L’hameçonnage vise d’abord les petites entreprises
L’hameçonnage — le phishing, en anglais — consiste à vous faire cliquer sur un lien, ouvrir une pièce jointe ou saisir un mot de passe en se faisant passer pour un interlocuteur légitime : votre banque, un fournisseur, Microsoft, les impôts. L’objectif est presque toujours le même : voler un accès ou détourner un paiement.
Contrairement à une idée reçue, ces attaques ne ciblent pas que les grands groupes. Une TPE est une cible rentable : les montants détournés se comptent en milliers d’euros, les défenses sont souvent minimales, et une seule boîte mail compromise suffit à atteindre les clients et les fournisseurs. Les campagnes sont automatisées : votre entreprise n’a pas besoin d’être connue pour être visée, il suffit que son adresse figure dans une liste.
La bonne nouvelle : la plupart des attaques échouent face à quelqu’un qui sait quoi regarder, et les dégâts d’un clic malheureux se limitent fortement quand on réagit dans l’heure.
Les signaux qui doivent alerter
Un mail frauduleux bien fait ressemble à un vrai. Le logo est correct, la signature aussi. Ce qui le trahit, ce sont des détails que l’on peut apprendre à vérifier systématiquement avant de cliquer.
- L’urgence artificielle : « votre compte sera suspendu sous 24 h », « facture impayée, dernier rappel », « validez immédiatement ». L’attaquant veut vous faire agir avant de réfléchir. Un vrai organisme ne menace jamais de tout couper dans l’heure.
- L’adresse réelle de l’expéditeur : le nom affiché peut dire « Service Clients Banque », mais l’adresse derrière est parlante. Cliquez ou survolez le nom pour la révéler : un domaine approximatif (banque-secure-fr.com au lieu du domaine officiel) ou une adresse générique en gmail.com est un signal fort.
- Le lien qui ne correspond pas : survolez le lien sans cliquer (ou appuyez longuement sur mobile) pour afficher l’adresse de destination. Si le texte dit « impots.gouv.fr » mais que le lien pointe ailleurs, c’est un piège.
- Une demande inhabituelle : un fournisseur qui change de RIB par simple mail, un dirigeant qui demande un virement urgent par SMS, un « support » qui réclame votre mot de passe. Aucun interlocuteur légitime ne demande un mot de passe.
- Des fautes ou des tournures étranges : de moins en moins fréquentes, mais toujours révélatrices quand elles sont là.
Les variantes qui visent spécifiquement les TPE et PME
Au-delà du mail de masse imitant une banque ou un service public, trois scénarios reviennent constamment chez les petites entreprises. Ils méritent d’être connus de toute personne qui touche à la facturation ou aux paiements.
Le faux RIB fournisseur : vous recevez un mail — parfois depuis la vraie boîte d’un fournisseur dont le compte a été piraté — annonçant un changement de coordonnées bancaires. La facture suivante est payée sur le compte de l’attaquant. Règle simple : tout changement de RIB se vérifie par téléphone, en appelant le numéro que vous connaissez déjà, jamais celui indiqué dans le mail.
La fausse facture : une facture crédible pour une prestation plausible (nom de domaine, référencement, maintenance), avec un montant assez bas pour passer sans vérification. Rapprochez toute facture d’un bon de commande ou d’un contrat connu avant de payer.
Le faux support technique : un appel ou un mail se présentant comme Microsoft, votre hébergeur ou votre prestataire informatique, qui vous demande d’installer un outil de prise en main à distance ou de communiquer un code reçu par SMS. Un prestataire légitime ne vous appelle pas à l’improviste pour prendre la main sur votre poste : raccrochez et rappelez-le sur son numéro habituel.
Quelqu’un a cliqué : le plan d’action dans l’heure
Un clic n’est pas une catastrophe en soi. Ce qui compte, c’est ce qui se passe dans l’heure qui suit. Si un mot de passe a été saisi sur une fausse page, considérez-le comme volé et déroulez les étapes suivantes, dans cet ordre, sans attendre la fin de journée.
- Changez immédiatement le mot de passe du compte concerné, depuis un autre appareil si possible. S’il est réutilisé ailleurs — messagerie, banque, logiciels métier — changez-le partout. Chaque compte doit avoir son propre mot de passe.
- Révoquez toutes les sessions ouvertes : la plupart des services (Microsoft 365, Google Workspace, réseaux sociaux) proposent une option « se déconnecter de tous les appareils ». Sans cela, l’attaquant peut rester connecté même après le changement de mot de passe.
- Activez la double authentification sur le compte si elle ne l’était pas : c’est le moment où elle rapporte le plus.
- Si des coordonnées bancaires ont été saisies ou si un virement est parti vers un faux RIB, appelez votre banque immédiatement pour tenter un rappel de fonds : les premières heures sont décisives, au-delà les chances chutent fortement. Faites ensuite opposition si une carte est concernée.
- Vérifiez les règles de transfert de la boîte mail compromise : c’est l’étape la plus souvent oubliée. Un attaquant qui a eu accès à une messagerie crée fréquemment une règle discrète qui transfère ou masque certains messages (ceux contenant « facture », « virement », « RIB »). Ouvrez les paramètres de la boîte, supprimez toute règle que vous n’avez pas créée, et vérifiez aussi les délégations d’accès.
- Prévenez l’équipe et, si la boîte a pu servir à écrire à des tiers, alertez vos contacts : mieux vaut un message de prudence qu’un client qui paie une fausse facture envoyée en votre nom.
Après l’urgence : constater, déclarer, apprendre
Une fois l’accès repris, ne tournez pas la page trop vite. Conservez les preuves : le mail frauduleux, les captures d’écran, les relevés bancaires concernés. En cas de virement détourné, déposez plainte — c’est indispensable pour la banque et pour l’assurance si vous êtes couvert en cyber.
Signalez le mail sur la plateforme officielle Phishing Initiative ou via signal-spam.fr, et consultez cybermalveillance.gouv.fr, le dispositif public d’assistance aux victimes : il propose des fiches réflexes et peut vous orienter vers des prestataires référencés.
Enfin, faites le tour de ce que l’attaquant a pu voir : messages envoyés pendant la compromission, documents accessibles, comptes utilisant cette adresse pour la récupération de mot de passe.
Réduire le risque pour les prochains mois
On ne supprime pas l’hameçonnage, on réduit sa surface d’impact. Trois mesures apportent l’essentiel du gain pour une petite structure, sans budget lourd.
La double authentification partout où elle existe, en priorité sur la messagerie : un mot de passe volé ne suffit alors plus à entrer. C’est la mesure au meilleur rapport effort/protection.
Une procédure écrite pour les paiements : tout nouveau RIB et tout virement inhabituel se valident par un second canal (un appel au numéro connu), quelle que soit l’urgence affichée. Cette règle, connue de tous et sans exception — même quand la demande semble venir du dirigeant — neutralise les fraudes au virement les plus coûteuses.
Des réflexes partagés : montrer régulièrement à l’équipe de vrais exemples de mails frauduleux reçus par l’entreprise vaut mieux qu’une formation théorique annuelle. L’objectif n’est pas de ne jamais cliquer, c’est de signaler vite, sans crainte d’être blâmé : la personne qui prévient dans les cinq minutes limite les dégâts.
Se faire accompagner plutôt que gérer seul
Tout ce qui précède peut être fait en interne. Mais dans les faits, la double authentification reste « à activer un jour », les règles de transfert ne sont jamais vérifiées, et le jour de l’incident, personne ne sait qui appeler. C’est exactement le rôle d’un prestataire d’infogérance : mettre en place ces protections, surveiller les comptes, et être joignable quand l’heure tourne.
Chez OmniPro Solutions, le pôle OmniTech propose précisément cette infogérance : mise en place de la double authentification, vérification des règles de transfert de la messagerie, surveillance des comptes et des sauvegardes, et un interlocuteur joignable le jour où l’heure tourne. Si vous voulez savoir ce que couvrirait une infogérance pour votre entreprise, y compris le volet sécurité de la messagerie, le point de départ est ici : omnipro-solutions.com/omnitech/infogerance.