L'hameçonnage, ou phishing, reste l'une des menaces les plus signalées à Cybermalveillance.gouv.fr. Le but est presque toujours le même : vous faire saisir un mot de passe sur une fausse page, ou ouvrir une pièce jointe qui installe un programme malveillant. L'orthographe ne trahit plus rien. Il faut regarder ailleurs.
Ces signes restent fiables
- Une urgence : un compte suspendu, une facture impayée, un colis bloqué, une amende.
- Une demande de connexion par un lien, alors que vous pourriez aller sur le site vous-même.
- Un expéditeur qui ressemble à un vrai, à une lettre ou à un domaine près.
- Une pièce jointe inattendue, surtout une archive ou un document qui demande d'« activer le contenu ».
- Un QR code à scanner dans un e-mail, pour faire passer la suite sur votre téléphone, moins protégé.
- Une demande qui sort de vos habitudes, même venant d'une adresse connue.
Le dernier point est le plus important. Une adresse connue peut avoir été piratée. C'est le contenu de la demande qui doit vous alerter, pas seulement l'expéditeur.
Un réflexe règle presque tous les cas
Ne passez jamais par le lien du message. Si votre banque, votre hébergeur ou un fournisseur vous demande quelque chose, ouvrez vous-même son site ou son application, comme d'habitude, et regardez si la demande y apparaît. Si elle est vraie, vous la trouverez. Si elle est fausse, vous n'avez rien perdu.
Le même réflexe vaut au téléphone : un appel « de votre banque » se vérifie en raccrochant et en rappelant le numéro habituel. Un changement de coordonnées bancaires, lui, mérite une procédure à part.
Les clés d'accès rendent le piège inutile
Une fausse page de connexion vole ce que vous tapez. Avec une clé d'accès, vous ne tapez rien, et la connexion ne fonctionne que sur le vrai site. Activez-la partout où elle est proposée, et la double authentification ailleurs. Le détail est dans la méthode pour les mots de passe.
Vous avez cliqué : voici l'ordre des gestes
| Si vous avez | Faites tout de suite |
|---|---|
| Cliqué sur le lien sans rien saisir | Fermez la page. Le risque est faible, restez attentif aux messages suivants |
| Saisi un mot de passe | Changez-le sur le vrai site et partout où vous l'utilisiez, puis activez la double authentification |
| Saisi des coordonnées bancaires | Appelez votre banque pour faire opposition |
| Ouvert une pièce jointe | Débranchez l'ordinateur du réseau et prévenez la personne qui gère votre informatique |
Signalez ensuite le message : à votre messagerie avec le bouton prévu, puis à Signal Spam. Si le doute persiste, Cybermalveillance.gouv.fr vous oriente selon votre situation.
Entraînez l'équipe sans la piéger
Quelqu'un qui hésite à signaler un clic, de peur qu'on lui reproche son erreur, laisse le problème grandir. Dites clairement le contraire : on prévient tout de suite, et on remercie celui qui prévient. Une fois par trimestre, montrez un vrai e-mail piégé reçu par l'entreprise, et ce qui le trahissait.
Votre domaine se protège aussi : une adresse e-mail professionnelle bien réglée empêche les fraudeurs d'écrire à vos clients en se faisant passer pour vous.
Côté site, la maintenance surveille les accès, les mises à jour et la sécurité, dès 49 € par mois.
