Phishing : reconnaître un e-mail frauduleux

Le phishing (hameçonnage) consiste à se faire passer pour un expéditeur de confiance afin d'obtenir un mot de passe, un paiement ou l'ouverture d'un fichier piégé. C'est l'une des portes d'entrée les plus courantes des attaques contre les PME, parce qu'il vise une personne plutôt qu'une faille technique.

Les filtres bloquent une grande partie de ces messages, pas tous. Les quelques secondes de vérification avant de cliquer restent la meilleure protection.

Les signes à vérifier avant de cliquer

• L'urgence ou la pression : compte bloqué, facture impayée, demande « confidentielle » de la direction.
• L'adresse réelle de l'expéditeur, pas seulement le nom affiché, et les domaines qui imitent un vrai (une lettre changée, un tiret ajouté).
• Les liens : survolez-les pour lire l'adresse de destination avant de cliquer.
• Les pièces jointes inattendues : archives, fichiers HTML, documents qui demandent d'activer du contenu.
• Une page de connexion Microsoft 365 atteinte depuis un lien reçu par e-mail.
• Une demande inhabituelle : nouvelles coordonnées bancaires, cartes cadeaux, identifiants.

Les variantes récentes

• Le QR code dans un e-mail ou un PDF, qui renvoie vers une fausse page de connexion et échappe à certains filtres.
• La fausse notification de partage de document (SharePoint, OneDrive, signature électronique).
• La fatigue MFA : des demandes d'approbation répétées, en espérant qu'une personne finisse par accepter.
• L'appel d'un faux support informatique, qui demande d'installer un outil d'accès à distance.
• Le message par SMS ou messagerie instantanée, qui contourne le filtrage des e-mails.

En cas de doute

• Ne répondez pas et ne cliquez pas.
• Vérifiez par un autre canal, avec un numéro que vous connaissez déjà.
• Signalez le message selon la procédure de l'entreprise (bouton de signalement ou support).
• Supprimez-le une fois signalé.

Si quelqu'un a cliqué

Le plus important est de prévenir tout de suite, sans crainte d'être blâmé. Quelques minutes d'avance changent beaucoup : le mot de passe peut être changé depuis un autre appareil, les sessions ouvertes révoquées, et les connexions récentes vérifiées.

Après une saisie d'identifiants, vérifiez aussi les règles de la boîte e-mail : les attaquants créent souvent une règle de transfert ou de suppression automatique pour surveiller les échanges sans être vus.

Ce qui réduit le risque

• Un filtrage des e-mails configuré et suivi.
• La double authentification sur tous les comptes, avec des méthodes résistantes au phishing pour les comptes sensibles.
• SPF, DKIM et DMARC sur votre domaine, pour limiter l'usurpation de votre propre adresse.
• Une sensibilisation régulière des équipes, avec des simulations mesurées par équipe et jamais nominatives.