Phishing en entreprise : repérer un message piégé

Un message de phishing adressé à une entreprise se repère à cinq détails : l’adresse réelle de l’expéditeur, l’adresse réelle du lien, une pièce jointe inattendue, un ton pressant, une demande qui sort de vos habitudes. Trois minutes de contrôle par un canal déjà connu tranchent, avant de cliquer, de répondre ou de payer.

Repérer un message piégé : les signaux que le phishing en entreprise laisse toujours

Le tri se fait sur le message lui-même, pas sur l’impression qu’il donne. Un courriel bien écrit, signé du bon nom, orné du bon logo, reste un piège si l’adresse d’envoi ou le lien ne correspondent pas. Cybermalveillance.gouv.fr place l’hameçonnage au deuxième rang des demandes d’assistance des entreprises en 2025, avec 16 % des sollicitations et une progression de 29 % sur un an. La faute d’orthographe comme signal d’alerte a vécu.

L’expéditeur réel se lit à droite de l’arobase

Votre logiciel de messagerie affiche un nom, pas une adresse. C’est précisément le point faible exploité : n’importe qui peut faire apparaître « Service comptabilité » ou le nom de votre fournisseur devant une adresse qui n’a aucun rapport. Cybermalveillance.gouv.fr rappelle qu’un organisme ou une grande entreprise écrit toujours depuis son nom de domaine officiel, et que la vérification porte sur ce qui suit l’arobase.

Ouvrez donc l’adresse complète avant tout le reste. Trois cas trahissent une usurpation :

• un domaine grand public là où vous attendez celui d’une entreprise
• un domaine presque juste, à une lettre ou à un tiret près
• un nom correct suivi d’un suffixe inhabituel, du type .info ou .top

Le nom affiché, lui, ne prouve rien du tout.

Le lien affiché et le lien véritable

Un lien porte deux adresses : celle que vous lisez et celle où il mène. Sur ordinateur, posez le curseur dessus sans cliquer, l’adresse réelle apparaît en bas de la fenêtre. Sur téléphone, un appui long produit le même résultat. Cybermalveillance.gouv.fr en fait son premier conseil de prévention.

Ce qui compte dans cette adresse, c’est le nom de domaine placé juste avant la première barre oblique. Le reste, sous-domaines fleuris et paramètres à rallonge, sert de décor. Un lien qui affiche le nom de votre banque et pointe ailleurs classe le message.

La pièce jointe qui n’a rien à faire là

Une facture livrée en archive compressée, un bon de commande en fichier web, un devis qui réclame d’activer les macros : la nature du fichier renseigne autant que son intitulé. Un fournisseur qui vous adresse un PDF chaque mois ne change pas de format du jour au lendemain sans un mot.

• un format inhabituel venant de ce contact précis
• un document que rien, dans vos échanges récents, ne justifie
• un fichier qui exige d’activer une fonction pour s’afficher

Dans le doute, la pièce reste fermée et le contact se rappelle.

L’urgence, le secret et la demande inhabituelle

Reste la couche psychologique, la plus rentable pour l’attaquant. Le message ouvre une fenêtre courte, vingt-quatre ou quarante-huit heures, et décourage toute vérification : dossier confidentiel, direction injoignable, pénalité annoncée. Cybermalveillance.gouv.fr est catégorique sur le fond : aucune administration ni société commerciale sérieuse ne réclame vos identifiants ou vos coordonnées bancaires par message électronique ou par téléphone.

Deux questions règlent la plupart des cas. Ce contact procède-t-il habituellement ainsi ? Et pourquoi cette demande interdirait-elle un appel de contrôle ?

La vérification en quelques minutes, avant de cliquer ou de payer

Aucun de ces contrôles ne demande de compétence technique. Chacun demande un point d’arrêt : un message inattendu qui touche à l’argent, aux accès ou aux données ne se traite pas dans la foulée.

Le regard extérieur reste l’aide la plus efficace, celui d’un collègue ou d’un service neutre. Dans la sphère personnelle, des services grand public comme Méfio proposent de coller le texte reçu pour vérifier un message suspect et faire ressortir les signaux d’alerte : urgence artificielle, écart entre le lien affiché et sa destination, demande d’un code reçu par SMS. Utile pour vous comme pour vos salariés sur leur téléphone privé, où arrive une bonne part de ces messages. La sécurité de l’entreprise, elle, se joue avec vos procédures et votre prestataire informatique, pas avec un service conçu pour les particuliers.

Rappeler le contact sur un numéro déjà connu

Le numéro figurant dans le message suspect ne compte pas, même s’il ressemble à celui que vous connaissez. Reprenez la ligne inscrite sur un contrat, sur une facture ancienne, dans votre carnet d’adresses ou sur le site officiel de l’organisme. L’appel dure deux minutes et donne une réponse définitive.

Pour un interlocuteur bancaire ou administratif, un principe simple : c’est vous qui composez le numéro, jamais l’inverse.

Contrôler l’IBAN par un autre canal que le message

Depuis le 9 octobre 2025, le règlement européen 2024/886 impose à toutes les banques de la zone euro un service gratuit de vérification du bénéficiaire. Avant l’exécution d’un virement SEPA, classique ou instantané, votre banque interroge celle du destinataire et signale l’écart entre le nom saisi et l’IBAN renseigné. La Fédération bancaire française présente ce contrôle comme un réflexe nouveau à intégrer, pour les entreprises comme pour les particuliers.

Un point mérite d’être compris : ce dispositif alerte, il ne bloque pas. La décision de valider reste la vôtre, et un avertissement ignoré ne se rattrape pas. Un changement de coordonnées bancaires se confirme donc de vive voix, avec la personne que vous connaissez chez ce fournisseur, sur son numéro habituel. Cette discipline fait partie du suivi des fournisseurs autant que la négociation des délais de paiement.

Temporiser, et faire relire par quelqu’un d’autre

Aucun interlocuteur légitime ne vous reprochera d’avoir vérifié. Une phrase règle la question sans vous engager : « Je vous rappelle sur votre ligne habituelle. » L’attaquant, lui, insistera, ce qui constitue déjà une réponse.

Faites relire le message par un collègue avant toute action. Une boîte de messagerie partagée rend ce contrôle croisé naturel : plusieurs personnes voient passer les demandes qui arrivent sur l’adresse de contact, et un message inhabituel saute aux yeux d’un lecteur qui n’attendait rien.

Cinq scénarios qui visent les TPE plutôt que les grands groupes

Les campagnes de masse existent, mais les pertes viennent surtout de messages taillés pour une petite structure : peu de personnes, aucun service dédié, un dirigeant qui valide entre deux rendez-vous. La catégorie des virements détournés occupe le troisième rang des demandes d’entreprises reçues en 2025 par Cybermalveillance.gouv.fr, avec 13,5 % des sollicitations et une hausse de 93 % en un an.

Le fournisseur qui annonce un nouveau compte bancaire

Un courriel arrive d’un prestataire que vous réglez depuis des années. Même signature, même mise en page, parfois la vraie facture en pièce jointe, récupérée dans une boîte de messagerie piratée. Une seule ligne change : l’IBAN. La Banque Postale y voit le montage dominant de 2025 pour l’arnaque au faux fournisseur, adossé à des documents authentiques plutôt qu’à des faux grossiers.

Le message soigne toujours un motif rassurant :

• un changement de banque annoncé par l’entreprise fournisseur
• une réorganisation du service comptable
• un compte à l’étranger justifié par une raison fiscale

Rien de tout cela ne se vérifie par retour de courriel.

Le dirigeant qui réclame un virement dans l’heure

Le faux ordre de virement cible la personne qui détient les accès bancaires, en visant les périodes creuses : ponts, congés, fin de semaine. Trois marqueurs reviennent :

• le prénom du dirigeant et son style télégraphique
• une adresse presque identique à la vraie, ou un numéro inconnu sur une messagerie mobile
• une consigne de discrétion au nom d’une opération en cours

L’urgence sert à supprimer le contrôle, jamais l’inverse : un dirigeant qui a réellement besoin d’un virement rapide accepte d’être rappelé sur son portable.

Le faux service informatique qui veut la main sur un poste

Cybermalveillance.gouv.fr décrit le procédé : un écran d’alerte, un numéro à rappeler, puis l’installation d’un logiciel de prise en main à distance sous prétexte de nettoyage. En entreprise, deux variantes circulent : l’attaquant appelle un salarié en se présentant comme le prestataire informatique, ou appelle le prestataire en se faisant passer pour un salarié en difficulté.

Le réflexe est le même dans les deux sens : raccrocher, puis rappeler le service concerné sur son numéro habituel.

Le message de livraison qui réclame quelques euros

Le montant demandé reste minuscule, deux ou trois euros de frais de relivraison. C’est exactement ce qui le rend crédible. Ces SMS affichent désormais le prénom et le nom du destinataire, et l’objectif n’a jamais été la petite somme : il s’agit d’obtenir un numéro de carte utilisable ensuite. Une carte professionnelle compromise, c’est un abonnement souscrit ailleurs et une opposition à gérer.

Le message d’une administration qui annonce un remboursement

URSSAF, service des impôts, greffe du tribunal de commerce : les organismes que vous ne pouvez pas ignorer sont les plus imités. Le message annonce un trop-perçu à récupérer ou une pénalité à régler sous quarante-huit heures. La réponse ne varie pas : jamais le lien du message, toujours votre espace habituel ouvert depuis votre navigateur ou votre gestionnaire de mots de passe.

Transformer la vigilance individuelle en règle d’équipe

La vigilance personnelle protège une personne à la fois, et elle tombe le jour où cette personne est fatiguée. Une règle écrite, elle, protège l’entreprise même quand le doute n’est pas venu. Les impacts relevés par Cybermalveillance.gouv.fr auprès des entreprises touchées en 2025 rappellent l’enjeu : 29 % déclarent une interruption d’activité, 22 % un vol de données, 11 % une perte financière directe.

La double validation des virements, écrite noir sur blanc

Une procédure de paiement tient en une page et se décide une fois pour toutes :

• tout nouvel IBAN se confirme par un appel sortant sur un numéro déjà connu, avant le premier règlement
• au-delà d’un montant que vous fixez, deux personnes interviennent
• la personne qui saisit le virement n’est pas celle qui le valide
• une demande urgente venant de la direction ne dispense d’aucune étape, et la direction le confirme par écrit

Ce dernier point est le plus important, parce qu’il retire au salarié la charge de dire non à son patron. Sans cette autorisation explicite, la double validation cède au premier message pressant.

Entraîner l’équipe, sans piéger personne

Une réunion annuelle sur les cybermenaces ne laisse aucune trace. Des rappels courts et réguliers, appuyés sur des messages réellement reçus dans l’entreprise, fonctionnent bien mieux. Affichez une fiche de trois lignes près des postes : à qui signaler, quoi ne pas faire, quel numéro appeler.

Désignez une personne référente et annoncez clairement qu’un signalement inutile ne sera jamais reproché. Un salarié qui prévient dix minutes après avoir cliqué vous fait gagner la journée ; celui qui se tait par crainte du reproche vous coûte la semaine. Cet apprentissage entre dans le plan de développement des compétences au même titre qu’une formation métier.

Quelqu’un a cliqué ou payé : les gestes des premières heures

Trois chantiers avancent en parallèle, et l’ordre compte peu tant qu’aucun n’est oublié.

Reprendre la main sur les accès

Quatre gestes, dans cet ordre :

• déconnecter le poste concerné du réseau sans l’éteindre, pour préserver les traces
• changer le mot de passe du service visé
• changer celui de tous les comptes où ce mot de passe était réutilisé
• activer la double authentification là où elle manquait

Un détail passe souvent à la trappe : inspectez les règles de la boîte de messagerie. Un attaquant qui obtient un accès crée fréquemment une redirection automatique pour lire la suite des échanges sans se faire remarquer. Vérifiez aussi les messages envoyés pendant la période, votre carnet d’adresses a peut-être reçu le même piège en votre nom.

Appeler la banque immédiatement

Si un virement est parti, tout se joue dans les heures qui suivent, avant que les fonds ne quittent le compte destinataire. Demandez le déclenchement d’une procédure de rappel des fonds, prévue par les règles SEPA de l’European Payments Council.

Ne comptez pas sur un remboursement de droit. L’article L. 133-24 du code monétaire et financier fixe à treize mois après le débit le délai maximal pour signaler une opération, mais un virement que vous avez validé vous-même n’entre pas dans la catégorie des opérations non autorisées : par un arrêt du 15 janvier 2025, la Cour de cassation a confirmé que la banque exécutant l’ordre conformément à l’IBAN transmis n’engage pas sa responsabilité. La rapidité de votre appel vaut mieux que n’importe quel argument juridique.

Signaler, porter plainte, notifier la CNIL

Le signalement alimente le blocage des expéditeurs et des sites imitateurs :

• Signal Spam pour un courriel, le 33700 pour un SMS
• 17Cyber, le guichet gratuit et accessible en continu de la police, de la gendarmerie et de Cybermalveillance.gouv.fr, qui oriente selon votre statut d’entreprise
• Info Escroqueries au 0 805 805 817, du lundi au vendredi de 9 h à 18 h 30
• une plainte au commissariat ou à la gendarmerie, avec captures d’écran, messages complets et justificatifs de virement

Reste le volet données personnelles. Si une messagerie professionnelle ou un fichier client a été exposé, l’article 33 du RGPD impose une notification à la CNIL dans les 72 heures, et l’incident se consigne dans votre registre des violations même en l’absence de notification.

Là où s’arrête la lecture d’un message

Savoir démonter un message piégé couvre la porte d’entrée, celle que visent l’hameçonnage et les demandes de virement détournées. Cela ne remplace ni la mise à jour des logiciels, ni la gestion des mots de passe, ni les sauvegardes : ces sujets forment votre posture de cybersécurité d’ensemble, et ils se traitent séparément.

Prochaine étape concrète, cette semaine : écrivez la règle de double validation des virements sur une page, faites-la signer par les deux personnes concernées, et envoyez à votre équipe les trois derniers messages douteux reçus avec la mention de ce qui les trahissait. Le contrôle devient un réflexe quand il devient une procédure.