Phishing : 8 réflexes pour ne pas mordre à l'hameçon
Faux fournisseur, faux livreur, faux dirigeant : les e-mails piégés sont de plus en plus crédibles. Huit réflexes simples à partager avec vos équipes.
Un e-mail bien imité, un lien, un formulaire : il suffit d'un clic pour qu'un attaquant récupère un mot de passe, installe un logiciel malveillant ou détourne un virement. Le phishing (ou hameçonnage) reste l'une des portes d'entrée les plus fréquentes des cyberattaques, et les messages sont désormais rédigés dans un français impeccable, souvent avec l'aide de l'IA. Les fautes d'orthographe ne suffisent plus à les repérer.
Voici huit réflexes simples à partager avec vos équipes.
1. Vérifiez l'expéditeur réel
Le nom affiché ne prouve rien : regardez l'adresse complète. Les attaquants utilisent des domaines qui ressemblent aux vrais, avec une lettre en plus, un tiret, ou une extension différente (.co au lieu de .com).
2. Survolez les liens avant de cliquer
Passez la souris sur le lien (ou faites un appui long sur mobile) pour afficher l'adresse de destination. Si elle ne correspond pas au site attendu, ne cliquez pas.
3. Méfiez-vous de l'urgence
« Votre compte sera suspendu sous 24 h », « virement urgent et confidentiel », « dernier rappel avant poursuites » : la pression est l'arme favorite des attaquants, car elle pousse à agir sans réfléchir.
4. Ne saisissez jamais vos identifiants depuis un lien reçu
Pour vous connecter à un service, passez toujours par le site ou l'application que vous utilisez habituellement, jamais par un lien reçu par e-mail ou SMS.
5. Confirmez les demandes de paiement par un autre canal
Changement de RIB d'un fournisseur, virement demandé par un dirigeant en déplacement : rappelez votre interlocuteur sur un numéro que vous connaissez déjà, pas sur celui indiqué dans le message.
6. Prudence avec les pièces jointes et les QR codes
Méfiez-vous des pièces jointes inattendues, des fichiers compressés, des documents qui demandent d'activer les macros et des QR codes envoyés par e-mail : ils mènent souvent vers les mêmes faux formulaires.
7. Activez l'authentification multifacteur
Même si un mot de passe est volé, un second facteur (application d'authentification, clé de sécurité) empêche dans la plupart des cas l'attaquant de se connecter. Ce n'est pas infaillible, mais c'est l'une des protections les plus efficaces.
8. Signalez, même si vous avez cliqué
Prévenez votre service informatique dès que vous avez un doute. Et si vous avez cliqué ou saisi un mot de passe, dites-le immédiatement : chaque minute compte, et il n'y a aucune honte à avoir. Les attaquants comptent justement sur le silence.
Exemple : un faux avis d'impayé
Objet : Échec de paiement : action requise sous 24 h
Bonjour, votre dernier règlement n'a pas pu être traité. Pour éviter la suspension de votre service, mettez à jour vos informations de paiement avant demain 12 h en cliquant sur le bouton ci-dessous.
[ Mettre à jour mes informations ]
Les signaux d'alerte : un domaine inconnu en .co, une salutation impersonnelle, un délai très court, une menace de suspension et un bouton qui masque l'adresse réelle du lien.
Former, c'est bien. S'entraîner, c'est mieux
Une présentation annuelle ne suffit pas : les bons réflexes s'acquièrent par la pratique. C'est pour cela que nous avons créé Phisheur : des campagnes de phishing simulées, en français et adaptées à chaque métier (comptabilité, direction, RH, informatique). Un collaborateur qui clique arrive sur une page pédagogique qui lui explique ce qu'il aurait dû repérer, et vous suivez les progrès de vos équipes campagne après campagne.
En cas de doute ou d'incident, vous pouvez aussi vous appuyer sur Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes. Les SMS frauduleux peuvent être signalés gratuitement au 33700.
