En bref
- Les attaques de phishing (par e-mail, SMS ou appel téléphonique) usurpent l’identité d’une personne ou d’un organisme que vous connaissez afin d’obtenir vos identifiants ou données personnelles à des fins malveillantes.
- Les professionnels sont également ciblés, avec des impacts très concrets : pertes financières, vol de données sensibles et activité perturbée.
- La vigilance est la meilleure des protections. Si le contexte du message est incohérent, qu’on vous demande en urgence des informations confidentielles, ne réagissez pas. Contactez votre interlocuteur par un autre canal pour vérifier qu’il est bien à l’origine de la demande.
- Vous avez été victime d’une attaque de phishing ? Réagissez vite (changez le mot de passe diffusé, par exemple), puis signalez le message en question sur l’une des plateformes dédiées.
Un (faux) e-mail des impôts vous réclame en urgence des informations sensibles ? C’est ce qu’on appelle une tentative de phishing. Un phénomène qui touche aussi les professionnels, avec des conséquences tout aussi graves que les particuliers : risque de pertes financières, vol de données sensibles, etc. Comment lutter contre le phishing ? En adoptant quelques réflexes et bonnes pratiques, vous développerez votre vigilance face aux tentatives de phishing.
Qu’est-ce que le phishing ?
Le phishing (ou « hameçonnage » en français) est une technique frauduleuse utilisée par les pirates, qui repose sur l’usurpation d’identité (aussi bien d’une personne que d’une institution). L’objectif du phishing : obtenir des informations sensibles (identifiants de connexion à une messagerie ou un compte en ligne, coordonnées bancaires, etc.) et les réutiliser pour mener ensuite des opérations frauduleuses.
Les attaques de phishing suivent souvent le même mode opératoire. Le plus souvent, vous recevez un message (e-mail ou SMS) vous invitant à cliquer sur un lien pour vous rendre sur le prétendu site d’un organisme ou d’une entreprise : service des impôts des entreprises, banque en ligne, réseau social, site e-commerce bien connu, etc. Une fois rendu sur le faux site web, on vous demande de saisir des informations sensibles (au prétexte d’éviter la suspension de votre compte, de mettre à jour vos coordonnées, etc.). Ces informations se retrouvent ensuite entre les mains des pirates, qui peuvent utiliser vos services à votre place, ou encore vendre ces précieuses données à d’autres acteurs malveillants.
L’hameçonnage prend différentes formes et utilise différents canaux : e-mail, SMS ou même téléphone. C’est même la porte d’entrée n°1 des cybercriminels pour attaquer les entreprises. D’après la 2e édition du baromètre national de la maturité cyber des TPE-PME publié par Cybermalveillance.gouv.fr en octobre 2025,
16 % des TPE-PME déclarent avoir subi un ou plusieurs incidents de cybersécurité dans l’année écoulée. Et parmi celles qui en ont identifié l’origine, 43 % citent l’hameçonnage.
Phishing par e-mail : l’exemple classique
Le phishing s’est principalement développé par e-mail. Voici quelques exemples d’e-mail de phishing ciblant les professionnels.
Un faux e-mail provenant d’une administration : le service des impôts des entreprises vous demande de saisir vos identifiants de connexion pour les renouveler, vous menaçant de ne plus pouvoir utiliser le service si vous ne le faites pas.
Un faux e-mail lié à l’un des outils que vous utilisez (messagerie en ligne, par exemple) : l’e-mail vous indique que votre messagerie est saturée ou qu’une connexion suspecte a été détectée. L’objectif est de vous faire saisir vos identifiants de messagerie, en vous faisant croire que cela va débloquer le problème. Et comme votre boîte mail pro est indispensable à votre activité… vous tombez dans le panneau.
Quand ce genre d’e-mail est noyé dans des dizaines d’e-mails courants et légitimes, pas toujours facile de faire le tri.
Phishing par SMS : le Smishing, la version mobile du phishing
Le principe est le même, mais la tentative de phishing peut être plus difficile à repérer. Le message par SMS est plus court, mais dans tous les cas, l’objectif est de vous emmener vers un site frauduleux et de vous inciter à saisir des informations sensibles.
Les scénarios sont bien connus : vous avez un colis en attente de livraison, une amende à régler, etc. Dans tous les cas, en cas de doute, ne cliquez pas sur le lien.
Phishing par téléphone (ou Vishing)
Le phishing par téléphone intervient souvent après un premier phishng par e-mail, durant lequel les escrocs ont obtenu votre identité et vos coordonnées bancaires, par exemple.
Votre téléphone sonne et le numéro vous semble familier ? À l’autre bout du fil, un faux conseiller bancaire vous signale des opérations suspectes sur votre compte bancaire professionnel et vous propose de les supprimer… en vous demandant des informations confidentielles.
Autre scénario : au fil de la conversation, un faux conseiller bancaire veut vous amener à valider un virement frauduleux, en lui communiquant un code reçu par SMS, par exemple.
Quels sont les risques du phishing pour les professionnels ?
Pertes financières
En accédant directement à vos identifiants et comptes bancaires, les pirates informatiques peuvent effectuer des paiements ou virements frauduleux, et engendrer des pertes financières dont il n’est pas toujours possible, pour une entreprise, de se remettre.
Certaines campagnes d’hameçonnage vont même jusqu’à reproduire graphiquement les e-mails et notifications envoyés par les logiciels de facturation les plus connus pour inciter les entreprises à régler de fausses factures.
Vol de données
Autre conséquence directe du phishing : le vol de données. En accédant à vos outils et documents, les pirates accèdent également à vos données les plus sensibles : fichier clients, devis et factures, bulletins de paie, etc.
Perturbation de l’activité
Le phishing est également coûteux en temps. Un pirate qui parvient à se connecter à votre boîte mail peut rapidement modifier le mot de passe. Résultat : vous n’y avez plus accès et ne pouvez plus utiliser les e-mails pour communiquer avec vos clients et fournisseurs.
Remettre en état de marche les outils que vous utilisez au quotidien et effectuer les démarches auprès des personnes et des organismes concernés (faire opposition auprès de votre banque, prévenir vos clients, etc.) prendra du temps.
Quelles sont les bonnes pratiques de protection contre le phishing ?
Un antivirus ou un filtre anti-spam bloquent une partie des tentatives de phishing. Pour les messages qui passent entre les mailles du filet, reste une solution : sensibiliser les équipes au phénomène, leur rappeler que le phishing sévit toujours, et même sous différentes formes. La vigilance se travaille. Au quotidien, certains signes permettent de repérer un courriel suspect.
- Le contexte de la demande n’est pas cohérent.
On vous demande de vous connecter à un service que vous n’utilisez pas ? On vous parle de livraison d’un colis mais vous êtes certain de ne rien attendre ? - On vous réclame des informations
confidentielles alors que ce n’est pas nécessaire. Exemple : aucune société de livraison ne vous demande vos coordonnées bancaires pour livrer un colis. - La formulation est inhabituelle ou étrange. Votre comptable se met à vous tutoyer ? Votre entreprise de nettoyage vous envoie une facture annuelle et non plus mensuelle ?
- L’adresse e-mail de l’expéditeur ou le nom de domaine sont falsifiés : ils sont quasiment identiques à l’adresse e-mail ou au nom de domaine légitimes, à une lettre près.
- Le contenu est douteux : avant de cliquer sur le lien qu’on vous envoie, passez la souris dessus. Vérifiez si le lien est correct. N’ouvrez pas les pièces jointes que vous n’attendiez pas, même si la tentation est grande de connaître le contenu de ce mystérieux fichier…
- La demande est urgente : on vous réclame des informations en vous menaçant (« Dernier rappel avant la fermeture de votre compte »), sans vous laisser le temps de réfléchir.
Découvrir Protection PC, l’antivirus nouvelle génération
Quelle attitude avoir si je me fais piéger par une tentative de phishing ?
Cela peut toujours arriver, même aux personnes les plus prudentes… La marche à suivre dépend de ce que vous avez fait.
Vous avez seulement cliqué sur le lien douteux, mais sans saisir aucune information ? Fermez la page.
Vous avez divulgué malgré vous un mot de passe sensible ? Changez-le sur le compte concerné et activez l’authentification multifacteur (MFA) si possible. Le mot de passe ne suffira plus pour vous connecter au service. Un code de validation par SMS vous sera par exemple demandé en plus du mot de passe.
Si votre boîte mail pro est concernée, prévenez vos contacts et clients. Utilisez un mot de passe différent pour chaque compte.
Vous avez confié vos coordonnées bancaires ? Faites opposition auprès de votre banque et surveillez toute transaction suspecte sur vos comptes.
Conservez des preuves : les messages reçus, des captures d’écran.
Comment signaler un mail, un site, un SMS ou un numéro frauduleux ?
Que vous ayez été piégé ou non, prenez quelques minutes pour signaler les tentatives de phishing. Une démarche qui permet par exemple de bloquer les expéditeurs malveillants et les URL frauduleuses.
- Pour signaler un e-mail frauduleux, rendez-vous sur Signal Spam.
Pour signaler un site web frauduleux, rendez-vous sur Phishing Initiative.
Pour signaler un SMS ou un numéro : transférez le message au 33700, puis envoyez le numéro de l’expéditeur lorsqu’il vous sera demandé.
