Phishing en entreprise : vérifier, signaler, réagir

Un faux e-mail de fournisseur, un SMS de livraison ou un appel du « support » peut chercher un mot de passe, un paiement ou l’ouverture d’un fichier. Cette page répond à une intention opérationnelle : que faire face à un phishing en entreprise, selon ce qui a déjà été fait. Elle ne traite pas en détail la fraude au faux RIB ni l’ensemble de la gestion d’une cyberattaque ; elle indique quand basculer vers ces procédures.

1. Repérez les incohérences, pas seulement les fautes

Les campagnes modernes peuvent être correctement écrites et reprendre un vrai logo, le nom du dirigeant ou une facture attendue. Une faute n’est donc qu’un indice. Cherchez plutôt un changement de comportement : urgence inhabituelle, secret demandé, adresse de réponse différente, nouveau RIB, facture hors processus, lien dont le domaine ne correspond pas, pièce jointe inattendue, menace de fermeture ou demande de contourner une validation.

Observez le contexte métier. Le prétendu fournisseur écrit-il depuis l’adresse habituelle ? Le numéro de commande existe-t-il ? La personne est-elle censée vous demander ce type d’action ? Une conversation réelle peut être détournée après le piratage d’une boîte mail ; la présence d’anciens échanges ne prouve donc pas l’authenticité. Le guide sur la gestion de la boîte mail professionnelle aide à limiter ces prises de contrôle.

Le phishing ne se limite pas à l’e-mail. Il arrive par SMS, messagerie instantanée, QR code, réseau social, recherche sponsorisée ou appel téléphonique. Un fraudeur peut combiner les canaux : faux appel du support, puis notification d’authentification que la victime est invitée à valider. Appliquez la même règle à chaque canal : une demande sensible se confirme depuis une coordonnée ou une interface trouvée indépendamment.

Ne cherchez pas à décider seul si le message est « certainement » malveillant avant d’alerter. Une procédure efficace accueille le doute sans sanctionner la personne. Transmettre tôt un message suspect permet de bloquer un domaine ou de prévenir l’équipe ; le cacher après un clic fait perdre un temps précieux.

2. Vérifiez la demande sans utiliser ses propres coordonnées

N’ouvrez pas le lien pour « voir où il mène » et ne rappelez pas le numéro affiché dans le message. Ouvrez le service depuis un favori connu ou saisissez son adresse officielle dans le navigateur. Pour un fournisseur, reprenez le numéro validé dans le dossier ou sur un ancien contrat. Pour une demande interne, contactez la personne par le canal habituel, sans transférer la pièce jointe suspecte.

Sur ordinateur, survoler un lien peut afficher sa destination, mais cette lecture ne suffit pas : une adresse proche, un sous-domaine trompeur ou une redirection peut échapper à l’œil. Sur mobile, l’affichage réduit masque davantage d’éléments. La bonne réponse n’est pas de devenir expert en noms de domaine, mais de repartir d’un chemin de confiance indépendant.

Pour un paiement ou un changement de coordonnées, appliquez une validation renforcée. Appelez le contact déjà connu, faites relire la demande et comparez les données au référentiel. L’article fraude au faux RIB décrit cette procédure. Aucun motif d’urgence ne doit supprimer le contrôle ; l’urgence artificielle est précisément un outil de manipulation.

Si le message semble légitime mais que le canal est inhabituel, demandez au correspondant de déposer l’information dans l’espace ou le processus prévu. Cette réponse évite d’instaurer une exception qui deviendra exploitable. Ne communiquez jamais un mot de passe, un code temporaire, un code de récupération ou l’approbation d’une connexion à une personne qui vous contacte.

3. Appliquez la réponse correspondant à l’action déjà réalisée

Si vous avez seulement lu le message, ne paniquez pas. Le risque augmente surtout avec une interaction : saisie, téléchargement, installation, validation MFA ou paiement. Signalez néanmoins le message afin que les autres destinataires soient protégés. Supprimer immédiatement sans conserver d’élément peut priver l’entreprise d’informations utiles.

Après l’ouverture d’un lien sans saisie, fermez la page et notez l’heure, l’adresse et l’appareil. Vérifiez si un fichier s’est téléchargé et si une extension ou une autorisation a été ajoutée. Maintenez le navigateur et le système à jour. Une simple visite n’implique pas automatiquement une compromission, mais un comportement inhabituel, une alerte de sécurité ou un téléchargement impose un contrôle.

Après la saisie d’un mot de passe, agissez comme s’il était connu de l’attaquant, même si la page a affiché une erreur. N’attendez pas un message de connexion. Si le même secret a été réutilisé, remplacez-le sur les autres comptes en commençant par la messagerie. Utilisez le gestionnaire de mots de passe pour créer des secrets uniques.

4. Conservez les faits sans propager le contenu dangereux

Notez qui a reçu le message, quand, sur quel canal et quelles actions ont été faites. Conservez l’e-mail original avec ses en-têtes si votre outil le permet, l’adresse du site sous forme non cliquable, le numéro, les captures, le nom du fichier, les alertes et les transactions concernées. Ne modifiez pas le fichier suspect et ne le transmettez pas à toute l’équipe.

Les en-têtes techniques peuvent aider le fournisseur ou l’enquêteur à retracer le routage et l’authentification du message. Utilisez la fonction d’export de la messagerie ou demandez à l’administrateur ; une capture seule ne contient pas tout. Stockez ces éléments dans un dossier d’incident à accès restreint et attribuez une référence. N’envoyez pas les secrets saisis dans le compte rendu.

Préserver ne signifie pas enquêter soi-même. N’ouvrez pas la pièce jointe sur un autre ordinateur et ne contactez pas l’attaquant. Une petite structure gagne à disposer d’un contact d’assistance identifié avant l’incident. Le prestataire pourra dire s’il faut maintenir l’appareil allumé, collecter des journaux ou déclencher une analyse plus large.

Le compte rendu doit distinguer les faits des hypothèses : « lien ouvert à 10 h 12 » plutôt que « ordinateur infecté ». Cette discipline évite les conclusions excessives, facilite la décision et conserve une chronologie exploitable par la banque, l’assureur, la plateforme ou les autorités.

5. Sécurisez le compte depuis un appareil considéré comme sain

Depuis un appareil fiable et une adresse officielle saisie manuellement, changez le mot de passe compromis. Choisissez un secret unique. Révoquez toutes les sessions, appareils et jetons inconnus ; supprimer seulement le mot de passe ne ferme pas toujours une session déjà ouverte. Vérifiez les méthodes MFA, adresses de récupération, règles de transfert, délégations, filtres, applications autorisées et nouveaux comptes administrateurs.

La messagerie mérite un examen particulier. Un attaquant peut créer une règle qui archive les alertes bancaires ou redirige les factures, puis attendre plusieurs semaines. Contrôlez les messages envoyés et supprimés, les connexions récentes et les paramètres de transfert. Prévenez les contacts si des messages frauduleux ont pu partir du compte, avec un canal distinct et des consignes précises.

Activez ou réenregistrez une double authentification après avoir nettoyé les méthodes existantes. Ne validez aucune notification inattendue. Si un code MFA a été saisi sur le faux site, considérez qu’il a pu être utilisé immédiatement et examinez les sessions. Une MFA ne dispense pas de révoquer les accès persistants.

Déterminez enfin quelles données étaient accessibles et quelles actions sont possibles : lecture de messages, export clients, changement de coordonnées ou envoi de factures. Cette analyse oriente les notifications, la surveillance et la réaction. Si une compromission est probable, utilisez la procédure premiers réflexes après une cyberattaque plutôt qu’une simple réinitialisation.

6. Après une pièce jointe ouverte, isolez sans effacer les traces

Si un fichier inattendu a été ouvert, une macro activée, un programme lancé ou une extension installée, déconnectez l’appareil du Wi-Fi et du câble réseau pour limiter les communications. N’effacez pas le fichier et n’éteignez pas systématiquement l’ordinateur sans instruction : selon la situation, des éléments utiles peuvent se trouver en mémoire. Appelez le contact informatique ou sécurité prévu.

Depuis un autre appareil, protégez les comptes utilisés sur la machine, en priorité ceux dont le mot de passe a été saisi après l’ouverture. L’assistance doit rechercher les téléchargements, processus, persistances et connexions, puis décider d’une restauration ou reconstruction. Un antivirus qui n’affiche rien ne prouve pas l’absence de compromission.

Vérifiez les partages réseau et sauvegardes accessibles depuis le poste. Ne connectez pas immédiatement un disque de sauvegarde à une machine suspecte. Le plan de sauvegarde 3-2-1 doit permettre de restaurer une copie isolée et testée, sans écraser les preuves ni réintroduire le fichier malveillant.

Si l’analyse révèle un accès à des données personnelles, documentez la nature, les personnes, les conséquences et les mesures. Une violation de données suit une évaluation distincte ; elle ne se déduit pas automatiquement du mot « phishing », mais ne doit pas être oubliée parce que l’incident a commencé par un e-mail banal.

7. Signalez le message et engagez les démarches adaptées

Utilisez les mécanismes officiels correspondant au canal. Cybermalveillance.gouv.fr présente notamment Signal Spam pour un courriel indésirable ou d’hameçonnage, Phishing Initiative pour une adresse de site frauduleux et le 33700 pour un SMS ou appel indésirable. Suivez les consignes affichées par chaque service et évitez de cliquer à nouveau sur le lien pour le recopier.

Prévenez aussi le service ou l’organisation usurpée via son canal officiel ; il peut faire retirer la page et alerter ses clients. Dans l’entreprise, transmettez une version neutralisée de l’alerte avec l’objet, l’expéditeur apparent et la conduite à tenir. Ne retransférez pas le message actif ni la pièce jointe.

En cas de préjudice, conservez les éléments et consultez la fiche officielle Service-Public pour choisir la démarche : signalement, plainte en ligne lorsque le cas est éligible ou déplacement auprès de la police ou de la gendarmerie. Contactez sans délai la banque pour une carte, un virement ou des coordonnées financières exposés. Le numéro utilisé doit provenir de l’application, du site officiel ou du moyen de paiement, jamais du message reçu.

Informez l’assureur selon le contrat et les délais applicables, sans attendre pour prendre les mesures de limitation. Si des données personnelles sont touchées, l’entreprise doit aussi documenter et évaluer la violation. Le signalement d’une page de phishing ne remplace aucune de ces obligations.

8. Installez une routine qui favorise le signalement rapide

Créez une adresse ou un canal interne simple pour signaler, avec une personne de secours. Affichez une fiche en cinq lignes : ne pas interagir, vérifier ailleurs, alerter, préserver, suivre la consigne selon l’action. Ajoutez les coordonnées de la banque, du prestataire informatique et de l’assureur dans un support accessible même si la messagerie ne l’est plus.

Faites des exercices courts sur des situations métier : faux fournisseur, avis de partage, message du dirigeant, QR code et appel du support. Demandez aux participants d’expliquer leur chemin de vérification, pas seulement de compter les fautes. Mesurez le délai de remontée et la qualité des informations plutôt que de chercher à piéger ou humilier.

Réduisez les occasions de fraude : comptes nominatifs, double validation des paiements, authentification forte, logiciels maintenus, boîtes collectives bien déléguées et coordonnées fournisseurs vérifiées. Une adresse e-mail professionnelle sur votre domaine facilite certaines protections, sans rendre automatiquement chaque message légitime.

Sources officielles et primaires : Cybermalveillance.gouv.fr — hameçonnage : identifier et réagir ; Cybermalveillance.gouv.fr — signaler un e-mail de phishing ; Cybermalveillance.gouv.fr — isoler sans éteindre et alerter le support ; ANSSI — dix règles d’or de la sécurité numérique ; Service-Public.fr — hameçonnage : recours et signalement. Consultées le 3 août 2026. Les démarches exactes dépendent du canal, de l’action réalisée et du préjudice.

En résumé

Face au phishing, la bonne réponse dépend de l’action déjà réalisée. Vérifiez par un chemin indépendant, conservez les faits et signalez tôt. Une saisie de secret exige changement, révocation des sessions et contrôle des paramètres ; un fichier exécuté exige isolement et assistance ; un paiement impose un contact bancaire immédiat. Une procédure bienveillante réduit surtout le délai entre l’erreur et l’alerte.