Votre téléphone vibre à l'heure du déjeuner. Un message annonce que votre paiement a échoué et vous demande de confirmer votre identifiant dans l'heure. Le logo semble correct. Le ton est pressant. Vous allez presque toucher le lien, puis vous remarquez que l'adresse de l'expéditeur utilise un domaine légèrement différent. Vous supprimez le message et vous appelez votre banque au numéro inscrit sur votre carte.
Cette pause, c'est exactement ce que les attaques de phishing espèrent que vous sautiez. Un e-mail de phishing est un faux message conçu pour voler des mots de passe, de l'argent ou des données sensibles. Pour en repérer un, il suffit de ralentir et de vérifier quelques détails. Vous savez déjà pourquoi la sécurité compte grâce à la sécurité des e-mails en entreprise. Le phishing est l'une des menaces les plus courantes que votre équipe rencontrera.
Qu'est-ce qu'un e-mail de phishing ?
Un e-mail de phishing imite un expéditeur de confiance, comme votre banque, un fournisseur ou même un collègue. Il vous pousse à cliquer sur un lien, à ouvrir un fichier ou à répondre avec des informations privées. Le message crée souvent un sentiment d'urgence pour que vous agissiez sans réfléchir.
Le phishing vise les entreprises de toutes tailles. Un identifiant compromis dans votre équipe peut exposer des fichiers clients et des e-mails envoyés depuis votre vrai domaine. Repérer les faux messages tôt protège donc bien plus qu'une seule boîte de réception.
Les signaux à vérifier avant de cliquer
1. Une adresse d'expéditeur qui ne correspond pas
Regardez l'adresse e-mail complète, pas seulement le nom affiché. Un message de « Support » peut venir d'un domaine quelconque qui n'a rien à voir avec l'entreprise annoncée. Comparez-la avec des adresses que vous avez déjà utilisées en toute sécurité.
2. Un langage pressant ou menaçant
Le phishing menace souvent de fermer un compte, d'engager des poursuites ou de signaler des paiements manqués sous quelques heures. Les entreprises sérieuses vous poussent rarement à contourner les étapes de vérification habituelles. Si le ton vous semble étrange, vérifiez par un canal que vous connaissez.
3. Des liens et des pièces jointes suspects
Passez la souris sur les liens sans cliquer pour voir leur vraie destination. Les pièces jointes inattendues, surtout les fichiers compressés ou les factures que vous n'avez jamais demandées, méritent une prudence particulière. Le chapitre sur la gestion professionnelle des pièces jointes présente aussi de bonnes habitudes pour les vrais fichiers.
4. Des demandes de mot de passe ou de changement de paiement
Les organisations de confiance ne demandent pas votre mot de passe par e-mail. Soyez tout aussi prudent face aux messages qui vous demandent d'envoyer de l'argent vers un nouveau numéro de compte. Confirmez les changements de paiement par téléphone, avec un numéro que vous avez trouvé vous-même.
Que faire quand quelque chose semble anormal
Ne cliquez sur aucun lien et ne répondez pas avec des données sensibles. Signalez le message à votre responsable ou à votre contact informatique, si vous en avez un. Supprimez-le après l'avoir signalé, ou déplacez-le dans le dossier des indésirables si votre hébergeur en propose un.
Si vous avez déjà cliqué sur un lien ou donné un mot de passe, changez-le immédiatement et prévenez les personnes qui gèrent votre messagerie. Réagir vite limite les dégâts. Pour les autres risques pour votre crédibilité, lisez les erreurs d'e-mail qui nuisent à la crédibilité. Tomber dans un piège de phishing abîme la confiance des deux côtés de la conversation.
Les techniques de phishing changent, mais le schéma reste le même. Faux expéditeur, demande urgente, lien risqué. Apprenez à votre équipe à faire une pause et à vérifier. Le chapitre suivant, qu'est-ce que l'usurpation d'e-mail, explique comment des attaquants imitent votre propre domaine.
Questions fréquentes
Un e-mail de phishing peut-il venir du domaine d'une vraie entreprise ?
Les attaquants usurpent parfois le nom affiché ou piratent de vrais comptes, ce qui rend les messages crédibles au premier regard. Vérifiez toujours une demande inhabituelle par un autre canal que vous maîtrisez. WEMASY aide les marques à garder cohérents leur domaine, leur site et leur messagerie dans le créateur de site web, afin que les enregistrements d'authentification restent alignés.
Les fautes d'orthographe restent-elles un signe fiable de phishing ?
Beaucoup de messages de phishing récents sont bien écrits, car leurs modèles sont copiés sur ceux de vraies entreprises. Fiez-vous davantage à l'adresse de l'expéditeur, à la destination des liens et aux demandes inhabituelles qu'aux seules fautes de frappe.
Dois-je transférer un e-mail suspect à mes collègues pour les prévenir ?
Le transfert peut diffuser des liens ou des pièces jointes malveillants dans votre équipe. Décrivez plutôt la menace dans un nouveau message, ou utilisez l'outil de signalement de votre hébergeur au lieu de transférer l'original.
Quel lien y a-t-il entre phishing et usurpation d'e-mail en entreprise ?
Le phishing repose souvent sur de fausses identités d'expéditeur, tandis que l'usurpation falsifie précisément votre domaine pour que le message semble venir de votre marque. Lisez qu'est-ce que l'usurpation d'e-mail pour voir comment les enregistrements d'authentification réduisent ce risque.
Vos clients ont-ils aussi besoin d'être sensibilisés au phishing ?
Des clients qui savent que vous ne demandez jamais de mot de passe par e-mail se laissent moins piéger par les faux messages envoyés en votre nom. Publiez sur votre site des règles claires sur les contacts et les paiements, pour que chacun sache à quoi s'attendre.
La mise en forme professionnelle des e-mails réduit-elle le risque de phishing en interne ?
Des signatures et des formules de réponse cohérentes aident le personnel à remarquer ce qui ne ressemble pas à la marque. Le module sur ce qu'une signature d'e-mail doit contenir aide les équipes à présenter un visage uniforme aux clients comme entre elles.