En bref. L’hameçonnage consiste à obtenir un identifiant, un paiement ou l’installation d’un logiciel malveillant en se faisant passer pour un tiers de confiance. Six signaux permettent de repérer un message frauduleux, et une procédure claire limite les dégâts après un clic.
C’est la porte d’entrée la plus fréquente des incidents que nous traitons : pas une faille technique sophistiquée, mais un message qui ressemble à s’y méprendre à celui d’un fournisseur, d’une banque ou d’un collègue. La bonne nouvelle : la parade repose davantage sur l’organisation que sur la technologie.
Les six signaux à vérifier
- L’adresse réelle de l’expéditeur, pas le nom affiché. Le nom se falsifie en une seconde ; l’adresse complète révèle souvent un domaine approchant mais différent.
- L’urgence : « votre compte sera suspendu aujourd’hui », « à régler avant ce soir ». La pression temporelle sert à court-circuiter la vérification.
- La demande inhabituelle : un changement de coordonnées bancaires, une connexion à re-valider, un achat de cartes prépayées.
- Le lien : survoler sans cliquer pour afficher l’adresse réelle. Un lien affiché n’est pas nécessairement le lien réel.
- La pièce jointe inattendue, surtout si elle demande d’activer des macros ou de saisir un mot de passe pour s’ouvrir.
- Les incohérences : formule d’appel générique, mise en page approximative, signature qui ne correspond pas à l’interlocuteur habituel.
Un message peut ne présenter aucun de ces signaux et rester frauduleux : les campagnes ciblées sont soignées. D’où l’importance du deuxième niveau de défense — la procédure.
Les variantes qui visent les entreprises
| Variante | Mode opératoire | Cible privilégiée |
|---|---|---|
| Hameçonnage de masse | Message générique envoyé en nombre | Tous les salariés |
| Harponnage ciblé | Message personnalisé, contexte réel | Comptabilité, direction |
| Fraude au faux fournisseur | Demande de changement de RIB | Service achats et règlements |
| Fraude au président | Demande urgente et confidentielle d’un dirigeant | Comptable, assistant de direction |
| Hameçonnage par SMS ou appel | Message ou appel usurpant un service technique | Utilisateurs mobiles |
| Détournement de fil de discussion | Réponse insérée dans un échange réel compromis | Correspondants réguliers |
La dernière variante est la plus difficile à détecter : le message s’insère dans une conversation authentique, avec le bon historique et le bon ton.
La procédure qui protège vraiment
Les six signaux relèvent de la vigilance individuelle, qui faiblit un jour de charge. Trois règles organisationnelles prennent le relais :
- Tout changement de coordonnées bancaires se vérifie par téléphone, sur un numéro connu et déjà enregistré — jamais celui figurant dans le message.
- Aucun paiement exceptionnel ne se fait sans double validation, quel que soit le degré d’urgence invoqué.
- Le doute se signale sans crainte : un salarié qui redoute d’être blâmé signalera trop tard. La culture du signalement immédiat vaut tous les filtres.
Les mesures techniques utiles
- Authentification renforcée sur la messagerie et les accès distants : un identifiant volé ne suffit alors plus.
- Filtrage des messages et marquage visible des e-mails provenant de l’extérieur.
- Enregistrements d’authentification du domaine, qui empêchent l’usurpation de votre propre nom de domaine — voir notre article sur SPF, DKIM et DMARC.
- Mises à jour à jour sur les postes et les navigateurs, qui neutralisent une partie des charges malveillantes — voir l’importance des mises à jour.
- Sauvegardes testées et isolées, seul rempart réellement efficace si la compromission débouche sur un chiffrement des données — voir la sauvegarde immuable.
Que faire après un clic
La rapidité prime sur la culpabilité. Dans l’ordre :
- Isoler le poste du réseau, sans l’éteindre si un logiciel malveillant est suspecté.
- Changer immédiatement le mot de passe concerné, et ceux réutilisés ailleurs.
- Prévenir le support informatique et la direction, même en cas de doute.
- Vérifier les règles de la messagerie : les attaquants créent souvent une règle de transfert automatique pour lire le courrier à votre insu.
- Contacter la banque sans délai si un virement a été initié.
- Conserver les preuves et déposer plainte le cas échéant.
Des fiches réflexes et un dispositif d’assistance sont disponibles sur cybermalveillance.gouv.fr.
Sensibiliser sans lasser
Les sessions annuelles de sensibilisation ont un effet limité dans le temps. Ce qui fonctionne : des rappels courts et fréquents, des exemples réels reçus par l’entreprise elle-même, et des exercices de simulation dont le but est de mesurer, pas de sanctionner. Le sujet rejoint celui des bonnes pratiques de sécurité des accès et se formalise utilement dans une charte informatique.
Questions fréquentes
Un antivirus suffit-il à bloquer l’hameçonnage ?
Non. L’hameçonnage vise l’utilisateur, pas la machine : aucun logiciel ne détecte de façon fiable un message qui demande simplement un virement. Les filtres réduisent le volume, pas le risque résiduel.
Faut-il répondre pour vérifier ?
Jamais. Répondre confirme que l’adresse est active et engage la conversation avec l’attaquant. La vérification se fait toujours par un canal indépendant.
Comment reconnaître une fraude au président ?
Par le triptyque urgence, confidentialité et dérogation à la procédure habituelle. Aucun dirigeant sérieux ne demande de contourner un circuit de validation par message.
Les petites entreprises sont-elles vraiment visées ?
Oui, et davantage que les grandes en proportion : elles disposent de moins de contrôles et sont souvent le maillon d’accès vers un client plus important.
Conclusion
L’hameçonnage ne se règle pas par un logiciel mais par trois habitudes : vérifier tout changement bancaire par téléphone, exiger une double validation des paiements exceptionnels, et signaler sans crainte. Le reste — filtres, authentification, sauvegardes — sert à limiter les conséquences lorsque ces trois habitudes n’ont pas suffi.
