Un mail qui semble venir de votre banque, de l’administration ou de votre propre dirigeant, un ton pressant, un lien à cliquer : l’hameçonnage reste l’arnaque préférée des escrocs parce qu’elle vise le maillon humain, pas la machine. Les TPE sont des cibles de choix, moins outillées et souvent sans service informatique. La bonne nouvelle, c’est que ces faux mails suivent presque toujours les mêmes recettes, et qu’on apprend vite à les reconnaître.
L’hameçonnage, c’est quoi au juste ?
L’hameçonnage (ou phishing) est un message frauduleux qui se fait passer pour un interlocuteur de confiance afin de vous pousser à agir : cliquer, payer, ou livrer un mot de passe. Le canal est le plus souvent l’e-mail, mais le SMS (on parle alors de smishing) et l’appel téléphonique obéissent à la même logique.
Le pirate n’a pas besoin de forcer votre serveur : il lui suffit qu’une personne, une seule fois, clique au mauvais moment. C’est pour cela que la sensibilisation de l’équipe compte autant que la technique, un point que nous développons dans nos 5 réflexes de cybersécurité pour les TPE.
1 clic
il suffit souvent d'un seul clic d'un seul salarié pour ouvrir la porte : c'est pourquoi l'arnaque vise l'humain, pas la machine.
Comment reconnaître un faux mail ?
Les signaux ne trompent pas une fois qu’on les connaît. La plupart des messages d’hameçonnage en cumulent plusieurs.
- L’urgence et la menace : votre compte va être suspendu, une facture est impayée, un colis bloqué. Le but est de vous faire agir avant de réfléchir.
- L’adresse d’expéditeur : le nom affiché imite une marque connue, mais l’adresse réelle derrière ne correspond pas à son vrai domaine. Un service officiel n’écrit jamais depuis une adresse en gmail.com ou approchante.
- Le lien trompeur : passez la souris sur le lien sans cliquer. Si la destination réelle n’a rien à voir avec le texte affiché, c’est un piège.
- La demande anormale : un mot de passe, un code reçu par SMS, un RIB. Aucun organisme sérieux ne réclame cela par mail.
- Les détails qui clochent : fautes, logo flou, formule de politesse générique, ou au contraire un français parfait mais un contexte qui ne colle pas.
Le réflexe qui sauve
Face à une demande inattendue qui touche à l’argent ou aux accès, vérifiez toujours par un autre canal : un appel au numéro que vous connaissez déjà, jamais celui indiqué dans le mail suspect. Trente secondes de vérification valent mieux qu’un virement perdu.
La fraude au virement, l’arnaque qui coûte le plus cher
C’est la variante la plus redoutable pour une entreprise. Deux scénarios reviennent sans cesse. Dans l’arnaque dite au président, un mail imite le dirigeant et réclame un virement urgent et confidentiel, souvent pendant ses congés. Dans la fraude au faux fournisseur, un prestataire habituel annonce un changement de coordonnées bancaires, et les factures suivantes partent vers le compte de l’escroc.
Le préjudice se chiffre vite en milliers d’euros, et l’argent est rarement récupéré. La parade tient en une règle, à graver dans les habitudes de l’entreprise : toute modification de RIB, tout virement exceptionnel se valide de vive voix, au téléphone, au numéro connu du contact. Cette discipline protège aussi bien un artisan qu’une PME de Corrèze qui gère des dizaines de fournisseurs.
Que faire si le mal est fait ?
Un clic malheureux n’est pas une fatalité, à condition de réagir vite. La panique est mauvaise conseillère, une méthode claire vaut mieux.
J'ai cliqué ou répondu : les bons gestes
- Ne rien saisir de plus et fermer la page immédiatement
- Changer sans attendre le mot de passe concerné sur le vrai site
- Activer la double authentification si ce n'est pas déjà fait
- Prévenir sa banque si des coordonnées bancaires ont circulé
- Signaler l'incident en interne pour alerter toute l'équipe
- En cas de fuite de données personnelles, évaluer la notification à la CNIL sous 72 heures
La solidité de votre réaction dépend de ce que vous avez préparé en amont. Des mots de passe uniques protégés par la double authentification limitent les dégâts même si un identifiant fuite. Et des sauvegardes testées et hors site vous permettent de repartir si un rançongiciel s’est glissé derrière le faux mail.
Faire de l’équipe votre meilleure défense
Aucun filtre anti-spam n’arrête tout : un message bien conçu passe toujours. La vraie barrière, c’est une équipe qui doute au bon moment. Cela ne demande pas une formation lourde, mais une culture simple : on prend le temps de vérifier, on ne clique pas sous pression, et surtout on peut signaler un doute sans crainte du ridicule. Le salarié qui ose dire « ce mail me semble bizarre » vaut de l’or.
Instaurez une règle explicite pour les demandes sensibles (virements, changements de RIB, accès) et répétez-la. Un rappel régulier, avec des exemples réels reçus par l’entreprise, ancre les bons réflexes bien mieux qu’une procédure que personne ne relit.
Chez iZZi, à Brive-la-Gaillarde, nous accompagnons les TPE et PME sur leur sécurité et leur conformité RGPD : sensibilisation de l’équipe, mise en place de la double authentification, procédures claires face aux mails frauduleux. L’objectif n’est pas de vous faire peur, mais de vous rendre sereins.
Sensibilisation à l'hameçonnage et sécurisation de vos accès : on forme votre équipe, on verrouille vos comptes, et vous repartez avec des réflexes concrets.