En bref
Le phishing (hameçonnage) consiste à se faire passer pour une banque, un fournisseur ou un collègue afin d’obtenir des identifiants, un paiement ou l’ouverture d’une pièce jointe piégée.
Il prend plusieurs formes : e-mail, spear phishing ciblé, SMS (smishing), appel (vishing) et réseaux sociaux.
Les signaux d’alerte : une adresse d’expéditeur suspecte, une URL qui ne correspond pas au site officiel, un ton urgent, une demande de données sensibles ou de changement de RIB.
Une attaque réussie coûte cher : faux virements, réputation abîmée, obligation de prévenir la CNIL sous 72 heures en cas de fuite de données personnelles.
La prévention repose sur trois piliers : former les équipes, s’équiper (antispam, double authentification, DMARC) et fixer des règles internes claires.
Le bon réflexe : vérifier toute demande d’argent par un deuxième canal, en rappelant sur un numéro que vous avez déjà.
Les attaques de phishing restent parmi les cyberattaques les plus fréquentes contre les TPE et PME. Un faux e-mail, un texto ou un appel suffit : le fraudeur se fait passer pour un interlocuteur connu et pousse votre collaborateur à cliquer, à transmettre un document ou à saisir ses identifiants. Dans cet article, vous trouverez une définition claire, les principales méthodes utilisées, les risques pour votre société et les bons réflexes : comment l’éviter, et comment réagir si l’attaque passe.
Définition : qu’est-ce que le phishing ?
Le phishing, ou hameçonnage en français, est une technique d’escroquerie en ligne. L’attaquant usurpe l’identité d’une banque, d’un fournisseur, d’un organisme public ou d’un collègue pour obtenir une action de sa victime : cliquer sur un lien, ouvrir une pièce jointe, transmettre des informations confidentielles ou valider un paiement.
L’objectif varie : voler des accès, récupérer des données personnelles, installer un logiciel malveillant ou détourner un virement. Les cybercriminels visent toutes les organisations, des grands groupes aux indépendants. Dans une TPE, ces tentatives se glissent dans les échanges du quotidien : une facture à régler, un document partagé, une alerte de connexion, un message RH. Elles imitent un expéditeur légitime jusqu’au logo, au ton et parfois à un nom d’expéditeur presque identique.
Tout repose sur la confiance et l’urgence. Un courriel bien écrit qui exige une réponse « avant ce soir » réduit le temps de vérification. Une seule erreur d’un collaborateur peut alors ouvrir l’accès à toute la messagerie de votre société.
Quels sont les différents types de phishing et leurs méthodes ?
Le canal change, la mécanique reste la même : une fausse identité, un prétexte crédible, puis une demande d’action. Voici les formes que vous croiserez le plus souvent.
L’e-mail et l’usurpation d’identité
C’est la forme la plus répandue : le courrier électronique. Les cybercriminels envoient un e-mail au nom d’une banque, d’un prestataire informatique, d’un service de livraison ou de votre propre direction. Le courriel renvoie vers une page qui imite un site web officiel et réclame vos identifiants, ou contient une pièce jointe piégée.
Les scénarios classiques jouent sur l’alerte : connexion inhabituelle, accès bientôt suspendu, boîte de réception pleine, paiement refusé.
Le spear phishing : une escroquerie ciblée
Le spear phishing vise une personne précise, souvent le dirigeant, le comptable ou l’assistante de direction. L’attaquant prépare son approche : il étudie l’organigramme, les fournisseurs, le style d’écriture du patron sur LinkedIn ou dans des échanges déjà piratés. Le courriel paraît alors parfaitement normal, ce qui le rend bien plus dangereux qu’un envoi de masse.
Le smishing, par SMS
Le smishing passe par SMS : colis en attente, amende à payer, carte bancaire bloquée. Le format court laisse peu d’indices et pousse à agir vite, surtout sur un smartphone où l’URL complète s’affiche mal.
Le vishing, par téléphone
Avec le vishing, l’escroc appelle directement. Il se présente comme le support informatique, la banque ou le service client d’un éditeur de logiciel, cite un numéro de dossier et guide sa victime pas à pas : installer un outil de prise en main à distance, lire un code reçu, valider une opération. La pression monte vite : « votre accès sera coupé dans dix minutes ».
Les réseaux sociaux, une autre forme d’approche
Messages privés sur LinkedIn, fausses offres de partenariat, faux profils de marques connues : les réseaux sociaux servent aussi de porte d’entrée. Les cybercriminels y collectent des informations pour préparer une attaque ciblée, ou redirigent vers de faux sites web.
Comment reconnaître des e-mails de phishing ? Exemples à l’appui
Vérifier la source : les signaux d’alerte
Avant de cliquer, prenez dix secondes pour contrôler :
l’adresse de l’expéditeur, lettre par lettre (micros0ft.com, amazon-service.co…) ;
l’URL réelle derrière le bouton, en la survolant sans cliquer ;
le ton : urgence, menace, récompense inattendue ;
la demande : identifiants, informations sensibles, coordonnées bancaires, changement de RIB ;
le contexte : attendiez-vous ce courriel ? Un message légitime arrive par le canal habituel.
Trois questions simples aident vos équipes : « Que se passe-t-il si je fais ce que ce courriel me dit ? », « Pourquoi maintenant ? », « Puis-je vérifier par un autre canal ? ».
Exemple d’arnaque : le phishing Amazon ou Apple
Un e-mail aux couleurs d’Amazon annonce une commande de 899 € passée à votre nom. Un bouton « Annuler la commande » mène vers une fausse page de connexion. Même logique avec Apple : « votre identifiant Apple a été verrouillé, confirmez vos coordonnées », ou un faux reçu de l’App Store au nom d’Apple. À chaque fois, l’URL de la page ne correspond pas au domaine officiel, et la marque ne vous réclamerait jamais vos informations sensibles par courrier électronique.
Le réflexe : ne passez jamais par le bouton du courriel. Ouvrez vous-même l’application ou saisissez le nom du site dans votre navigateur.
Quels sont les risques liés au phishing pour une entreprise ?
Le coût d’une attaque réussie
Avec un compte de messagerie compromis, l’attaquant envoie de fausses demandes de paiement à vos clients ou à votre comptable, depuis une adresse authentique. S’ajoutent les frais d’intervention technique, le temps passé à tout remettre en ordre, parfois plusieurs jours d’activité perdus, et d’éventuels frais juridiques.
Une réputation fragilisée
Si vos clients reçoivent de fausses factures envoyées depuis votre propre boîte mail, leur confiance en prend un coup. Même quand votre marque est simplement imitée, certaines victimes vous associent à l’arnaque. Vous devez alors communiquer, rassurer et répondre aux questions.
Des obligations légales
Si des informations personnelles ont fuité, le RGPD vous impose de notifier la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes concernées, et parfois de prévenir ces personnes. Vous devez aussi documenter l’incident : quelles données, quand, comment, quels collaborateurs concernés.
Comment se protéger du phishing ? Les bonnes pratiques
Pour savoir comment s’en protéger, retenez trois piliers : la formation, les outils et des règles internes claires.
Des campagnes de test pour entraîner les utilisateurs
La vigilance de vos employés reste la première ligne de défense. Une formation efficace s’appuie sur des cas concrets : faux e-mails de livraison, fausses alertes Microsoft 365, faux appels du support. Des campagnes de simulation régulières mesurent le taux de clic et le temps de signalement, puis montrent à chacun ce qui aurait dû l’alerter. L’objectif n’est pas de piéger vos équipes, mais d’installer un réflexe de vérification.
Logiciels et outils de protection contre l’hameçonnage
Les solutions techniques ne remplacent pas la vigilance, mais elles bloquent une grande partie des attaques de phishing :
une solution antispam et antiphishing sur votre messagerie ;
l’authentification de votre nom de domaine (SPF, DKIM, DMARC), qui complique l’usurpation de votre identité ;
la double authentification sur tous les comptes, qui bloque l’accès même si un mot de passe fuite ;
un antivirus à jour sur chaque poste ;
un gestionnaire de mots de passe, qui refuse de remplir un formulaire sur les faux sites web.
Des règles internes claires
Écrivez noir sur blanc vos règles de sécurité pour les opérations sensibles. Un changement de RIB, un virement urgent ou un nouvel accès à ouvrir ne se valide jamais sur la seule base d’un e-mail. Limitez les droits d’administration au strict nécessaire. Désignez un référent à qui signaler tout courriel suspect, et remerciez ceux qui le font, même en cas de fausse alerte.
Le conseil de Fabien
L’essentiel tient en une règle simple : toute demande d’argent ou de changement de coordonnées bancaires se vérifie par un deuxième canal. Rappelez votre interlocuteur sur un numéro que vous avez déjà, jamais sur celui indiqué dans le courriel. C’est la solution la plus efficace contre la fraude au président et les faux changements de RIB, deux scénarios au coût très lourd pour les petites structures. Gardez aussi en tête que les tentatives n’arrivent pas toutes par la messagerie. Chez Hubicom, notre formulaire de contact reçoit lui aussi des tentatives d’hameçonnage déguisées en prospects. Nous mettons en place un filtre automatique pour les écarter avant qu’elles n’arrivent dans notre boîte.
Vous avez été victime de phishing : que faire ?
Est-ce grave de cliquer sur un lien de phishing ?
Tout dépend de ce qui s’est passé ensuite. Si vous avez seulement ouvert la page, sans rien saisir ni télécharger, le risque reste limité : fermez l’onglet, lancez une analyse antivirus et prévenez votre référent. Si vous avez saisi vos informations de connexion, communiqué un code ou ouvert un fichier téléchargé, considérez le compte ou le poste comme compromis et agissez tout de suite.
Contenir l’attaque sans attendre
changez le mot de passe concerné, ainsi que tous ceux qui étaient identiques ;
déconnectez les sessions ouvertes et activez la double authentification ;
contrôlez les règles de transfert automatique dans la messagerie, une technique fréquente pour espionner vos échanges ;
débranchez du réseau tout poste qui a exécuté un fichier suspect ;
appelez votre banque immédiatement si un paiement est parti.
Vérifiez aussi si d’autres collaborateurs ont reçu le même courriel : une attaque ciblée vise rarement une seule personne.
Signaler : les bons numéros et plateformes
Cybermalveillance.gouv.fr, l’organisme public d’assistance aux victimes, et 17Cyber, pour un diagnostic et une mise en relation avec un prestataire ;
le 33700, pour signaler un SMS ou un appel frauduleux ;
Signal Spam, pour les e-mails ;
la police ou la gendarmerie, pour porter plainte en cas de préjudice ;
la CNIL, si des données personnelles ont fuité.
Gardez une trace de tout : date, capture d’écran, expéditeur, URL du faux site. Auprès de vos équipes, communiquez des faits et des consignes, sans dramatiser.
Fondateur de Hubicom
Depuis 10 ans, je conçois et développe des outils pour les entreprises, des grands groupes aux PME. Chez Hubicom, nous créons avec vous les outils internes qui simplifient votre quotidien et font gagner du temps à vos équipes.
