Le phishing : comment le reconnaître et réagir

Qu’est-ce que le phishing ?

Le phishing (ou hameçonnage) est un message frauduleux qui se fait passer pour un interlocuteur de confiance — votre banque, un fournisseur, un collègue, un service public — pour vous pousser à agir vite : cliquer sur un lien, ouvrir une pièce jointe, saisir un mot de passe ou valider un paiement.

L’objectif de l’attaquant est presque toujours le même : voler vos identifiants, installer un logiciel malveillant, ou détourner un virement. Ce n’est pas une attaque « technique » au sens où l’on l’imagine : elle vise d’abord la personne, pas la machine. C’est pour cela que chacun, à son poste, joue un rôle réel dans la protection de l’entreprise.

Les principales variantes

• Le phishing classique : un e-mail envoyé en masse, générique, qui joue sur la peur ou l’appât du gain.
• Le spear-phishing : un message ciblé, souvent bien renseigné (votre nom, votre fonction, un projet en cours). Plus crédible, donc plus dangereux. La fraude au président en est une forme.
• Le smishing : la même logique, mais par SMS — un colis à suivre, un compte à débloquer, un lien à cliquer en urgence.

Les signaux d’alerte

Aucun signal pris isolément ne prouve une fraude, mais leur accumulation doit vous alerter.

• L’expéditeur : une adresse qui ressemble sans être exacte (un caractère changé, un nom de domaine approchant), ou un nom affiché qui ne correspond pas à l’adresse réelle.
• L’urgence et la pression : « votre compte sera suspendu », « réponse attendue avant ce soir », « confidentiel, ne dites rien ». La précipitation est l’arme préférée du phishing.
• Le lien ou la pièce jointe : un lien dont l’adresse réelle (visible en la survolant, sans cliquer) diffère du texte affiché, ou une pièce jointe inattendue.
• Les fautes et le ton : formulations maladroites, tournures étranges, mise en page approximative. Attention toutefois : certains messages sont désormais très soignés.
• La demande inhabituelle : un changement de RIB, un virement exceptionnel, une demande de mot de passe ou de code — surtout si elle contourne les procédures habituelles.

Les bons réflexes

Face à un message douteux, trois réflexes simples suffisent dans la grande majorité des cas.

• Ne pas cliquer, ne pas répondre, ne rien ouvrir dans l’immédiat. Prenez le temps de respirer : un message légitime peut attendre quelques minutes.
• Vérifier par un autre canal. Un doute sur un e-mail de votre banque, d’un fournisseur ou d’un collègue ? Contactez-les via un numéro ou une adresse que vous connaissez déjà — jamais ceux fournis dans le message suspect.
• Signaler. Prévenez votre référent informatique ou votre responsable, même si vous n’êtes pas certain. Un signalement « pour rien » ne coûte rien ; un silence peut coûter cher. Signaler permet aussi de prévenir vos collègues, souvent visés par la même campagne.

Il n’y a jamais de honte à demander confirmation. Les fraudeurs comptent justement sur le fait qu’on n’ose pas vérifier.

Que faire si vous avez déjà cliqué ou saisi vos identifiants ?

Cela arrive, y compris à des personnes prudentes. Le plus important est de réagir vite et sans se cacher.

• Ne restez pas seul : prévenez immédiatement votre référent informatique. Plus l’alerte est rapide, plus la réaction est efficace.
• Changez le mot de passe concerné dès que possible, ainsi que celui de tout autre service où vous utilisiez le même. Activez la double authentification si ce n’est pas déjà fait.
• Si vous avez ouvert une pièce jointe ou installé quelque chose, signalez-le et, si on vous le demande, isolez le poste du réseau.
• En cas de virement ou de coordonnées bancaires transmis, alertez sans délai votre responsable et la banque : certaines opérations peuvent encore être bloquées.

Réagir tôt transforme un incident potentiel en simple fausse alerte. La rapidité compte bien plus que la culpabilité.

En résumé

Le phishing mise sur l’urgence et la confiance. Ralentir, vérifier par un autre canal et signaler : ces trois gestes protègent l’entreprise bien mieux que n’importe quel outil. La sensibilisation régulière de vos équipes reste la meilleure défense.

Si vous souhaitez organiser une session de sensibilisation ou renforcer vos réflexes face au phishing, parlons-en.