Après les ransomwares, parlons de la porte d’entrée qu’ils utilisent presque toujours : votre boîte mail. Plus de 9 attaques sur 10 commencent par un simple email de phishing (hameçonnage). Et oubliez le cliché du message bourré de fautes : les emails pièges d’aujourd’hui sont bien rédigés, personnalisés, et imitent parfaitement vos fournisseurs, votre banque ou Microsoft. Voici comment les repérer, et quoi faire si le clic est déjà parti.

Les 4 déguisements préférés des fraudeurs

Le faux fournisseur : « Bonjour, suite à un changement bancaire, merci de régler votre prochaine facture sur ce nouveau RIB. » C’est LA fraude qui coûte le plus cher aux PME, le paiement part chez l’escroc, et la vraie facture reste due.

La fausse banque ou administration : un email aux couleurs de votre banque, des impôts ou de l’URSSAF vous presse de « régulariser votre situation » via un lien. La page ressemble trait pour trait à l’originale… sauf qu’elle enregistre vos identifiants.

Le faux colis ou service : « Votre livraison est suspendue, réglez 2,99 € de frais de douane. » Le montant est dérisoire, c’est votre carte bancaire qu’ils veulent.

Le faux dirigeant : « C’est urgent et confidentiel, fais un virement de 12 000 € à ce prestataire, je suis en réunion. » L’arnaque au président vise directement vos comptables et assistants de direction.

Les signaux qui doivent vous alerter

Le premier réflexe : regarder la vraie adresse de l’expéditeur, pas seulement le nom affiché. « Banque Populaire » peut cacher [email protected], le domaine qui compte est celui juste avant le dernier point.

Ensuite, survolez les liens sans cliquer : l’adresse réelle s’affiche en bas du navigateur. Si le texte dit « impots.gouv.fr » mais que le lien pointe ailleurs, tout est dit.

Enfin, méfiez-vous systématiquement de l’urgence artificielle (« sous 24 h », « compte suspendu », « dernière relance »), des pièces jointes inattendues, surtout les fichiers ZIP et les documents « à activer », et de toute demande de codes, mots de passe ou coordonnées bancaires : aucun organisme sérieux ne les demande par email.

Le réflexe en or : vérifier par un autre canal

Un fournisseur annonce un changement de RIB ? Appelez-le au numéro que vous connaissez déjà, jamais à celui indiqué dans l’email. Votre « patron » demande un virement urgent ? Un appel de 30 secondes lève le doute. Votre « banque » vous alerte ? Fermez l’email et connectez-vous par vos favoris habituels. Cette règle simple, ne jamais valider une demande sensible sur la seule foi d’un email, neutralise à elle seule la quasi-totalité de ces fraudes.

Vous avez cliqué ? Pas de panique, mais faites vite

Ça arrive même aux meilleurs, ce qui compte, c’est la rapidité, pas la honte. Dans l’ordre : changez immédiatement le mot de passe du compte concerné (et partout où vous utilisiez le même), activez la double authentification, prévenez votre banque si des coordonnées bancaires sont en jeu, et alertez votre informaticien pour vérifier le poste. Si c’est un compte de messagerie professionnel, surveillez les règles de transfert automatique : les pirates en créent discrètement pour siphonner vos échanges.

Protéger durablement votre entreprise

La technique aide beaucoup : la double authentification rend un mot de passe volé inutilisable, un filtrage de messagerie bien réglé arrête l’essentiel avant la boîte de réception, et un antivirus EDR managé comme ESET bloque la charge malveillante si un clic passe quand même. Mais le meilleur pare-feu reste humain : une équipe sensibilisée, qui connaît ces 4 déguisements et ose dire « ce mail me paraît louche », vaut tous les boîtiers du monde. C’est exactement l’objet des sessions de sensibilisation que je propose aux entreprises du Tarn.

Testez-vous cette semaine

Ouvrez les 5 derniers emails qui vous demandaient de cliquer : sauriez-vous dire, pour chacun, qui est le vrai expéditeur et où mène vraiment le lien ? Si le doute s’installe, c’est déjà un excellent réflexe.

Vous voulez évaluer l’exposition de votre entreprise ou former vos équipes ? Demandez une évaluation gratuite, sans engagement, et sans jargon.