Reconnaître le phishing : 7 signaux et que faire si un collaborateur a quand même cliqué

De toutes les façons dont une PME se retrouve en difficulté, la grande majorité commence par un e-mail. Pas un hacker de génie qui perce ton pare-feu, mais un message qui a l'air juste assez vrai pour qu'on clique. Dans les entreprises d'une quinzaine de personnes, ce schéma revient sans cesse. Dans cet article, nous passons en revue sept signaux qui trahissent un mail de phishing, et surtout : ce que tu fais au moment où quelqu'un a quand même cliqué.

Pourquoi le phishing est la principale porte d'entrée dans une petite équipe

Les attaquants ne choisissent pas délibérément ton entreprise. Ils envoient le même mail à des milliers d'adresses et attendent de voir qui mord. Une PME de quinze personnes a quinze boîtes mail, donc quinze occasions. Rarement un service IT pour tout bloquer, et tout le monde est occupé. C'est là-dessus que compte un mail de phishing : tu le lis entre deux autres choses, sur ton téléphone, et tu cliques.

Dans une petite entreprise, les rôles sont en plus très proches : la personne qui paie les factures est à deux bureaux du dirigeant. Un mail qui vient soi-disant du patron avec une demande de paiement rapide ne paraît alors pas étrange. C'est ce qui rend la fraude à la facture si efficace dans les PME.

Sept signaux qui trahissent le phishing

Aucun signal n'est concluant à lui seul, mais qui connaît ces sept-là intercepte la majorité des messages suspects.

1. L'adresse de l'expéditeur n'est pas tout à fait correcte. Le nom semble juste, mais l'adresse derrière est une adresse gratuite ou un domaine avec une lettre en trop ou en moins. Regarde toujours l'adresse complète, pas seulement le nom affiché.
2. On met la pression. 'À payer aujourd'hui', 'ton compte va être bloqué', 'urgent, je suis en réunion'. L'urgence est l'astuce standard pour te faire agir avant de réfléchir.
3. Le lien mène ailleurs que là où le texte le prétend. Sur un ordinateur, passe la souris sur le lien sans cliquer et regarde la vraie adresse. Sur un téléphone, maintiens le lien enfoncé un instant.
4. Des coordonnées de paiement différentes. Un fournisseur qui communique soudain un nouveau numéro de compte, c'est le début classique d'une fraude à la facture. Appelle-le à un numéro que tu avais déjà, jamais à celui du mail.
5. Des pièces jointes inattendues. Une facture que tu n'attends pas, un fichier zip, un document qui te demande d'activer le contenu ou d'autoriser les macros. Ne l'ouvre pas.
6. La langue ou le ton ne colle pas. Un collègue qui te vouvoie soudainement, un fournisseur dont les phrases sonnent faux, une formule comme 'Cher client' là où ton nom figure normalement.
7. Des notifications MFA que tu n'as pas demandées. Si elles arrivent alors que tu n'es pas en train de te connecter, quelqu'un essaie d'entrer avec ton mot de passe. Ne l'approuve pas, même si elle revient sans cesse, et change immédiatement ton mot de passe.

Un doute ? La voie la plus sûre est toujours la même : ne pas cliquer, et faire vérifier le message par un collègue ou ton partenaire IT. Cela prend deux minutes. Un mauvais clic coûte des jours.

Que faire si quelqu'un a quand même cliqué ?

Cela arrive, même à des gens attentifs. Ce qui compte, c'est la rapidité de ta réaction : les premières heures font la différence entre un incident désagréable et une vraie crise. Suis ces étapes dans cet ordre.

1. Ne fais de reproche à personne. Qui a honte signale trop tard ou pas du tout. Remercie le collaborateur et mets-toi au travail.
2. Réinitialise immédiatement le mot de passe du compte concerné, ainsi que partout où le même mot de passe était réutilisé.
3. Déconnecte toutes les sessions actives. Dans Microsoft 365 et Google Workspace, un administrateur peut le faire de manière centralisée. Un attaquant déjà à l'intérieur perd ainsi son accès.
4. Préviens ton partenaire IT ou la personne qui gère ton IT. Explique précisément ce qui s'est passé : quel mail, quel lien, ce qui a été saisi.
5. Transfère le mail de phishing à [email protected], le point de signalement du Centre pour la Cybersécurité Belgique. Tu aides ainsi les autres aussi.
6. Vérifie les règles de transfert de la boîte mail. Les attaquants créent souvent une règle qui copie discrètement tout le courrier entrant vers une adresse externe. Regarde aussi les applications inconnues qui ont reçu l'accès au compte.
7. Avertis tes collègues, et si le compte a été détourné, les clients et fournisseurs aussi. Le même mail se trouve probablement dans leur boîte.

Un paiement a été effectué ? Appelle immédiatement ta banque. Plus tu es rapide, plus il y a de chances que l'argent puisse encore être bloqué.

Signaler doit être sûr, et la formation doit rester courte

La technique intercepte une partie du phishing, mais la dernière ligne de défense reste la personne qui lit le mail. C'est pourquoi la culture de ton équipe pèse plus que n'importe quel filtre.

• Fais comprendre que signaler est toujours bien, même en cas de fausse alerte. Qui signale dix mails inoffensifs signale aussi celui qui compte.
• Reste simple : une seule adresse ou une seule personne pour les mails suspects. Pas de formulaire, pas de procédure de trois pages.
• Privilégie des moments courts et réguliers. Un quart d'heure en réunion d'équipe avec un exemple récent vaut mieux qu'une longue formation par an que tout le monde a oubliée avant l'été.
• Partage de vrais exemples que vous avez reçus vous-mêmes. Ceux-là restent en mémoire, pas les slides génériques.

Ce que nous voyons chez nos clients : là où signaler est normal, le premier signalement arrive souvent quelques minutes après une vague de phishing. Là où c'est gênant, nous ne l'apprenons que lorsque quelque chose a déjà mal tourné.