L'hameçonnage reste le vecteur d'attaque numéro un. Un e-mail bien imité suffit à compromettre toute une entreprise. Apprenez à repérer les signaux...
L'hameçonnage reste, année après année, la porte d'entrée de la majorité des incidents de sécurité en entreprise. Ce n'est pas une question de naïveté : les messages actuels reprennent la charte graphique exacte de Microsoft, d'une banque ou d'un transporteur, arrivent au bon moment, et invoquent un motif plausible. Certains reprennent même le fil d'une conversation réelle, parce que la boîte d'un correspondant a déjà été compromise.
Le premier réflexe utile consiste à vérifier le domaine de l'expéditeur, pas le nom affiché. Le nom se falsifie en une seconde ; le domaine, lui, révèle souvent une lettre ajoutée ou un suffixe inhabituel. Sur mobile, ce domaine est masqué par défaut : il faut toucher le nom de l'expéditeur pour le voir, et c'est précisément pour cela que les campagnes visent les téléphones.
Le deuxième signal est l'urgence combinée à la confidentialité. Une demande qui presse et qui insiste pour rester entre deux personnes est une anomalie en soi, quel que soit le nom qui la signe. C'est le ressort classique de la fraude au président, où un supposé dirigeant réclame un virement immédiat pour une opération confidentielle.
Le troisième signal est le lien lui-même. Sur ordinateur, survoler le lien sans cliquer affiche sa destination réelle en bas de la fenêtre. Un lien qui prétend mener à Microsoft mais pointe vers un domaine inconnu suffit à trancher. Sur téléphone, un appui long affiche la même information.
Reste le cas le plus difficile : le message qui vient réellement d'un correspondant dont la boîte a été piratée. Aucun indice technique ne le trahit. Seule la vraisemblance de la demande permet de douter, et la règle qui sauve est simple : toute demande de virement, de changement de coordonnées bancaires ou de mot de passe se vérifie par téléphone, sur un numéro connu, jamais sur celui indiqué dans le message.
Un cinquième signal mérite d’être connu : le décalage entre le canal et la demande. Un fournisseur qui annonce un changement de coordonnées bancaires par e-mail, un dirigeant qui sollicite un virement par SMS, un service informatique qui réclame un mot de passe par téléphone : dans chacun de ces cas, c’est le canal lui-même qui devrait alerter, indépendamment du contenu. Une règle interne simple suffit à couvrir la plupart des scénarios : aucune demande d’argent ni de coordonnées bancaires ne se traite par écrit sans rappel téléphonique sur un numéro connu.
Ce qui protège vraiment, au-delà de la vigilance
Compter uniquement sur l'attention des utilisateurs revient à accepter qu'un jour de fatigue suffise. Trois mesures techniques réduisent massivement le risque résiduel.
L'authentification à deux facteurs sur tous les comptes professionnels neutralise l'essentiel des campagnes, puisque le mot de passe volé ne suffit plus. Le filtrage avancé de la messagerie, qui analyse les liens au moment du clic et non seulement à la réception, bloque les pages frauduleuses activées après l'envoi. Et l'authentification du domaine par SPF, DKIM et DMARC empêche qu'on usurpe votre propre adresse pour écrire à vos clients — une protection qui ne vous défend pas vous, mais protège votre réputation.
S’ajoute une mesure organisationnelle qui vaut toutes les technologies : la double validation des paiements au-dessus d’un seuil défini. Deux personnes, deux canaux, aucune exception, y compris pour la direction. Cette règle bloque la fraude au président, qui repose entièrement sur l’autorité et l’urgence, et elle protège aussi le comptable, qui n’a plus à arbitrer seul face à une demande pressante. Il est prudent de la formaliser par écrit et de la rappeler aux nouveaux arrivants, car les escrocs ciblent en priorité les personnes récemment embauchées.
Une quatrième mesure, souvent oubliée, consiste à limiter ce qu’un compte compromis permet de faire. Désactiver les protocoles d’authentification anciens, restreindre les connexions depuis l’étranger lorsque l’activité ne le justifie pas, et interdire la création de règles de transfert vers des adresses externes réduisent fortement l’impact d’un mot de passe volé. Ces réglages existent déjà dans les abonnements professionnels et ne coûtent que le temps de les activer.
Que faire quand quelqu'un a cliqué
La rapidité compte davantage que la culpabilité. Dans l'ordre : changer immédiatement le mot de passe du compte concerné et révoquer les sessions actives ; vérifier les règles de transfert automatique de la boîte, car l'attaquant en crée presque toujours une pour continuer à lire les messages après le changement de mot de passe ; contrôler les connexions récentes dans le journal d'administration ; et prévenir les correspondants si des messages ont pu partir en votre nom.
Une entreprise qui a subi un détournement de fonds doit déposer plainte et signaler l'incident, y compris auprès de sa banque dans les heures qui suivent, car certains virements peuvent encore être rappelés. Passé quarante-huit heures, les chances de récupération deviennent faibles.
Chez TICLIC, nous combinons le filtrage de la messagerie, l'authentification forte et des simulations d'hameçonnage mesurées pour les équipes. Un diagnostic gratuit permet de vérifier en une demi-journée si votre domaine est protégé contre l'usurpation et si vos comptes résistent à un mot de passe volé.
Enfin, il faut tirer les conséquences de l’incident au-delà du compte concerné. Si un mot de passe a été saisi sur une fausse page, il doit être changé partout où il a été réutilisé, ce qui suppose de savoir où il l’a été. C’est l’argument le plus concret en faveur d’un gestionnaire de mots de passe : il rend cette question répondable en trente secondes au lieu de laisser planer un doute qui dure des mois.
Un incident bien traité se termine par un point d’étape de dix minutes avec l’équipe : ce qui s’est passé, ce qui a fonctionné, ce qui doit changer. Ce retour, fait sans désigner de coupable, vaut toutes les formations théoriques et ancre durablement les bons réflexes.