Le phishing, ou hameçonnage, reste l'un des moyens les plus utilisés pour pénétrer dans une entreprise. Un simple e-mail bien imité suffit parfois à obtenir un mot de passe, à faire installer un logiciel malveillant ou à déclencher un virement frauduleux. Les messages sont de plus en plus soignés : fini les fautes grossières, place à des courriels crédibles qui reprennent le logo de votre banque, d'un transporteur ou même d'un fournisseur réel. Former vos collaborateurs à repérer ces pièges est l'une des protections les plus efficaces, à condition de leur donner des repères concrets.
Les signaux d'alerte à connaître
Aucun indice n'est suffisant à lui seul, mais plusieurs signaux combinés doivent éveiller la méfiance :
- Une adresse d'expéditeur inhabituelle : le nom affiché semble correct, mais l'adresse réelle provient d'un domaine différent ou légèrement modifié (une lettre en plus, un tiret, une extension inattendue).
- Un sentiment d'urgence : compte bloqué, colis en attente, facture impayée, menace de pénalité. L'objectif est de vous faire agir sans réfléchir.
- Une demande inhabituelle : changer un numéro de compte bancaire, acheter des cartes cadeaux, communiquer un code reçu par SMS, valider une connexion que vous n'avez pas initiée.
- Un lien qui ne mène pas où il prétend : en survolant le lien avec la souris (sans cliquer), l'adresse réelle s'affiche et révèle souvent un site sans rapport.
- Une pièce jointe inattendue, en particulier un document qui demande d'activer des macros ou une archive compressée protégée par mot de passe.
Les variantes qui ciblent les PME
Au-delà du phishing classique, certaines formes visent particulièrement les entreprises. La fraude au président consiste à se faire passer pour un dirigeant qui demande un virement urgent et confidentiel. La fraude au fournisseur utilise un message imitant un partenaire habituel pour annoncer un changement de coordonnées bancaires. Il existe aussi des campagnes qui imitent des services publics, des banques belges ou des opérateurs de livraison, ainsi que des variantes par SMS (smishing) ou par téléphone (vishing).
La réponse à ces fraudes est surtout organisationnelle : toute modification de coordonnées bancaires ou toute demande de paiement inhabituelle doit être vérifiée par un autre canal, par exemple en rappelant le contact à un numéro déjà connu, jamais à celui indiqué dans le message.
Les bons réflexes en cas de doute
Il est essentiel que chacun sache quoi faire face à un message suspect. Quelques règles simples suffisent :
- ne pas cliquer sur les liens et ne pas ouvrir les pièces jointes ;
- vérifier par un autre canal auprès de l'expéditeur supposé ;
- signaler le message à la personne responsable de l'informatique ou au prestataire ;
- en Belgique, transférer le message suspect à l'adresse suspicious@safeonweb.be, gérée par le Centre for Cybersecurity Belgium, qui analyse les signalements ;
- supprimer ensuite le message.
Et si quelqu'un a déjà cliqué ou saisi son mot de passe ? Il doit le signaler immédiatement, sans crainte d'être sanctionné. Changer le mot de passe et vérifier le compte dans l'heure peut éviter un incident beaucoup plus grave. Une culture où l'on ose dire « j'ai cliqué » est une vraie force.
Combiner formation et protections techniques
La vigilance humaine a ses limites : un collaborateur fatigué ou pressé peut toujours se tromper. C'est pourquoi la sensibilisation doit s'accompagner de mesures techniques :
- un filtrage antispam et antiphishing performant sur la messagerie ;
- une configuration correcte des enregistrements SPF, DKIM et DMARC de votre domaine, qui complique l'usurpation de votre propre adresse ;
- l'authentification multifacteur, qui rend un mot de passe volé beaucoup moins utile ;
- un marquage visible des e-mails provenant de l'extérieur de l'organisation.
Nos services de messagerie et nom de domaine intègrent ces bonnes pratiques de configuration. Côté humain, des sessions de formation et sensibilisation courtes et régulières, avec des exemples concrets, sont souvent plus efficaces qu'une longue présentation annuelle.
Le phishing évolue sans cesse, mais les mécanismes restent les mêmes : urgence, autorité, curiosité. En apprenant à vos équipes à ralentir, vérifier et signaler, vous transformez votre premier point faible en première ligne de défense.
