Un courriel qui imite votre banque ou un fournisseur habituel est l'outil préféré des fraudeurs visant les petites entreprises.
Dans une petite structure, un message important arrive souvent entre deux rendez-vous, sur la boîte de la personne qui gère aussi la comptabilité, les commandes et le standard. Le phishing, ou hameçonnage, repose sur ce moment d'inattention. Un courriel qui ressemble à une vraie demande de sa banque, un lien vers une page presque identique au site officiel, une pièce jointe « à régler d'urgence » : l'attaquant n'a pas besoin d'être sophistiqué, seulement crédible au bon moment. Cybermalveillance.gouv.fr, le dispositif national d'assistance et de prévention, classe l'hameçonnage parmi les menaces les plus fréquemment signalées par les particuliers comme par les professionnels.
Ce qui change pour une entreprise, c'est la portée. Un identifiant compromis peut ouvrir la messagerie, les fichiers partagés, l'espace d'administration du site ou le logiciel de facturation. Un seul clic peut donc toucher l'ensemble de l'activité, pas seulement le poste de la personne visée.
Aucun de ces indices ne prouve à lui seul une fraude, mais leur accumulation doit déclencher une vérification. L'adresse de l'expéditeur ressemble à celle d'un contact connu sans être identique, un caractère ou un domaine diffère. La formule est générique, « cher client » ou « madame, monsieur », alors que le fournisseur vous appelle toujours par votre nom. Le message crée une urgence artificielle : compte bloqué sous vingt-quatre heures, colis en attente de paiement, facture à régler avant la fin de la journée. Enfin, on vous demande de saisir vos identifiants sur une page atteinte par un lien, ou de transmettre un code reçu par SMS.
Le bon réflexe consiste à ne pas répondre au message et à ne pas cliquer sur le lien. Ouvrez un nouvel onglet et saisissez vous-même l'adresse du site de votre banque ou de votre fournisseur, ou appelez le numéro figurant sur votre contrat ou sur votre espace client, jamais celui indiqué dans le courriel. Si la demande est réelle, elle apparaîtra aussi dans votre espace personnel. Si elle n'existe pas, vous venez d'éviter une intrusion, et il est utile de la signaler à votre prestataire, car il peut s'agir d'une campagne visant d'autres clients.
Cette vérification prend deux minutes. Elle paraît superflue jusqu'au jour où le message est parfait, avec la bonne mise en forme, le bon logo et une référence de dossier plausible. C'est précisément dans ce cas qu'elle sert.
Un clic n'est pas forcément une catastrophe, mais il faut agir vite et dans le bon ordre. Si des identifiants ont été saisis sur une page suspecte, changez immédiatement le mot de passe concerné, puis celui de tout autre service où le même mot de passe était utilisé. Activez la double authentification partout où elle est proposée. Prévenez la personne responsable de l'informatique ou votre prestataire, et surveillez les dernières opérations bancaires. Si un paiement a été effectué, contactez votre banque sans attendre : la rapidité de la réaction conditionne souvent la possibilité d'annuler une opération.
Gardez une trace de ce qui s'est passé : heure approximative, expéditeur, capture du message. Ces éléments serviront au prestataire pour contrôler les accès et, le cas échéant, à la plateforme Cybermalveillance.gouv.fr, qui propose des fiches réflexes par type d'incident et une mise en relation avec des professionnels de proximité.
Dans une entreprise de quelques personnes, les rôles se mélangent. La même adresse reçoit les demandes de devis, les relances de paiement et les courriels administratifs. Les fraudeurs le savent et exploitent les situations où quelqu'un valide une facture sans la comparer à la commande. Une règle simple limite ce risque : tout changement de coordonnées bancaires d'un fournisseur doit être confirmé par téléphone auprès d'un contact déjà connu, jamais uniquement par courriel.
Autre piège fréquent : l'usurpation de l'identité d'un dirigeant qui demande un virement urgent. Là encore, la parade est procédurale. Fixez par écrit les montants à partir desquels une double validation est obligatoire, et faites-en une règle connue de tous, y compris lorsque la personne qui demande est pressée.
La sensibilisation fonctionne mieux en courtes séquences qu'en formation annuelle oubliée dès le lendemain. Partagez dans l'équipe un exemple de faux message reçu récemment, anonymisé, et demandez à chacun ce qui l'aurait alerté. Rédigez ensuite une page unique : qui contacter en cas de doute, comment vérifier un paiement, à qui signaler un incident. Cette page vaut mieux que la mémoire de la personne la plus expérimentée, qui peut être absente le jour où le message arrive.
Les incidents commencent souvent par une action banale de l'utilisateur. Travailler sur les réflexes est donc aussi efficace que travailler sur la technique, et souvent moins coûteux.
Un bon filtre antispam et un antivirus à jour réduisent le volume de messages dangereux, mais ils n'arrêtent pas tout. La vigilance est une habitude qui se construit : vérifier le canal, prendre le temps, savoir à qui parler. Pour les autres contrôles à prévoir sur un site et sur ses accès d'administration, la fiche consacrée à la sécurisation d'un site vitrine avant mise en ligne donne une liste complémentaire à parcourir avec votre prestataire.