. La meilleure protection combine des mesures techniques et humaines :
- un filtrage anti-spam correctement configuré sur la messagerie ;
- la double authentification sur tous les comptes, pour qu'un mot de passe volé ne suffise pas ;
- une procédure écrite pour tout changement de coordonnées bancaires ;
- une sensibilisation régulière de l'équipe, avec des exemples concrets tirés de votre secteur.
Nous organisons des sessions de sensibilisation courtes et pratiques, adaptées aux outils de votre entreprise, dans le cadre de notre offre audit et cybersécurité. Pour les autres mesures de base, consultez notre article sur les 10 mesures essentielles de cybersécurité.
