Phishing en entreprise : reconnaître et se protéger

Le phishing, première porte d'entrée des attaques

Le phishing (hameçonnage) consiste à se faire passer pour un tiers de confiance — banque, fournisseur, Microsoft, collègue — afin de voler des identifiants, déclencher un paiement ou faire installer un logiciel malveillant. C'est le point de départ de la grande majorité des incidents en entreprise, ransomwares compris : avant de chiffrer vos serveurs, l'attaquant a souvent commencé par un simple e-mail. Le guide se protéger des ransomwares détaille cette chaîne d'attaque.

Les TPE/PME sont des cibles privilégiées : moins de filtres techniques, pas d'équipe sécurité, et des circuits de validation courts où un seul e-mail convaincant suffit à déclencher un virement.

Les signaux d'alerte à connaître

• L'urgence et la pression : « votre compte sera suspendu dans 24 heures », « paiement immédiat requis ». L'urgence court-circuite la réflexion : c'est son but.
• L'adresse d'expédition approximative : service@micros0ft-support.com, un nom de domaine proche du vrai mais pas identique. Survolez le nom d'affichage pour voir l'adresse réelle.
• Les liens masqués : le texte affiche « portal.office.com », le lien pointe ailleurs. Survolez avant de cliquer ; sur mobile, appui long.
• Les demandes inhabituelles : changement de RIB d'un fournisseur, achat de cartes cadeaux, pièce jointe inattendue « à ouvrir absolument ».
• Le ton légèrement faux : formulations étranges, signature incomplète. Attention : l'IA a fait disparaître les fautes d'orthographe grossières — leur absence ne prouve plus rien.

Trois scénarios typiques en entreprise

L'usurpation de fournisseur (fraude au RIB)

Un e-mail apparemment envoyé par un fournisseur habituel annonce un changement de coordonnées bancaires, facture jointe à l'appui. La comptabilité met à jour le RIB ; les règlements suivants partent chez l'attaquant. Parade : tout changement de RIB se vérifie par téléphone, au numéro déjà connu — jamais à celui indiqué dans l'e-mail.

Le faux Microsoft 365

« Votre boîte est pleine », « votre mot de passe expire » : le lien mène vers une copie parfaite de la page de connexion Microsoft 365. L'utilisateur saisit ses identifiants ; l'attaquant lit ensuite sa messagerie pendant des semaines, prépare une fraude au virement ou rebondit vers d'autres comptes. La MFA bloque l'essentiel de ce scénario.

La fraude au président

Un message urgent et confidentiel « du dirigeant » (adresse usurpée ou compte réellement compromis) demande un virement exceptionnel. Parade : une règle absolue de double validation orale pour tout virement inhabituel, sans exception, même « demandée par le patron ».

Se protéger : la technique et l'humain

Côté technique, quatre mesures réduisent fortement l'exposition :

• la MFA sur la messagerie et les comptes sensibles : même identifiants volés, le compte résiste (voir le guide sur la sécurité des mots de passe) ;
• un filtrage anti-phishing correctement configuré sur la messagerie, avec les protocoles SPF, DKIM et DMARC sur votre domaine ;
• un EDR sur les postes pour bloquer les pièces jointes et liens malveillants qui passent le filtre ;
• des sauvegardes testées, pour que le pire scénario reste réversible.

Côté humain, la sensibilisation régulière fait la différence : sessions courtes, exemples concrets, et campagnes de faux phishing pour mesurer les progrès sans stigmatiser. L'objectif n'est pas le zéro clic — inatteignable — mais le signalement rapide : un utilisateur qui signale en 5 minutes vaut mieux que dix qui se taisent. Si vous confiez ce volet à un prestataire, demandez le calendrier des sessions, des exemples de campagnes simulées et un bilan des taux de clic et de signalement : la sensibilisation est un volet à part entière d'une démarche de cybersécurité, pas une option décorative.

Quelqu'un a cliqué : que faire, dans l'ordre

1. Ne pas punir, ne pas cacher : chaque minute compte, la peur de la sanction retarde le signalement.
2. Changer immédiatement le mot de passe du compte concerné depuis un autre appareil, et fermer les sessions actives.
3. Isoler le poste si un fichier a été ouvert ou un programme installé : débrancher le réseau, ne pas éteindre (les traces en mémoire servent à l'analyse).
4. Prévenir le support informatique ou votre prestataire : vérification du poste, recherche de règles de transfert ajoutées dans la messagerie, analyse des connexions suspectes.
5. Alerter la banque sans délai si des coordonnées bancaires ou un virement sont en jeu : les premières heures sont décisives pour un rappel de fonds.
6. Documenter et déclarer : conservez les messages et les traces, déposez plainte en cas de préjudice, et notifiez la CNIL sous 72 heures si la compromission touche des données personnelles et présente un risque pour les personnes (voir RGPD en entreprise).

Signaler un message et se faire aider : les services officiels

Signaler n'est pas un geste symbolique : les signalements alimentent les listes de blocage des messageries et des navigateurs, et protègent d'autres entreprises. Les principaux canaux publics ou d'intérêt général :

• Signal Spam : signalement des courriels indésirables et frauduleux (un module s'intègre à la plupart des messageries) ;
• Phishing Initiative : soumission d'une adresse de site suspecte, pour qu'elle soit analysée et bloquée si elle est malveillante ;
• le 33700 : transfert gratuit des SMS frauduleux (« smishing ») et signalement des appels indésirables ;
• 17Cyber et cybermalveillance.gouv.fr : diagnostic en ligne pour les victimes, conseils de premier niveau, fiches réflexes et annuaire de prestataires référencés pour une assistance technique ;
• le dépôt de plainte : au commissariat ou à la gendarmerie, ou en ligne pour certaines escroqueries sur Internet (les démarches sont décrites sur service-public.fr).

Cybermalveillance.gouv.fr met aussi à disposition des supports de sensibilisation gratuits (fiches, vidéos, affiches) utilisables tels quels en réunion d'équipe : une bonne base si vous lancez la démarche en interne.

Ce qu'il faut demander à votre prestataire

Si votre messagerie et vos postes sont gérés par un prestataire, la protection anti-phishing fait partie de ce que vous êtes en droit d'attendre. Vérifiez, et faites écrire dans le contrat ou ses annexes :

1. SPF, DKIM et DMARC configurés sur vos domaines, avec une politique DMARC qui progresse jusqu'au rejet (quarantine puis reject) et une lecture régulière des rapports.
2. La MFA activée sur tous les comptes de messagerie, comptes administrateurs compris, et les protocoles d'authentification hérités désactivés.
3. Un filtrage avancé (analyse des liens au clic, des pièces jointes en environnement isolé) et l'accès, pour vous, aux statistiques de blocage.
4. Un bouton ou une adresse de signalement simple pour les utilisateurs, et un délai de traitement des signalements défini.
5. Une procédure écrite « compte compromis » : réinitialisation, révocation des sessions, recherche des règles de transfert, analyse des connexions, information de la direction.
6. Des actions de sensibilisation planifiées, avec un bilan partagé.