Que signifie le terme « phishing » ?

L’hameçonnage est une activité frauduleuse où des attaquants utilisent de faux messages, sites web, codes QR ou appels téléphoniques pour voler des identifiants de connexion, de l’argent ou des informations confidentielles. Ce type de fraude est particulièrement préoccupant pour les petites et moyennes entreprises (PME) car leurs équipes réduites doivent souvent prendre des décisions rapides : approuver une facture, confirmer une connexion, ouvrir une pièce jointe ou répondre à une demande suspecte.

Le problème de fond reste toujours le même : les individus subissent des pressions, par le biais de l’ingénierie sociale, pour prendre des décisions qu’ils n’auraient pas prises sereinement. C’est pourquoi, lorsque je travaille avec des PME, je ne considère pas la sécurité numérique comme une source d’anxiété, mais plutôt comme un enjeu structurel : des processus clairs, un personnel formé et des mesures de sécurité techniques de base permettent souvent de réduire les risques plus efficacement qu’un simple outil de sécurité.

Une attaque de phishing n'est pas uniquement un problème informatique. C'est à la fois un problème de processus, un problème de compétences et un problème de confiance.

Reconnaître le phishing : formes et exemples typiques

Ces attaques ne se limitent pas aux courriels mal rédigés. Les tentatives de tromperie modernes sont souvent d'apparence professionnelle, soignées linguistiquement et visuellement convaincantes. Le Bureau fédéral de la sécurité de l'information (BSI) souligne que les faux courriels et sites web sont de plus en plus professionnels et peuvent être identifiés, entre autres, par des adresses internet inhabituelles. Une URL (Uniform Resource Locator) est une adresse qui indique où une ressource est accessible et comment y accéder. Cliquez ici pour en savoir plus.

• Hameçonnage par courriel : Un faux courriel bancaire vous demande de « vérifier » votre compte.
• Hameçonnage: Un message ciblé utilise de vrais noms, des projets ou des relations avec des fournisseurs de votre entreprise.
• Pêche à la baleine: Les attaquants se font passer pour des membres de la direction et exigent une approbation de paiement urgente.
• Tabagisme: Un SMS contenant un colis inclut un lien vers un prétendu paiement supplémentaire ou un suivi d'expédition.
• Vishing : L'appel usurpe l'identité d'un service d'assistance, d'une banque, d'un organisme gouvernemental ou d'un fournisseur de services informatiques.
• Hameçonnage par QR code : Un code QR figurant sur une fausse facture redirige vers une page de paiement ou de connexion manipulée.
• Fausse page de connexion : Un site web qui ressemble à Microsoft 365, Google, un système bancaire ou de magasin, mais qui collecte vos données de connexion.

Pourquoi le phishing est-il si dangereux pour les PME ?

Le rapport 2024 de Verizon sur les enquêtes relatives aux violations de données révèle que le vol d'identifiants de connexion est le vecteur d'accès initial le plus fréquent (38 %), tandis que l'hameçonnage est utilisé dans 15 % des cas. Ces données démontrent que les identifiants de connexion constituent une cible privilégiée des attaques.

L'ENISA, l'Agence de l'Union européenne pour la cybersécurité, classe également l'ingénierie sociale parmi les principales menaces dans son rapport « Paysage des menaces 2024 ». La cybersécurité protège les systèmes, réseaux, appareils et données numériques contre les attaques, les utilisations abusives, les pannes et les pertes de données. Pour les PME, la cybersécurité n'est pas un luxe et ne relève pas uniquement du service informatique… Cliquez pour en savoir plus . C'est particulièrement crucial pour les petites entreprises, car un compte de messagerie compromis donne souvent accès aux devis, factures, données clients, informations de projet et approbations internes.

En pratique, je constate souvent que le problème ne réside pas dans un manque de bonne volonté, mais dans un manque de clarté. Si personne ne sait quelle procédure de signalement appliquer, qui vérifie les autorisations de paiement ou comment un domaine suspect est surveillé, les personnes pressées par le temps prennent des décisions seules.

Comment reconnaître le phishing au quotidien

Pour vérifier les messages suspects, ne vous fiez pas uniquement à leur apparence. Examinez le contexte, l'expéditeur et l'action demandée.

• Adresse de l'expéditeur : L'adresse correspond-elle réellement à celle de l'entreprise connue, ou seul le nom affiché est-il correct ?
• Domaine: Est-ce que cela indique, par exemple, « microsoft.com » ou une variante similaire avec des caractères supplémentaires ?
• Pression: Des expressions comme « immédiatement », « dernier avertissement » ou « votre compte sera bloqué » sont destinées à vous faire gagner du temps.
• Demande de paiement : Tout changement inattendu des coordonnées bancaires et tout virement urgent nécessitent toujours une deuxième vérification.
• Pièces jointes : Les fichiers ZIP, Office ou PDF inattendus peuvent contenir des logiciels malveillants.
• Liens de connexion : Il est préférable d'accéder aux services importants via vos favoris enregistrés ou votre gestionnaire de mots de passe.
• Écart de processus : Si l'approbation du paiement arrive soudainement par courriel au lieu de la méthode habituelle, c'est un signe avant-coureur.

Prévention du phishing : mesures de protection simples pour les petites équipes

Une prévention efficace repose sur la technologie, les processus et la sensibilisation. Une étude de Microsoft Research conclut que l'authentification multifacteurs réduit le risque global de piratage de compte de 99,22 %. Pour les PME, cela signifie que l'authentification à deux facteurs est indispensable pour les comptes de messagerie, les outils cloud, les connexions aux sites web, la comptabilité et l'accès administratif.

• Activer l'authentification à deux facteurs : Notamment pour les messageries électroniques, les sites web, les services de paiement et les comptes cloud centralisés.
• Utilisez un gestionnaire de mots de passe : Un gestionnaire de mots de passe détecte souvent si vous êtes sur le véritable domaine et empêche la réutilisation du même mot de passe.
• Définir les approbations de paiement : Les nouvelles coordonnées bancaires, les sommes importantes et les virements urgents nécessitent un deuxième canal, par exemple un rappel via des numéros connus.
• Maintenance des mises à jour et des sauvegardes : Cela réduit le risque qu'un clic puisse entraîner l'installation d'un logiciel malveillant ou d'un rançongiciel.
• Organiser des formations de sensibilisation : Non pas pour désigner des coupables, mais pour s'entraîner ensemble à des situations réelles du quotidien.
• Établir une procédure de signalement : Chaque membre de l'équipe doit savoir à qui un message suspect est transféré et quelles sont les prochaines étapes.

La sécurité numérique fait partie de la cybersécurité , mais aussi de la culture d'entreprise . La culture d'entreprise, en termes simples, c'est l'expérience vécue au sein d'une entreprise. Elle se manifeste dans les comportements, les décisions, le leadership, etc. Cliquez pour en savoir plus . Si vous et votre équipe souhaitez utiliser les outils numériques de manière plus sécurisée, la culture numérique est tout aussi importante que la sécurité technique. Chez Berger+Team, nous intégrons ces enjeux dans notre accompagnement stratégique en transformation numérique, en proposant des processus clairs, des structures de site web adaptées et des responsabilités clairement définies.

FAQ sur le phishing

Que dois-je faire si j'ai cliqué sur un lien suspect ?

Ne supprimez aucun document, mais agissez méthodiquement : changez immédiatement votre mot de passe sur le site web officiel, déconnectez-vous de toutes les sessions actives, activez l’authentification à deux facteurs et utilisez les canaux de signalement internes. Si des informations bancaires, des données client ou un accès administrateur sont compromis, la banque, le responsable informatique et, le cas échéant, le délégué à la protection des données doivent en être informés.

L’hameçonnage est-il un crime ?

L’hameçonnage est généralement utilisé à des fins de fraude, d’usurpation d’identité, de vol de données ou d’accès non autorisé et peut entraîner des conséquences juridiques. En tant que PME, il est important de : documenter les messages suspects, ne pas interagir davantage avec eux et, en cas de préjudice, solliciter une aide professionnelle ou contacter les autorités compétentes.

Comment puis-je reconnaître un faux domaine ?

Vérifiez le domaine caractère par caractère, en particulier avant la première barre oblique. « login.microsoft.com.sicher-konto.example » n’est pas un site Microsoft, mais une sous-page d’un domaine externe.

Quelle est la différence entre le spam et le phishing ?

Le spam désigne généralement la publicité de masse non sollicitée, tandis que le phishing vise à voler des identifiants de connexion, de l'argent ou des informations confidentielles. Un message de spam ? Vous avez peut-être déjà entendu ce mot, mais que cache-t-il réellement ? À l'ère du numérique… Cliquer pour en savoir plus peut être agaçant, mais un message de phishing peut entraîner une perte de données, une infection par un logiciel malveillant ou un ransomware.

Pourquoi les PME sont-elles touchées par le phishing ?

Les PME possèdent souvent des données précieuses, des flux de trésorerie réels et des processus décisionnels directs, mais des processus de sécurité moins formalisés que les grandes entreprises. Par conséquent, des règles claires, des procédures d'audit simples et une infrastructure numérique robuste leur sont particulièrement utiles.

Sources

1. Office fédéral de la sécurité de l'information : Comment reconnaître les courriels et les sites web d'hameçonnage ? — bsi.bund.de
2. Rapport d'enquête de Verizon sur les violations de données de 2024 — verizon.com (2024)
3. ENISA - Panorama des menaces 2024 — enisa.europa.eu (2024)
4. Microsoft Research : L’authentification multifacteurs est-elle efficace pour dissuader les cyberattaques ? — microsoft.com