1. Qu’est-ce que le phishing ?
Le phishing, ou hameçonnage, est une technique de fraude dans laquelle un attaquant se fait passer pour un interlocuteur ou un service légitime afin d’obtenir une action de la victime. Le message peut imiter une banque, un fournisseur, un outil collaboratif, une plateforme de livraison, un collègue ou un dirigeant.
L’objectif varie : récupérer un mot de passe, faire ouvrir un fichier malveillant, détourner un paiement ou obtenir des informations permettant une attaque ultérieure. Le canal n’est pas limité à l’email : les mêmes mécanismes existent par SMS, messagerie instantanée ou téléphone.
2. Quels signaux doivent déclencher une vérification ?
Un seul indice ne suffit pas toujours. C’est souvent l’accumulation de petits écarts qui doit alerter : demande inhabituelle, urgence artificielle, adresse d’expéditeur légèrement modifiée, lien dont le domaine ne correspond pas au service annoncé, pièce jointe inattendue ou demande de contourner une procédure habituelle.
| Situation | Réflexe utile |
|---|---|
| Demande urgente d’un dirigeant | Vérifier par un canal connu avant toute action sensible. |
| Page de connexion ouverte depuis un email | Fermer le lien et rejoindre le service depuis son accès habituel. |
| Pièce jointe inattendue | Confirmer l’envoi auprès de l’expéditeur supposé. |
| Demande de mot de passe ou de code | Ne pas transmettre et signaler la demande. |
3. Pourquoi les messages crédibles fonctionnent-ils ?
Le phishing exploite les automatismes du travail : traiter rapidement une demande, aider un collègue, répondre à un client ou respecter une autorité hiérarchique. Un message peut être grammaticalement parfait et reprendre un contexte réel. L’absence de faute d’orthographe n’est donc pas une preuve de légitimité.
Les situations les plus difficiles sont celles où vérifier paraît coûteux socialement : rappeler un dirigeant, ralentir un paiement ou demander une confirmation supplémentaire. Une culture cyber efficace autorise explicitement ces vérifications.
4. Que faire lorsqu’un message semble suspect ?
Il faut éviter d’interagir davantage avec le message, utiliser le canal de signalement prévu par l’entreprise et, si nécessaire, vérifier la demande par un moyen indépendant. Si un clic ou une saisie d’identifiants a déjà eu lieu, le signalement rapide est prioritaire : cacher l’erreur augmente le temps disponible pour l’attaquant.
Face à une demande inhabituelle ou sensible, ralentir quelques secondes et vérifier par un autre canal est souvent plus protecteur que chercher à « reconnaître » visuellement un faux message.
5. Former sans créer une culture de la faute
Les campagnes de sensibilisation sont plus utiles lorsqu’elles expliquent les mécanismes de décision que lorsqu’elles se limitent à compter les clics. Le débrief doit montrer quels indices étaient disponibles, quelle vérification aurait été possible et comment signaler un doute.
Les exemples doivent aussi correspondre aux métiers : fausse facture pour la comptabilité, changement de RIB pour les achats, candidature piégée pour les RH, demande de document pour une équipe commerciale ou fausse alerte de connexion pour tous les collaborateurs.
6. Quels indicateurs suivre ?
Le taux de clic d’une simulation est un indicateur parmi d’autres. Le taux de signalement, le délai de remontée, la capacité à identifier une demande inhabituelle et la connaissance du canal d’alerte donnent une lecture plus complète de la culture de vigilance.
7. FAQ
Comment vérifier un lien sans cliquer ?
On peut examiner sa destination puis, pour un service connu, préférer ouvrir directement le site ou l’application depuis son accès habituel.
Que faire si j’ai cliqué ?
Il faut suivre immédiatement la procédure interne de signalement. Plus l’équipe compétente est prévenue tôt, plus elle peut limiter les conséquences.
Un email sans faute peut-il être du phishing ?
Oui. La qualité rédactionnelle n’est pas un critère fiable ; le contexte, la demande, le domaine utilisé et les procédures habituelles sont plus utiles.
Pourquoi ne pas culpabiliser les personnes qui signalent ?
Parce qu’une culture punitive incite à cacher les erreurs et retarde la réponse à incident.
8. Pour aller plus loin
Le phishing se combat par une combinaison de protections techniques, de procédures simples et de réflexes de vérification. Consultez aussi la fraude au dirigeant, le signalement d’un incident et le diagnostic des comportements cyber.