Un e-mail qui semble venir de votre banque, de votre hébergeur ou d'un fournisseur, avec une urgence et un lien à cliquer : c'est le phishing, la porte d'entrée la plus fréquente des attaques contre les TPE et PME. Il ne s'agit pas de failles techniques spectaculaires, mais d'une personne qui clique au mauvais moment. La bonne nouvelle : on peut former ses équipes à le repérer, sans jargon ni matériel coûteux.
Ce qu'est le phishing, concrètement
Le phishing (hameçonnage) consiste à se faire passer pour un interlocuteur de confiance afin d'obtenir un mot de passe, des données bancaires ou l'ouverture d'une pièce jointe piégée. Les formes les plus courantes en entreprise sont :
- Une fausse facture ou un faux avis de paiement, souvent avec une pièce jointe ou un lien vers une page de connexion imitée
- Une fausse alerte de votre messagerie (boîte pleine, mot de passe expiré, connexion suspecte)
- Une demande urgente « du dirigeant » pour un virement inhabituel ou l'envoi de données, parfois appelée fraude au président
- Un faux message de livraison, d'impôts ou d'un organisme administratif
Les signaux qui doivent alerter
Un message frauduleux est rarement impossible à repérer. Il présente généralement plusieurs de ces signaux :
- Une urgence artificielle : « dans l'heure », « compte bloqué », « dernier avertissement »
- Une adresse d'expédition qui ressemble à la vraie sans l'être (un chiffre en plus, un domaine légèrement modifié)
- Un lien dont le survol révèle une adresse sans rapport avec l'organisme annoncé
- Une demande inhabituelle : changement de RIB, code de confirmation, mot de passe
- Des fautes, une mise en forme approximative, ou une formule trop générique pour être adressée à vous personnellement
Former ses salariés : une méthode simple
La formation ne sert pas à faire de chacun un expert. Elle sert à installer deux réflexes : vérifier avant d'agir, et signaler sans honte.
- Expliquer avec des exemples réels de votre secteur. Une facture fictive de votre fournisseur habituel parle plus qu'un cours théorique.
- Fixer une règle pour les paiements et les changements de coordonnées. Toute demande de virement ou de changement de RIB doit être confirmée par un second canal (appel au numéro connu, pas celui indiqué dans le message).
- Rendre le signalement facile et sans reproche. Une personne qui a cliqué doit prévenir immédiatement, même si elle se sent coupable. Une minute de retard peut faire la différence.
- Répéter, plutôt qu'organiser une session unique. Un rappel court tous les trimestres vaut mieux qu'une demi-journée oubliée au bout de deux semaines.
Les protections techniques qui complètent la formation
La vigilance humaine ne suffit pas à elle seule. Quelques mesures réduisent fortement les dégâts quand un message passe quand même :
- L'authentification à deux facteurs sur la messagerie et les accès administrateurs : un mot de passe volé ne suffit plus à entrer
- Des mots de passe uniques, gérés avec un gestionnaire, pour éviter qu'un seul piratage ouvre tous les accès (voir notre guide sur les mots de passe en entreprise)
- Un filtrage anti-spam et anti-hameçonnage à jour sur la messagerie professionnelle
- Des sauvegardes testées, hors de portée d'un compte compromis (voir notre règle 3-2-1 de sauvegarde)
Que faire si quelqu'un a cliqué ou transmis un mot de passe
Agissez dans cet ordre, sans attendre :
- Changer immédiatement le mot de passe concerné, et celui des autres comptes où il était réutilisé
- Déconnecter les sessions ouvertes et révoquer les accès suspects
- Prévenir votre banque si une donnée bancaire ou un virement est en jeu
- Conserver le message (ne pas le supprimer) pour l'analyse
- Si une attaque plus large est suspectée (chiffrement de fichiers, accès non autorisés), suivez notre guide de réaction en cas de ransomware
Questions fréquentes
Un antivirus suffit-il contre le phishing ?
Non. Un antivirus détecte des logiciels malveillants connus, pas un message qui demande simplement un mot de passe sur une fausse page de connexion. La formation et la double authentification restent indispensables.
Faut-il simuler des attaques pour tester les équipes ?
C'est utile dans une structure qui a déjà ses bases en place, à condition d'en faire un outil pédagogique et non un piège. Une simulation qui sanctionne les personnes décourage le signalement, ce qui est exactement l'inverse du but.
Par où commencer dans une petite entreprise ?
Par trois actions simples : activer la double authentification sur la messagerie, écrire une règle de vérification pour les virements et les changements de RIB, et expliquer à toute l'équipe comment signaler un doute. Cela ne coûte presque rien et couvre une grande partie du risque.
Et si l'entreprise n'a pas de service informatique ?
C'est le cas de la plupart des TPE. Une infogérance peut prendre en charge les protections techniques et les rappels de sensibilisation, sans recruter. Notre guide sur l'infogérance explique ce qu'elle couvre.
Vous voulez protéger l'ensemble de votre entreprise, messagerie et postes compris ? Découvrez notre offre de cybersécurité managée, ou demandez un échange pour faire le point sur votre situation.
À lire aussi :