Phishing en entreprise : définition, exemples et risques pour une PME

Le phishing, ou hameçonnage, est une technique frauduleuse destinée à leurrer l'internaute pour l'inciter à communiquer des données personnelles ou bancaires en se faisant passer pour un tiers de confiance. Un message imitant votre banque, votre fournisseur ou une administration peut arriver dans votre boîte professionnelle à tout moment.

La réponse est simple : ne répondez jamais, ne cliquez pas, signalez le message et changez vos mots de passe si vous avez un doute. Pour une PME, un seul clic peut ouvrir la porte à un piratage de compte, à des débits frauduleux ou à une infection virale. Voici comment comprendre le phénomène, l'identifier et réagir.

Qu'est-ce que le phishing (ou hameçonnage) ?

L'hameçonnage, ou phishing, est une forme d'escroquerie sur internet. Le fraudeur se fait passer pour un organisme que vous connaissez, comme votre banque, le service des impôts ou la CAF, en utilisant le logo et le nom de cet organisme. L'objectif est de vous amener à communiquer des identifiants, un mot de passe, un numéro de carte bancaire ou à cliquer sur un lien piégé.

Le terme phishing a été inventé en 1987, et les tactiques utilisées pour ces attaques ont évolué en plusieurs types spécifiques depuis. On distingue notamment le phishing par email, le smishing par SMS et le vishing par téléphone. Le point commun reste l'usurpation d'identité : le message semble provenir d'une source légitime pour mieux vous tromper.

Le phishing se distingue du spam classique. Un spam cherche à vous vendre un produit ou à diffuser une publicité non sollicitée. Le phishing, lui, cherche à vous soutirer des informations confidentielles ou à vous faire télécharger un fichier malveillant. Un email de spam peut être simplement ignoré ; un message de phishing doit être signalé.

Pour les victimes, les conséquences d'un hameçonnage peuvent être diverses : piratage de compte, débits bancaires frauduleux, infection virale. Dans un contexte professionnel, ces conséquences touchent l'ensemble de l'entreprise si le compte visé donne accès à la messagerie, aux outils cloud ou au réseau interne.

Comment reconnaître un email de phishing : les 4 signes qui ne trompent pas

Un email frauduleux présente presque toujours au moins un des quatre signes suivants. Les repérer demande quelques secondes d'attention avant d'ouvrir une pièce jointe ou de cliquer sur un lien.

• L'adresse de l'expéditeur est douteuse. Le nom affiché peut sembler familier, mais l'adresse réelle comporte une faute de frappe, un domaine inconnu ou une extension bizarre. Vérifiez l'adresse complète, pas seulement le nom affiché.
• Le message crée un sentiment d'urgence. Un email qui vous demande d'agir immédiatement, sous peine de suspension de compte ou de poursuites, est suspect. Les organismes légitimes ne menacent pas dans un email.
• Un lien ou une pièce jointe vous est proposé. Survolez le lien sans cliquer pour voir l'adresse réelle. Si elle ne correspond pas au site officiel, ne cliquez pas. Méfiez-vous des pièces jointes inattendues, surtout les fichiers compressés ou les documents demandant d'activer les macros.
• On vous demande des informations sensibles. Une banque ne vous demandera jamais vos coordonnées bancaires, ni vos codes de connexion, ni vos codes à usage unique reçus par SMS. Aucun organisme sérieux ne réclame ce type de données par email.

Ces quatre signes ne couvrent pas toutes les situations, mais ils permettent d'écarter la grande majorité des tentatives grossières. Face à un message qui coche une de ces cases, le réflexe est de ne pas répondre et de vérifier par un autre canal, par exemple en appelant le service concerné à un numéro que vous connaissez déjà.

Exemples concrets de phishing en France

Les attaques par hameçonnage prennent des formes variées, adaptées au contexte français. En voici quatre exemples fréquents.

Le faux email bancaire. Vous recevez un message ressemblant à s'y méprendre à votre banque, avec le logo et les mentions légales. Il vous informe d'une opération suspecte et vous invite à cliquer sur un lien pour « vérifier votre compte ». Le lien mène à une copie du site bancaire qui enregistre vos identifiants. Une banque ne vous demandera jamais vos codes par email.

Le SMS de colis. Un SMS vous annonce qu'un colis est en attente de livraison et vous demande de régler de petits frais de douane via un lien. C'est du smishing, une variante du phishing par SMS. Le lien conduit à un formulaire qui récupère vos coordonnées bancaires.

La fraude au président. Un message semble venir du dirigeant de l'entreprise et demande à un salarié d'effectuer un virement urgent et confidentiel. L'urgence et la confidentialité sont les leviers de cette arnaque. Elle cible souvent les assistants de direction ou les comptables.

Le message de « brouteur ». Un faux proche ou un faux conseiller vous contacte via les réseaux sociaux ou par SMS pour vous demander de l'argent ou des informations personnelles. Le scénario est souvent construit sur une relation de confiance simulée.

Ces exemples montrent que le phishing ne se limite pas à l'email. Il peut arriver par SMS, par téléphone ou via les réseaux sociaux. La vigilance doit donc s'appliquer à tous les canaux de communication.

Quels sont les risques pour une PME ?

Pour une PME, les conséquences d'un phishing réussi peuvent être lourdes. Le piratage d'une boîte mail professionnelle donne accès à l'ensemble des échanges avec les clients, les fournisseurs et les partenaires. Un fraudeur peut alors se faire passer pour l'entreprise et demander des virements à ses clients.

Les débits bancaires frauduleux constituent un risque direct. Si un salarié communique ses identifiants bancaires professionnels, des prélèvements non autorisés peuvent être effectués avant que la banque ne bloque les opérations. Le temps de réaction est déterminant.

L'infection virale est un autre risque. Une pièce jointe malveillante peut installer un logiciel qui chiffre les fichiers de l'entreprise et réclame une rançon. Ce scénario, appelé rançongiciel, peut paralyser l'activité pendant plusieurs jours.

La réputation de l'entreprise peut aussi être affectée. Si des emails frauduleux sont envoyés depuis une adresse professionnelle piratée, les clients et partenaires peuvent perdre confiance. Enfin, une fuite de données personnelles peut engager la responsabilité de l'entreprise au regard du RGPD, avec des obligations de notification et des sanctions potentielles.

Ces risques ne concernent pas seulement les grandes structures. Une PME dispose souvent de moins de ressources pour réagir vite et pour restaurer ses systèmes. La prévention et la réaction rapide sont donc essentielles.

Que faire si vous avez cliqué sur un lien phishing ?

Un clic sur un lien frauduleux ne signifie pas automatiquement que vos données sont compromises. La réaction doit être rapide et méthodique.

1. Changez immédiatement vos mots de passe. Commencez par le compte concerné, puis tous ceux qui utilisent le même mot de passe. Profitez-en pour activer la double authentification si elle n'est pas déjà en place.
2. Contactez votre banque. Si vous avez saisi des informations bancaires, prévenez votre banque sans délai pour faire opposition sur les opérations suspectes. Plus vous agissez vite, plus les chances de récupérer les fonds sont élevées.
3. Prévenez votre service informatique. Si vous êtes en entreprise, signalez l'incident à l'équipe informatique ou à votre prestataire. Elle pourra vérifier si un logiciel malveillant a été installé et isoler la machine si nécessaire.
4. Signalez le message. Transmettez l'email ou le SMS frauduleux sur la plateforme cybermalveillance.gouv.fr ou internet-signalement.gouv.fr. Ce signalement aide à faire retirer les sites frauduleux et à alerter d'autres victimes potentielles.
5. Surveillez vos comptes. Pendant plusieurs jours, vérifiez les opérations bancaires et les connexions à vos comptes en ligne. Notez toute activité inhabituelle.

Si vous le souhaitez, vous pouvez contacter Info Escroqueries au 0 805 805 817 (prix d'un appel local depuis un poste fixe ; ajouter 0,06 euros par minute depuis un téléphone mobile), du lundi au vendredi de 9h à 18h. Ce service peut vous orienter dans vos démarches.

Comment se protéger du phishing : 3 conseils essentiels

La protection contre le phishing repose sur des gestes simples, appliqués au quotidien par tous les salariés.

Vérifiez avant de cliquer. Prenez l'habitude de survoler les liens pour voir l'adresse réelle, et de contrôler l'adresse complète de l'expéditeur. En cas de doute, contactez l'organisme par un autre canal pour confirmer la demande. Un appel téléphonique au numéro officiel suffit souvent à lever le doute.

Activez la double authentification. Sur les comptes professionnels sensibles, la double authentification ajoute une couche de sécurité. Même si un fraudeur obtient votre mot de passe, il ne pourra pas se connecter sans le second facteur. Privilégiez une application d'authentification ou une clé de sécurité plutôt que les SMS, plus vulnérables.

Formez et sensibilisez les équipes. Organisez des sessions de rappel sur les signes du phishing et les procédures à suivre en cas de doute. Un salarié qui sait à qui signaler un email suspect permet de bloquer une attaque avant qu'elle ne se propage. La formation continue est la meilleure défense contre les techniques d'ingénierie sociale.

Ces trois mesures ne demandent pas d'investissement lourd. Elles réduisent considérablement le risque qu'un email frauduleux aboutisse à une compromission.

Comment dénoncer le phishing en France ?

Signaler un message frauduleux est un geste utile pour vous et pour les autres. Plusieurs canaux officiels existent.

La plateforme cybermalveillance.gouv.fr permet de signaler un email ou un SMS de phishing et de trouver des conseils adaptés. Vous pouvez y décrire l'incident et obtenir une assistance.

Le site internet-signalement.gouv.fr est la plateforme officielle de signalement des contenus illicites. Elle permet de transmettre les messages frauduleux aux autorités compétentes.

Pour les arnaques et les escroqueries, vous pouvez contacter Info Escroqueries au 0 805 805 817, du lundi au vendredi de 9h à 18h. Ce service vous oriente dans les démarches à effectuer.

Si vous avez été victime d'une fraude avec préjudice financier, vous pouvez déposer une plainte au commissariat ou à la gendarmerie. Conservez les preuves : captures d'écran, emails, relevés bancaires. Ces éléments faciliteront l'enquête.