Reconnaître le phishing : 10 signes d'alerte et les bons réflexes

Cet article explique comment reconnaître le phishing, quelles sont les méthodes courantes et quelles mesures sont réellement utiles en entreprise.

Qu'est-ce que le phishing ?

Le phishing consiste à utiliser de faux courriels, messages ou sites web pour obtenir des identifiants de connexion, des données de paiement ou des informations internes. Les cibles habituelles comprennent les comptes de messagerie, les accès aux services cloud comme Microsoft 365, les portails clients et les processus de paiement et de facturation.

Reconnaître le phishing : 10 signes d'alerte

1) Un nom d'expéditeur familier, mais une adresse différente

Le nom affiché peut être correct alors que l'adresse électronique a été légèrement modifiée : lettres inversées, caractères ajoutés ou mauvais domaine. Vérifiez l'adresse réelle de l'expéditeur, pas seulement son nom.

2) Un sentiment d'urgence ou une menace

« Agissez immédiatement », « Votre compte va être bloqué », « Dernier rappel » : l'urgence est un moyen classique d'empêcher de prendre le temps de réfléchir.

3) Un lien ou un bouton inattendu

Les courriels de phishing renvoient souvent vers de fausses pages de connexion. Ouvrez directement les sites importants dans votre navigateur plutôt que de suivre les liens d'un courriel.

4) Une demande de « confirmation rapide » de votre connexion

« Votre mot de passe expire », « Confirmez votre accès », « Validez un document » : lorsqu'on vous demande de vous connecter, utilisez votre chemin habituel, par exemple un favori ou l'adresse saisie directement, et non le lien du courriel.

5) Une pièce jointe inattendue

Une archive ZIP, un document Office ou une pièce jointe intitulée « Facture » présente un risque lorsqu'aucun contexte ne justifie son envoi. N'ouvrez que les pièces jointes plausibles que vous attendiez.

6) Une demande inhabituelle provenant d'un expéditeur connu

Soyez vigilant si un « collègue » demande soudain des identifiants, des autorisations ou des paiements. Les messages envoyés depuis un compte compromis peuvent sembler particulièrement authentiques.

7) Des détails qui ne concordent pas

La formule d'appel, la signature, le style, les noms de projets ou de services peuvent sembler presque corrects sans être cohérents. Un indice isolé n'est pas toujours concluant : c'est l'ensemble qui compte.

8) Une URL inhabituelle

Examinez le domaine : correspond-il vraiment à l'organisation ? Contient-il des fautes, des mots supplémentaires ou une extension inhabituelle ? Sur une page de connexion, le domaine est plus important qu'une présentation soignée.

9) Une question d'argent : nouvel IBAN, nouvelles coordonnées bancaires ou nouvelle facture

Les fraudes aux factures et aux autorisations de paiement peuvent coûter très cher. Tout changement de coordonnées bancaires doit suivre une procédure claire, idéalement avec un rappel par un moyen de contact déjà connu.

10) « Tu es la seule personne qui peut le faire rapidement »

L'ingénierie sociale exploite la volonté d'aider, le stress et la hiérarchie. Lorsqu'une demande paraît inhabituelle, une brève vérification par téléphone ou messagerie permet souvent de lever le doute rapidement.

Reconnaître un courriel de phishing : exemples du quotidien

« Votre mot de passe expire », « Alerte de sécurité Microsoft 365 », « Document en attente de validation » ou « Votre colis n'a pas pu être livré » sont des scénarios courants. Le scénario précis compte moins que l'association d'une pression, d'un lien ou d'une pièce jointe, et d'une demande inhabituelle. S'entraîner à reconnaître ces combinaisons permet d'acquérir les bons réflexes.

Que faire immédiatement après avoir cliqué sur un lien de phishing ?

Après un clic, il faut réagir vite. L'essentiel est de disposer d'une procédure claire, applicable sans hésitation.

Dans la mesure du possible, ne cliquez plus, ne saisissez aucune information et signalez immédiatement l'incident en interne. Si vous avez communiqué des identifiants, changez sans délai le mot de passe en passant par votre accès habituel et fiable. Vérifiez également l'authentification multifacteur et les sessions actives. En entreprise, centralisez les messages suspects, contrôlez les règles et les transferts de la messagerie, et avertissez rapidement les autres salariés si la fraude est en cours.

Comment réduire durablement les risques de phishing en entreprise

Les filtres techniques sont utiles, mais les pratiques quotidiennes sont déterminantes : procédures d'autorisation claires, signalement simple, rappels de sensibilisation courts et réguliers plutôt qu'une formation obligatoire ponctuelle, et culture sans culpabilisation. Reconnaître le phishing devient ainsi une habitude plutôt qu'une exception.

Verisite accompagne les entreprises dans une démarche structurée pour réduire concrètement les risques de phishing, simplifier les circuits de signalement et sensibiliser les équipes avec des méthodes applicables au quotidien.

Vérification rapide : repérer le phishing en 15 secondes

L'expéditeur correspond-il réellement au message ? Me met-on sous pression ? Le lien ou la pièce jointe est-il inattendu ? Me demande-t-on de me connecter ou d'autoriser un paiement ? Une vérification par un autre canal permettrait-elle de lever le doute ? Si quelque chose paraît anormal, signalez-le au lieu de cliquer.

Nous pouvons examiner avec vous votre procédure actuelle de signalement et les voies d’attaque habituelles afin de définir des mesures concrètes à mettre en œuvre immédiatement.

Vous trouverez d’autres informations auprès de la Verbraucherzentrale, organisme allemand de conseil aux consommateurs, et du BSI, Office fédéral allemand de la sécurité des technologies de l’information.