- Le phishing reste le vecteur d’entrée numéro un des cyberattaques, à l’origine de la grande majorité des incidents touchant les PME.
- Les techniques se sont sophistiquées : phishing ciblé (spear phishing), faux appels vocaux générés par IA, QR codes piégés.
- La formation régulière des équipes reste la protection la plus rentable, bien plus qu’un seul outil technique isolé.
Un clic suffit. C’est tout ce qu’il faut à un attaquant pour transformer un e-mail bien rédigé en porte d’entrée vers l’ensemble du système d’information d’une entreprise. Malgré des années de sensibilisation, le phishing reste la technique d’attaque la plus utilisée, simplement parce qu’elle continue de fonctionner. Ce guide détaille comment le reconnaître et s’en protéger durablement.
1. Pourquoi le phishing fonctionne toujours aussi bien
Le phishing exploite des réflexes humains plutôt que des failles techniques : urgence, autorité hiérarchique, curiosité, peur de manquer une information importante. Aucun pare-feu ne bloque un employé convaincu de devoir agir vite. C’est précisément ce qui rend cette menace aussi persistante malgré les progrès des outils de filtrage.
2. Les différentes formes de phishing à connaître
| Forme | Description |
|---|---|
| Phishing de masse | E-mail générique envoyé à grande échelle, imitant une marque connue (banque, livraison, service public). |
| Spear phishing | E-mail personnalisé, ciblant une personne précise avec des informations la concernant (nom, poste, projet en cours). |
| Smishing | Phishing par SMS, souvent avec un lien raccourci difficile à vérifier. |
| Vishing | Phishing par appel téléphonique, parfois assisté aujourd’hui par une voix clonée par IA. |
| Quishing (QR phishing) | QR code piégé redirigeant vers un site frauduleux, difficile à vérifier avant de scanner. |
3. Les signaux qui doivent alerter
- Urgence artificielle : « votre compte sera suspendu dans 24h », « paiement à confirmer immédiatement ».
- Adresse d’expéditeur légèrement différente de l’originale (faute subtile, domaine proche).
- Demande inhabituelle venant en apparence d’un supérieur hiérarchique, notamment un virement ou l’envoi d’informations sensibles.
- Lien dont l’adresse réelle, visible en survolant, ne correspond pas au texte affiché.
- Pièce jointe inattendue, notamment au format exécutable ou macro Office.
4. L’essor du phishing assisté par IA
Les outils d’intelligence artificielle générative permettent désormais de produire des e-mails de phishing sans fautes, parfaitement adaptés au ton professionnel attendu, voire de cloner une voix à partir de quelques secondes d’enregistrement public pour des tentatives de vishing convaincantes. Cette évolution rend certains signaux traditionnels (fautes d’orthographe, tournures maladroites) de moins en moins fiables pour détecter une tentative frauduleuse.
5. Former les équipes : la protection la plus rentable
Aucun outil technique ne remplace un collaborateur qui sait reconnaître une tentative de phishing et sait quoi faire en cas de doute (signaler plutôt que cliquer). Des campagnes de simulation régulières, suivies d’une formation courte et non culpabilisante, réduisent significativement le taux de clic sur les tentatives réelles au fil du temps.
6. Que faire en cas de clic accidentel
- Signaler immédiatement l’incident au service informatique, sans attendre ni tenter de le cacher.
- Déconnecter le poste du réseau si un fichier a été exécuté.
- Changer immédiatement le mot de passe si des identifiants ont été saisis sur une page frauduleuse.
- Surveiller les comptes concernés pour toute activité inhabituelle dans les jours suivants.
📋 Checklist anti-phishing
- Un processus de signalement simple et connu de tous existe pour les e-mails suspects.
- Des campagnes de simulation de phishing sont menées régulièrement, avec formation associée.
- SPF, DKIM et DMARC sont configurés pour limiter l’usurpation de votre propre domaine.
- Une procédure de double vérification existe pour toute demande de virement ou d’information sensible reçue par message.
- Les collaborateurs savent quoi faire en cas de clic accidentel, sans crainte d’être blâmés pour avoir signalé l’incident.
❓ FAQ
❓ Un filtre anti-spam suffit-il à bloquer le phishing ?
Il bloque une large part du phishing de masse, mais les campagnes ciblées (spear phishing) et les nouveaux canaux (SMS, appel, QR code) passent souvent au travers de ces filtres.
❓ Comment vérifier un QR code avant de le scanner ?
La plupart des applications d’appareil photo affichent l’URL de destination avant d’ouvrir le lien — prenez toujours le temps de la lire avant de confirmer, surtout si le QR code provient d’un support imprimé ou collé de façon inhabituelle.
❓ Le phishing vocal (vishing) par IA est-il vraiment répandu ?
Son usage progresse rapidement, en particulier pour des tentatives de fraude au président ciblées sur des cadres dirigeants ou des services comptables, où l’enjeu financier justifie l’effort de l’attaquant.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Spécialiste Microsoft 365 et gestion des identités. Camille aide les PME à sécuriser leurs comptes, leur messagerie et leurs accès sans complexifier le quotidien des équipes.
