Hameçonnage (phishing)

Selon Cybermalveillance.gouv.fr, l'hameçonnage (phishing en anglais) est un courriel, un SMS ou un appel frauduleux qui usurpe l'identité d'un tiers de confiance : banque, réseau social, opérateur téléphonique, administration, boutique en ligne. L'objectif est de voler des informations personnelles, bancaires ou des identifiants de connexion. Le message crée souvent une urgence ou une peur : colis bloqué, compte suspendu, facture impayée, remboursement à récupérer. Il renvoie vers un faux site très ressemblant, où la victime saisit son mot de passe ou son numéro de carte. En entreprise, l'enjeu est plus large qu'un vol de coordonnées. Un compte de messagerie piraté permet d'écrire aux clients et aux fournisseurs avec une adresse réelle, de modifier un RIB sur une facture ou d'installer un rançongiciel. Les petites structures sont visées comme les grandes, car les messages sont envoyés en masse et certains ciblent précisément le dirigeant ou la personne qui règle les factures. Les bons réflexes sont connus : ne jamais communiquer de mot de passe ou de données bancaires par messagerie ou téléphone, vérifier l'adresse réelle d'un lien en le survolant plutôt qu'en cliquant, contrôler l'adresse du site caractère par caractère, passer par son propre favori pour se connecter et, dans le doute, contacter l'organisme par son canal habituel. Utiliser un mot de passe différent par compte et activer la double authentification limite les dégâts quand un mot de passe fuit. Si le mal est fait, il faut agir vite : faire opposition auprès de la banque si des coordonnées de paiement ont été saisies, changer le mot de passe partout où il est utilisé, conserver le message, déposer plainte et signaler le message ou le site aux services prévus à cet effet (Signal Spam pour les e-mails, le 33700 pour les SMS, Phishing Initiative pour les faux sites). Côté entreprise, la protection technique du domaine (SPF, DKIM, DMARC) rend l'usurpation de votre propre adresse plus difficile, mais la vigilance des équipes reste la défense principale. Une consigne interne claire aide beaucoup : une seule adresse ou une seule personne à prévenir dès qu'un message paraît douteux, sans reproche pour celui qui a cliqué. Plus le signalement est rapide, plus les mots de passe peuvent être changés tôt et les comptes surveillés. Pour les paiements, une règle simple limite les fraudes au faux ordre de virement : tout changement de coordonnées bancaires d'un fournisseur est confirmé par un appel au numéro déjà connu, jamais celui indiqué dans le message.