Comment reconnaître un email de phishing (et former ses équipes)

Le phishing (ou « hameçonnage ») est la technique d'attaque la plus répandue, parce que c'est la plus simple : plutôt que de forcer une porte blindée, l'attaquant demande gentiment la clé. Un faux email imite une banque, un fournisseur, un collègue ou un service public, et vous pousse à cliquer, à payer ou à donner vos identifiants. Savoir le repérer est une compétence essentielle pour toute l'équipe.

Les signaux d'alerte à connaître

• L'urgence et la menace : « votre compte sera suspendu sous 24h », « action immédiate requise ». La pression est faite pour vous empêcher de réfléchir.
• L'adresse d'expéditeur bizarre : survolez le nom pour voir l'adresse réelle. Une banque n'écrit pas depuis « service-client@secure-verif-123.net ».
• Les liens trompeurs : survolez le lien (sans cliquer) pour voir où il mène vraiment. Le texte peut dire « monbanque.fr » et pointer ailleurs.
• Les fautes et formulations maladroites, même si les attaques deviennent de plus en plus soignées.
• Une demande inhabituelle : un virement urgent, un changement de RIB, l'envoi de données sensibles.
• Une pièce jointe inattendue : facture, « document à signer », au format inhabituel.

L'arnaque au président et au faux fournisseur

Deux variantes ciblent particulièrement les entreprises. L'« arnaque au président » : un email imitant le dirigeant demande à un comptable un virement urgent et confidentiel. Le « faux changement de RIB » : un email se faisant passer pour un fournisseur habituel annonce un nouveau numéro de compte — les factures suivantes partent alors chez l'escroc. La règle d'or : toute demande de virement ou de changement de coordonnées bancaires se vérifie par un autre canal (un appel au numéro connu, jamais celui indiqué dans l'email).

Dans le doute, on ne clique pas, on ne paye pas, on ne répond pas : on vérifie. Un appel de trente secondes a déjà évité bien des catastrophes.

Former ses équipes : les bons réflexes

La technologie filtre une partie des emails malveillants, mais l'humain reste le dernier rempart. Quelques principes à ancrer dans l'entreprise :

1. Créer une culture du signalement sans reproche. Un salarié qui a cliqué par erreur doit pouvoir le dire immédiatement, sans crainte, pour qu'on réagisse vite.
2. Désigner un point de contact à qui transférer tout email suspect.
3. Vérifier systématiquement les demandes financières par un second canal.
4. Ne jamais saisir ses identifiants depuis un lien reçu par email : on se connecte toujours en tapant soi-même l'adresse du site.
5. Organiser des rappels réguliers, voire des tests de phishing simulés, pour maintenir la vigilance.

La sensibilisation, un investissement rentable

Former une équipe à reconnaître le phishing coûte peu et évite des incidents qui peuvent se chiffrer en milliers d'euros et en jours d'arrêt. Chez DHB, la sensibilisation fait partie intégrante de notre approche de la cybersécurité : des équipes vigilantes valent tous les pare-feu du monde.