Reconnaître le phishing et les arnaques

1. Pourquoi l’hameçonnage vise d’abord les petites structures

L’hameçonnage — phishing en anglais — est la plus répandue des cyberattaques, et de très loin. Le principe est vieux comme la ruse : se faire passer pour un tiers de confiance (votre banque, l’administration fiscale, un fournisseur, votre propre dirigeant) afin de vous pousser à un geste que vous n’auriez jamais fait de sang-froid : cliquer sur un lien piégé, saisir un mot de passe, ouvrir une pièce jointe, ou déclencher un virement. Le mot lui-même est une image : l’attaquant lance un appât et attend qu’une victime morde.

Contrairement à une idée tenace, les cybercriminels ne visent pas que les grands groupes. Le dispositif national cybermalveillance.gouv.fr, service public d’assistance aux victimes, place l’hameçonnage en tête des demandes d’aide depuis plusieurs années, pour les particuliers comme pour les professionnels. Les TPE, artisans, cabinets et associations sont même des cibles de choix : ils manient des données et des fonds réels, mais disposent rarement d’un service informatique, d’une procédure écrite ou d’un réflexe de vérification. Pour l’attaquant, le rapport effort/gain est idéal.

Le schéma ci-dessous situe l’hameçonnage parmi les menaces les plus signalées : ce n’est pas un risque théorique réservé aux autres, mais le danger numéro un pour une structure de votre taille.

Notre fil rouge : le Cabinet Verne. Tout au long de cette leçon, nous suivons un cabinet d’expertise comptable installé à Issoire, quatre personnes : Claire Verne, experte-comptable et dirigeante ; Marc, collaborateur comptable ; Sophie, assistante administrative ; et Julien, apprenti. Le cabinet concentre exactement ce que les fraudeurs convoitent : relevés bancaires, bulletins de paie, déclarations fiscales, RIB et coordonnées de dizaines d’entreprises clientes. Une seule erreur de clic peut exposer non pas une, mais des centaines de personnes. Ce qui protège ce cabinet protégera n’importe quelle TPE.

Bonne nouvelle : reconnaître l’hameçonnage ne demande aucune compétence technique. Cela demande de la méthode et quelques réflexes. C’est exactement ce que cette leçon installe, pas à pas.

Une menace ancienne, des habits toujours neufs

Le mot phishing circule depuis le milieu des années 1990, quand des escrocs soutiraient déjà des identifiants aux premiers abonnés d’Internet. Trente ans plus tard, la technique n’a rien perdu de son efficacité : elle s’est simplement adaptée à chaque nouvel usage. Hier, un faux courriel de banque ; aujourd’hui, un SMS de livraison, un QR code collé sur un parcmètre, un appel du « service des impôts », ou un message si bien rédigé qu’il semble venir de votre patron. L’intelligence artificielle générative a d’ailleurs fait disparaître le vieil indice des fautes d’orthographe grossières : un message d’hameçonnage moderne peut être parfaitement écrit. Raison de plus pour ne plus se fier à une impression, mais à une méthode de vérification.

2. Anatomie d’un e-mail d’hameçonnage

Un message frauduleux n’est pas un objet mystérieux : il est monté selon un plan très reconnaissable, toujours le même. Une fois que l’on sait où regarder, les coutures sautent aux yeux. La figure ci-dessous décortique un cas typique reçu au Cabinet Verne : un prétendu message de la banque annonçant la « suspension » du compte professionnel. Les quatre pastilles rouges pointent les défauts qui trahissent la fraude.

Les six pièces d’un message frauduleux

Passons en revue les éléments à examiner dans tout message, l’un après l’autre. C’est cette grille de lecture, appliquée systématiquement, qui remplace l’intuition.

1. L’expéditeur affiché n’est qu’une étiquette. « Service Sécurité » ou « Claire Verne » est un simple nom d’affichage, que n’importe qui peut choisir. Seule compte l’adresse réelle, entre chevrons. Ici, bnp-secur1te.info n’a rien d’une adresse bancaire officielle : domaine fantaisiste, chiffre déguisé en lettre, extension .info inhabituelle.
2. L’objet joue sur l’émotion : urgence, peur, menace de sanction, ou au contraire promesse alléchante (remboursement, gain, colis). L’objectif est de vous faire agir avant de réfléchir.
3. Le corps emploie souvent une formule impersonnelle (« Cher client », « Bonjour ») parce que l’escroc ne connaît pas votre nom, et distille une consigne pressante.
4. Le lien ou le bouton est le piège central. Le texte affiché ment sur la destination : « Vérifier mon compte » peut mener n’importe où. On vérifie la vraie adresse en survolant le lien (section 6), jamais en cliquant.
5. La pièce jointe inattendue (facture .zip, .exe, document qui « active les macros ») peut installer un logiciel malveillant. Dans le doute, on n’ouvre pas.
6. La signature imite un pied de page officiel, logos compris — un logo se copie en trois secondes et ne prouve rien.

3. Les signaux d’alerte : la check-list mentale

Face à un message, on ne cherche pas une preuve unique, mais un faisceau d’indices. Un seul signal invite à la prudence ; deux ou trois signaux réunis désignent presque toujours une fraude. Le tableau suivant réunit les alertes les plus fréquentes, ce qu’elles dissimulent, et le réflexe à adopter. Affichez-le près des postes : au Cabinet Verne, Claire en a fait un aimant sur le réfrigérateur de la salle de pause.

Signal d’alerte	Ce que cela cache	Le bon réflexe
Urgence et menace (« sous 24 h », « compte bloqué »)	Empêcher la réflexion et la vérification.	Ralentir. Aucune démarche légitime n’exige d’agir en quelques minutes.
Demande d’informations sensibles (mot de passe, code, RIB)	Voler des identifiants ou de l’argent.	Refuser par principe. Personne de légitime ne demande cela par message.
Adresse d’expéditeur douteuse ou domaine bizarre	Usurpation d’une marque connue.	Lire l’adresse réelle entre chevrons, pas le nom affiché.
Lien qui ne correspond pas au texte affiché	Rediriger vers un faux site.	Survoler sans cliquer, lire la vraie adresse (section 6).
Pièce jointe inattendue (.zip, .exe, macro à activer)	Installer un rançongiciel ou un espion.	Ne pas ouvrir ; confirmer par un autre canal l’envoi réel.
Formule de politesse impersonnelle (« Cher client »)	L’escroc ignore votre identité.	Se méfier d’un « partenaire » qui ne connaît pas votre nom.
Offre trop belle ou remboursement inattendu	Appâter par l’intérêt ou la curiosité.	Se rappeler que rien n’est gratuit ni dû sans raison connue.
Changement de RIB ou de procédure « exceptionnel »	Détourner un paiement vers un compte frauduleux.	Rappeler le contact habituel à son numéro connu, jamais celui du message.

Notez que la présence de fautes d’orthographe ne figure plus en tête de liste. C’était un indice fiable il y a dix ans ; les messages générés aujourd’hui sont souvent irréprochables sur la forme. À l’inverse, un message truffé de fautes reste suspect, mais un message parfaitement écrit n’est pas une preuve de légitimité. On juge sur le fond — la demande — pas sur le style.

4. Au-delà de l’e-mail : SMS, téléphone et QR codes

L’hameçonnage a débordé de la boîte mail. Les mêmes ficelles se déclinent désormais sur tous les canaux, avec des noms qui décrivent le support employé. Les connaître évite d’être pris au dépourvu quand la fraude arrive par un chemin inattendu.

Le smishing : l’hameçonnage par SMS

Le smishing (contraction de SMS et phishing) exploite la confiance qu’on accorde encore aux textos et leur format court, qui laisse peu de place aux indices. Les scénarios vedettes : le colis « en attente de livraison » réclamant des frais, l’amende à régler en urgence, le compte à « réactiver », ou le fameux « Bonjour maman, j’ai changé de numéro ». Le SMS ci-dessous, reçu par Sophie au Cabinet Verne, illustre la mécanique.

Le vishing : l’hameçonnage par la voix

Le vishing (voice phishing) se joue au téléphone. Un faux conseiller bancaire vous alerte d’un « virement frauduleux » et vous guide, d’une voix rassurante, pour « sécuriser » votre compte — en réalité pour valider ses propres opérations. Variante redoutable : le faux support technique (« Microsoft », « votre opérateur ») qui prétend détecter un virus et demande une prise de contrôle à distance de l’ordinateur. Ces appels misent sur l’autorité et la panique. Règle d’or : on raccroche, puis on rappelle soi-même le numéro officiel figurant au dos de sa carte ou sur ses factures. Un vrai conseiller ne vous en voudra jamais de vérifier.

Le quishing : le piège du QR code

Le quishing détourne les QR codes, devenus omniprésents. Un autocollant frauduleux collé sur un parcmètre, une fausse borne de recharge, un QR reçu par courrier « officiel » : scanné, il ouvre un site piégé. La difficulté est qu’un QR code ne montre pas sa destination. Le réflexe : après le scan, lire l’adresse affichée avant d’ouvrir la page, et se méfier d’un QR collé, décollable ou apposé sur un support public.

Canal	Nom	Appât courant	Où signaler
E-mail	Phishing	Banque, impôts, facture	Signal Spam, Phishing Initiative
SMS	Smishing	Colis, amende, « maman »	33700 (transfert du SMS)
Téléphone	Vishing	Faux conseiller, faux support	cybermalveillance.gouv.fr
QR code	Quishing	Parcmètre, borne, courrier	cybermalveillance.gouv.fr

5. Les arnaques qui visent l’entreprise elle-même

Jusqu’ici, l’hameçonnage cherchait un mot de passe. Ces fraudes-ci visent directement le compte en banque de l’entreprise. Elles ne reposent pas sur un virus, mais sur la manipulation : on abuse de la confiance, de la hiérarchie et de la peur de mal faire. Pour un cabinet comptable, qui déclenche ou prépare des paiements, ce sont les scénarios les plus coûteux — et les plus évitables avec une bonne procédure.

La fraude au président (ou faux ordre de virement)

Le fraudeur se fait passer pour le dirigeant et écrit à la personne qui peut payer. Le message combine autorité (« C’est Claire, j’ai besoin de toi »), urgence (« avant 17 h, c’est capital ») et confidentialité (« n’en parle à personne, l’opération est sensible »). Le but de ce dernier ingrédient est limpide : vous empêcher de vérifier auprès de qui que ce soit. Souvent, l’adresse d’envoi ressemble à celle du patron, à une lettre près. La figure suivante montre le parcours de l’attaque — et l’unique point où elle se brise.

La fraude au faux fournisseur et au changement de RIB

Ici, l’escroc se fait passer pour un fournisseur habituel et annonce, courrier ou e-mail à l’appui, un changement de coordonnées bancaires : « merci de régler nos prochaines factures sur ce nouveau RIB ». Le paiement suivant part alors sur le compte du fraudeur. La parade est simple et non négociable : tout changement de RIB se vérifie en rappelant le fournisseur au numéro que vous connaissez déjà (celui de vos anciens documents), jamais au numéro indiqué dans le message qui annonce le changement.

Le faux client et le trop-perçu

Variante côté encaissement : un « client » vous règle par erreur une somme trop élevée et demande le remboursement de la différence… avant que son premier paiement ne se révèle frauduleux ou annulé. On ne rembourse jamais un trop-perçu tant que l’encaissement initial n’est pas définitivement confirmé par sa banque.

6. Vérifier un lien et un expéditeur, sans jamais cliquer

C’est le cœur pratique de la leçon : deux gestes qui, à eux seuls, désamorcent l’immense majorité des pièges. Ils ne demandent qu’un peu d’attention et se transmettent en cinq minutes à toute une équipe.

Lire la véritable adresse de l’expéditeur

Le nom affiché est décoratif ; l’adresse réelle est la seule qui compte. Sur ordinateur, elle apparaît entre chevrons ou en cliquant sur le nom de l’expéditeur ; sur mobile, en dépliant l’en-tête du message. On lit alors le domaine — la partie après l’arobase. Les fraudeurs jouent sur la ressemblance : service-clients@paypa1.com (un « 1 » à la place du « l »), @bnp-securite.info au lieu du domaine officiel, ou un sous-domaine trompeur. Un doute sur une seule lettre suffit à écarter le message.

Décrypter un lien : la règle du dernier point

Un lien peut afficher un texte rassurant tout en pointant ailleurs. Pour connaître sa vraie destination sans l’ouvrir, on le survole avec la souris (l’adresse réelle s’affiche en bas du navigateur) ou, sur mobile, on appuie longuement pour la faire apparaître — sans relâcher sur le lien. Reste à savoir la lire. La figure ci-dessous en donne la clé : le vrai domaine se trouve juste avant la première barre oblique simple, en lisant de gauche à droite jusqu’à cette barre.

Trois pièges de lecture reviennent sans cesse :

• Le domaine-leurre en tête. paypal.com.arnaque.ru n’a rien à voir avec PayPal : le domaine réel est arnaque.ru. Tout ce qui précède le dernier point avant la barre n’est que décor.
• Les liens raccourcis (bit.ly et consorts) masquent la destination. On ne les ouvre qu’en confiance, ou après les avoir « dépliés » avec un service d’aperçu.
• Le cadenas n’est pas un gage de confiance. Le petit cadenas et le « https » signifient seulement que la connexion est chiffrée, pas que le site est honnête. Un site d’hameçonnage moderne possède, lui aussi, son cadenas.

7. Signaler : transformer un piège en information utile

Signaler un message frauduleux ne prend qu’une minute et rend service à tout le monde : cela alimente les dispositifs qui font fermer les sites pièges et alertent d’autres victimes potentielles. Le bon interlocuteur dépend du canal utilisé par l’escroc. Le tableau ci-dessous récapitule les guichets officiels français.

Vous avez reçu…	Où le signaler	Comment
Un e-mail d’hameçonnage	Signal Spam et Phishing Initiative	Transférer le message ; signaler l’adresse du faux site.
Un SMS frauduleux	33700	Transférer le SMS au 33700 (service gratuit des opérateurs).
Un appel, un doute, besoin d’aide	cybermalveillance.gouv.fr	Diagnostic en ligne et mise en relation avec un prestataire.
Un contenu illicite (arnaque en ligne)	Pharos — internet-signalement.gouv.fr	Remplir le formulaire de signalement du ministère de l’Intérieur.
Une usurpation d’une marque connue	La marque concernée	Utiliser son adresse « abuse » ou son formulaire dédié.

Après signalement, supprimez le message. Ne conservez que ce qui pourrait servir de preuve si vous avez subi un préjudice (capture d’écran, en-têtes).

Et si l’on a déjà cliqué ou communiqué une information ?

Il n’y a pas de honte à s’être fait piéger : cela arrive aux plus prudents, et la vitesse de réaction compte bien plus que la faute. Les gestes d’urgence, dans l’ordre :

1. Mot de passe communiqué ? Changez-le immédiatement, sur le vrai site, ainsi que sur tout autre service où vous l’utilisiez. Activez la double authentification.
2. Carte bancaire saisie ? Appelez votre banque pour faire opposition, et signalez la fraude à la carte sur le service Perceval. Surveillez vos relevés.
3. Pièce jointe ouverte ? Déconnectez le poste du réseau et faites-le analyser (voir la leçon « Réagir en cas d’incident »).
4. Dans tous les cas : conservez les preuves, déposez plainte si nécessaire, et faites-vous accompagner via cybermalveillance.gouv.fr.

8. Les réflexes d’équipe qui résistent à la pression

La technique ne fait pas tout : l’hameçonnage exploite l’humain, il se combat donc aussi par des habitudes partagées. Cinq réflexes suffisent à couvrir la quasi-totalité des situations. Ils tiennent sur une carte, que la figure ci-dessous résume.

La règle du double canal, en détail

C’est la plus puissante des cinq. Elle tient en une phrase : toute demande sensible reçue par un canal se valide par un second canal, choisi par vous. Un e-mail réclame un virement ? On confirme par téléphone, au numéro habituel. Un SMS annonce un problème bancaire ? On se connecte soi-même à l’application. Un fournisseur change de RIB par courrier ? On appelle son contact connu. Le principe : l’attaquant contrôle le canal par lequel il vous a joint, jamais celui que vous initiez de votre côté.

Ancrer une procédure de paiement

Pour les virements, une procédure écrite vaut mieux que la vigilance individuelle, qui fatigue. Au Cabinet Verne, toute demande de virement au-delà d’un seuil, ou tout changement de coordonnées bancaires, exige une validation à deux personnes et un rappel téléphonique du bénéficiaire. La règle s’applique sans exception, y compris — et surtout — quand la demande semble venir de la dirigeante. C’est une protection pour tous, y compris pour Claire elle-même, dont le nom pourrait être usurpé.

🧭 Erreurs fréquentes et dépannage

Certaines idées reçues fragilisent les meilleures intentions. Le tableau relie chaque erreur courante à sa correction.

Situation / idée reçue	Pourquoi c’est risqué	Le bon geste
« Le message a un logo, donc il est authentique. »	Un logo se copie instantanément.	Juger la demande, pas l’apparence.
« Il y a un cadenas https, c’est sécurisé. »	Le cadenas chiffre, il ne certifie pas l’honnêteté.	Vérifier le domaine, pas le cadenas.
« C’est écrit sans faute, donc c’est fiable. »	Les messages générés sont irréprochables.	Se fier au fond de la demande.
« Ça vient du patron, je m’exécute. »	Fraude au président : l’adresse est usurpée.	Rappeler le dirigeant à son numéro connu.
« J’ai cliqué, autant continuer. »	Rien n’oblige à saisir ses données.	Fermer la page ; ne rien saisir ; signaler.
« Je supprime, je n’en parle pas. »	Un collègue peut tomber dans le même piège.	Prévenir l’équipe et signaler.

📋 Cas pratique 1 — La fraude au président reçue par Sophie

La situation. Un mardi à 16 h 40, Sophie reçoit un e-mail signé « Claire Verne ». Le ton est direct : « Sophie, je suis en rendez-vous, je ne peux pas être dérangée. J’ai besoin que tu passes un virement de 8 400 € aujourd’hui pour sécuriser un dossier. C’est confidentiel, n’en parle à personne, je t’expliquerai. Voici le RIB. » L’adresse d’envoi est claire.verne@cabinet-verne.fr… au lieu du @cabinetverne.fr habituel (un tiret ajouté).

La lecture des signaux. Sophie applique la check-list. Elle relève quatre alertes qui se cumulent : (1) une urgence forte avec échéance dans la journée ; (2) une demande de confidentialité qui interdit la vérification ; (3) une somme importante sortant de l’ordinaire ; (4) une adresse d’expéditeur légèrement différente de l’habituelle. Chacun serait un motif de prudence ; réunis, ils dessinent une fraude au président caractérisée.

La résolution. Sophie ne répond pas à l’e-mail — répondre reviendrait à écrire au fraudeur. Elle applique le double canal : elle appelle Claire sur son portable, au numéro qu’elle connaît. Claire, entre deux rendez-vous, confirme qu’elle n’a rien demandé. En quelques secondes, la fraude est éventée. Sophie transfère ensuite le message pour signalement, le supprime, et prévient Marc et Julien pour qu’ils restent vigilants : un fraudeur qui a visé une adresse du cabinet en visera souvent d’autres.

La leçon. Aucune compétence informatique n’a été nécessaire : un simple appel a suffi. La procédure de virement du cabinet (validation à deux, rappel du bénéficiaire) aurait de toute façon bloqué l’opération. La double protection — réflexe individuel et procédure écrite — est ce qui rend une petite structure réellement résiliente.

📋 Cas pratique 2 — Le faux courriel « des impôts » reçu par Marc

La situation. Marc reçoit un message au logo de la Direction générale des finances publiques : « Suite à un recalcul, un remboursement de 1 240 € vous est accordé. Confirmez vos coordonnées bancaires sous 48 h pour en bénéficier. » Un bouton vert invite à « Accéder à mon remboursement ». L’offre est alléchante, le logo parfait.

La lecture des signaux. Marc ne se laisse pas gagner par l’appât. Il déplie l’adresse de l’expéditeur : @dgfip-remboursement.net, sans rapport avec le domaine officiel en .gouv.fr. Il survole le bouton sans cliquer : la destination réelle est impots.gouv.fr.espace-remb.net/form — le vrai domaine, en lisant jusqu’à la première barre oblique, est espace-remb.net. Enfin, il se souvient de la règle d’or : l’administration ne demande jamais de coordonnées bancaires par e-mail pour un remboursement, qu’elle effectue sur le compte déjà connu. Le schéma ci-dessous oppose le réflexe risqué au réflexe sûr.

La résolution. Marc ne clique pas. Pour lever tout doute, il ouvre lui-même son navigateur et se connecte à son espace officiel : aucun remboursement en attente. Il transmet l’e-mail à Signal Spam et à Phishing Initiative, puis le supprime. Total : deux minutes, zéro donnée exposée.

📋 Cas pratique 3 — Le changement de RIB du fournisseur

La situation. Le cabinet reçoit un courriel de son prestataire informatique habituel : « Nous avons changé de banque. Merci de régler la facture en cours, 2 300 €, sur nos nouvelles coordonnées ci-jointes. » La facture semble authentique, le logo est bon, le montant plausible.

La lecture des signaux. Un seul signal, mais majeur : un changement de coordonnées bancaires. C’est le scénario type de la fraude au faux fournisseur. Peu importe que le reste paraisse normal : un changement de RIB ne se valide jamais sur la seule foi du message qui l’annonce.

La résolution. Julien, chargé du règlement, applique la règle : il appelle le prestataire au numéro figurant sur une ancienne facture (jamais celui du nouveau message). Le prestataire tombe des nues : il n’a pas changé de banque. La fraude est confirmée. Le cabinet paie sur l’ancien RIB, signale la tentative et informe le fournisseur, victime lui aussi d’une usurpation. Un appel d’une minute a évité une perte de 2 300 €.

🏋️ Exercices

À vous de jouer. Cherchez la réponse, puis dépliez le corrigé.

Exercice 1 — Le vrai domaine. Un lien affiche « ameli.fr » mais pointe vers https://ameli.fr.secu-remboursement.com/connexion. Vers quel site mène-t-il réellement ?

✅ Voir le corrigé

Le vrai domaine est ce qui précède la première barre oblique simple : secu-remboursement.com. La mention « ameli.fr » n’est qu’un leurre placé devant le point. Le lien ne mène donc pas au site de l’Assurance Maladie. On ne clique pas ; on se connecte soi-même sur ameli.fr.

Exercice 2 — Trois signaux à repérer. Un e-mail « URGENT » annonce que votre messagerie sera fermée dans 2 h faute de « revalidation », commence par « Cher utilisateur » et propose un bouton « Confirmer mon mot de passe ». Citez trois signaux d’alerte.

✅ Voir le corrigé

(1) L’urgence avec menace de fermeture et délai court ; (2) la formule impersonnelle « Cher utilisateur » ; (3) la demande de mot de passe, qu’aucun service légitime ne réclame. On peut ajouter le bouton dont la destination réelle est inconnue. Trois signaux suffisent largement : c’est un hameçonnage.

Exercice 3 — La bonne réaction. Sophie reçoit un SMS : « Votre colis est bloqué, réglez 2 € : colis-fr-suivi.info/pay ». Elle n’attend aucun colis. Que doit-elle faire, dans l’ordre ?

✅ Voir le corrigé

Ne pas cliquer ; ne pas payer ces « frais » qui servent à capter la carte. Transférer le SMS au 33700. Supprimer le message. En cas de vrai colis attendu, se rendre soi-même sur le site officiel du transporteur, avec le numéro de suivi reçu à la commande.

Exercice 4 — La demande du dirigeant. Marc reçoit un e-mail de « Claire » demandant un virement urgent et confidentiel de 6 000 €. Quelle règle applique-t-il, et comment ?

✅ Voir le corrigé

La règle du double canal : il ne répond pas à l’e-mail, il appelle Claire à son numéro connu pour confirmer. L’exigence de confidentialité est justement le signe de la fraude au président. Il applique aussi la procédure du cabinet : validation à deux et rappel du bénéficiaire.

Exercice 5 — Le cadenas trompeur. Un collègue affirme : « Le site a un cadenas et du https, donc je peux saisir mes identifiants sans risque. » A-t-il raison ?

✅ Voir le corrigé

Non. Le cadenas et le https signifient seulement que la connexion est chiffrée entre le navigateur et le site — pas que le site est honnête. Les sites d’hameçonnage récents ont, eux aussi, un cadenas. Ce qu’il faut vérifier, c’est le domaine, et l’avoir atteint soi-même.

Exercice 6 — Le changement de RIB. Un fournisseur annonce par courriel un nouveau RIB pour ses prochaines factures. Quel geste, et surtout à quel numéro ?

✅ Voir le corrigé

Appeler le fournisseur pour confirmer le changement, en composant le numéro figurant sur une ancienne facture ou dans vos contacts — jamais celui du message qui annonce le changement, potentiellement écrit par le fraudeur. Tant que la confirmation n’est pas obtenue, on continue de payer sur l’ancien RIB.

🧩 Adapter à votre activité

Le cabinet comptable est un cas dense, mais les mêmes réflexes se transposent à tout métier — seuls changent les appâts favoris des fraudeurs.

• Commerce et boutique. Méfiance sur les faux avis de livraison, les « litiges client » sur les places de marché, et les demandes de remboursement de trop-perçu. Vérifier chaque changement de RIB fournisseur avant paiement.
• Artisan et bâtiment. Cibles classiques : le faux fournisseur de matériaux, la fausse facture d’outillage, l’« URSSAF » ou le « service RH » réclamant des données. Un devis ou une facture inattendus se confirment par téléphone.
• Profession libérale et santé. Données patients ou clients très convoitées : faux « Ordre », faux logiciel métier à « mettre à jour », faux support informatique. Ne jamais donner la main à distance sur un simple appel.
• Association. Faux appel aux dons, fraude au président visant le trésorier, faux organisme « subventionneur ». Les mêmes règles de double validation protègent la trésorerie.

Le principe reste identique : ralentir, vérifier l’expéditeur et le lien, ne jamais livrer d’identifiant, et confirmer toute demande sensible par un second canal. Quel que soit le secteur, ces gestes transforment une équipe vulnérable en équipe difficile à piéger.

🚀 Aller plus loin

Reconnaître l’hameçonnage est la première ligne de défense. Quelques mesures la renforcent durablement.

La double authentification, filet de sécurité

Activez la double authentification (un code en plus du mot de passe) sur la messagerie, la banque en ligne et les outils clés. Ainsi, même si un mot de passe est dérobé par hameçonnage, l’attaquant reste bloqué faute du second facteur. C’est l’une des mesures au meilleur rapport protection/effort, recommandée par l’ANSSI et cybermalveillance.gouv.fr. Elle est approfondie dans la leçon « Sécuriser wifi, postes et smartphones ».

Le gestionnaire de mots de passe, allié anti-piège

Un bon gestionnaire de mots de passe rend chaque mot de passe unique, mais offre aussi un garde-fou anti-hameçonnage méconnu : il ne propose de remplir vos identifiants que sur le vrai domaine enregistré. S’il ne propose rien sur une page qui imite votre banque, c’est un signal fort que le domaine est faux.

Entraîner l’équipe

La vigilance s’entretient. Un point de cinq minutes en réunion, le partage des tentatives reçues, une fausse campagne d’entraînement bienveillante : la sensibilisation régulière ancre les réflexes bien mieux qu’une consigne unique vite oubliée. L’objectif n’est pas de faire peur, mais de rendre le réflexe de vérification aussi naturel que fermer la porte du cabinet le soir.

Les leçons suivantes

Cette leçon ouvre la formation « Cybersécurité de la TPE ». La suivante, « Sécuriser wifi, postes et smartphones », protège les appareils qui reçoivent ces messages. La dernière, « Réagir en cas d’incident », donne la marche à suivre quand, malgré tout, un piège a fonctionné. Les trois se complètent : prévenir, protéger, réagir.

🔑 L’essentiel à retenir

• L’hameçonnage est la première menace pour les TPE ; il se joue sur l’humain, pas sur la technique.
• On juge un message sur le fond (la demande), jamais sur l’apparence (logo, style, cadenas).
• Le nom affiché ment : seule compte l’adresse réelle de l’expéditeur, entre chevrons.
• Le vrai domaine d’un lien se lit juste avant la première barre oblique simple.
• Aucune banque, aucune administration ne demande mot de passe ou RIB par message.
• Urgence + confidentialité = signature de la fraude au président : on rappelle, on ne s’exécute pas.
• La règle du double canal valide toute demande sensible par un moyen que vous initiez.
• On signale (33700, Signal Spam, cybermalveillance.gouv.fr) et on parle à l’équipe.
• Si l’on a cliqué : changer les mots de passe, faire opposition, ne pas rester seul.

📖 Glossaire

Terme	Définition
Hameçonnage (phishing)	Technique consistant à se faire passer pour un tiers de confiance afin de soutirer des données, de l’argent ou un accès.
Smishing	Hameçonnage par SMS (colis, amende, faux proche).
Vishing	Hameçonnage par téléphone (faux conseiller, faux support technique).
Quishing	Hameçonnage via un QR code piégé menant à un faux site.
Fraude au président	Escroquerie où l’attaquant se fait passer pour le dirigeant pour obtenir un virement urgent et confidentiel.
Faux ordre de virement	Demande de paiement frauduleuse, souvent par usurpation d’un dirigeant ou d’un fournisseur.
Usurpation (spoofing)	Falsification du nom ou de l’adresse d’expéditeur pour paraître légitime.
Domaine	Partie d’une adresse web ou e-mail qui identifie l’organisation (après l’arobase, avant la première barre oblique).
Typosquattage	Domaine imitant un site connu à une lettre près (paypa1.com).
Ingénierie sociale	Manipulation psychologique (urgence, autorité, peur) pour obtenir un geste ou une information.
Double authentification	Second facteur (code, application) exigé en plus du mot de passe.
Double canal	Vérification d’une demande sensible par un second moyen initié par vous (rappel téléphonique).
Rançongiciel	Logiciel malveillant qui chiffre les fichiers et réclame une rançon ; souvent introduit via une pièce jointe piégée.
33700	Numéro gratuit des opérateurs pour signaler un SMS frauduleux (par transfert).
Perceval	Service en ligne pour signaler une fraude à la carte bancaire.

❓ Questions fréquentes

Comment être sûr qu’un e-mail vient vraiment de ma banque ?

Vous ne pouvez pas l’être à 100 % à la seule lecture, et c’est justement pourquoi il ne faut jamais agir depuis l’e-mail. Ne cliquez pas sur ses liens : ouvrez vous-même votre navigateur, tapez l’adresse connue de votre banque ou utilisez son application. Si une action est réellement requise, vous la retrouverez dans votre espace. Rappelez-vous : votre banque ne vous demandera jamais mot de passe ou code par message.

J’ai cliqué sur un lien, mais je n’ai rien saisi. Suis-je infecté ?

Le simple fait d’ouvrir une page web ne vole pas vos données : le danger vient surtout de ce que vous saisissez ensuite (identifiants, RIB) ou de fichiers téléchargés puis ouverts. Si vous n’avez rien renseigné ni téléchargé, fermez la page, ne saisissez rien, et signalez le message. Par prudence, restez attentif à toute activité inhabituelle et, au moindre doute, faites analyser le poste.

Le message vient de l’adresse exacte d’un collègue. Puis-je m’y fier ?

Pas les yeux fermés. Une adresse peut être usurpée, ou la boîte du collègue avoir été piratée. Si la demande est sensible (virement, envoi de données, changement de RIB), appliquez le double canal : confirmez de vive voix. Un collègue de bonne foi comprendra toujours cette vérification.

Faut-il répondre « STOP » à un SMS suspect ?

Non. Répondre, même « STOP », confirme au fraudeur que votre numéro est actif et lu, ce qui attire d’autres tentatives. Ne répondez pas, ne cliquez pas : transférez le SMS au 33700, puis supprimez-le.

Un antivirus me protège-t-il de l’hameçonnage ?

En partie seulement. Un bon antivirus et un filtre anti-spam bloquent une part des messages et des sites connus, mais l’hameçonnage vise l’humain : aucun logiciel ne vous empêchera de saisir vous-même votre mot de passe sur un faux site convaincant. La vigilance reste la protection décisive ; l’outil est un complément, pas un substitut.

Un e-mail suspect : je le supprime ou je le signale ?

Les deux, dans cet ordre : signalez-le d’abord (Signal Spam et Phishing Initiative pour un e-mail, 33700 pour un SMS), ce qui aide à faire fermer les pièges ; puis supprimez-le. Prévenez aussi vos collègues si le message a visé l’entreprise.

Avec l’IA, l’hameçonnage est-il devenu indétectable ?

L’IA a supprimé les fautes d’orthographe et permet des messages très crédibles, y compris des imitations de voix. Mais elle ne change rien au fond : la demande reste anormale (un mot de passe, un virement urgent et secret, un RIB). En jugeant la demande et en appliquant le double canal, vous restez protégé quelle que soit la qualité de la mise en forme.

Peut-on se faire pirater juste en ouvrant un e-mail ?

Dans l’immense majorité des cas, non : le danger vient des liens que l’on suit, des pièces jointes que l’on ouvre et des informations que l’on saisit. Ouvrir puis fermer un e-mail sans interagir est presque toujours sans conséquence. La règle de prudence reste : ne pas ouvrir de pièce jointe inattendue et ne pas cliquer sans vérifier.

Num Compagny accompagne les dirigeants et les équipes des TPE-PME dans la sécurisation de leurs usages numériques, au sein de son Académie et lors de formations sur mesure. Retrouvez la suite de ce parcours sur numcompagny.com.