Vous recevez un message de « votre banque » qui vous demande de confirmer vos coordonnées de toute urgence. Ou une facture d’un fournisseur avec un nouvel IBAN. Ou un avertissement indiquant que votre boîte mail est pleine et sera bloquée aujourd’hui même. Cela semble vrai, mais il peut s’agir de phishing (hameçonnage) : un faux e-mail conçu pour voler des mots de passe, des coordonnées bancaires ou de l’argent.
Dans une petite entreprise, un seul clic distrait peut suffire à causer un préjudice sérieux. La bonne nouvelle, c’est que la plupart de ces e-mails présentent des signes que l’on repère en quelques secondes, à condition de savoir où regarder.
1. L’expéditeur et les destinataires ne collent pas
Ne vous fiez pas seulement au nom affiché : regardez l’adresse complète. Un e-mail du « Crédit Agricole » envoyé depuis credit-agricol-support@gmail.com, ou de « La Poste » envoyé depuis laposte-livraisons.info, est un faux. Méfiez-vous aussi des domaines presque identiques au vrai, avec une lettre changée ou en trop, comme aiod0.pt au lieu de aiodo.pt. Et rappelez-vous que de nombreux organismes n’envoient même pas ce type de message par e-mail : en cas de doute, vérifiez sur leur site officiel quelles adresses ils utilisent.
Regardez aussi où part la réponse. Quand vous cliquez sur « Répondre », l’adresse qui apparaît dans le champ « À » doit être la même que celle de l’expéditeur. Si l’e-mail prétend venir de votre fournisseur mais que la réponse part vers une autre adresse (le fameux reply-to), c’est un signe classique de fraude, surtout pour les demandes de paiement.
Enfin, observez à qui il a été envoyé. Un avertissement concernant « votre compte » ou « votre facture » ne devrait concerner que vous. S’il est adressé à des dizaines de destinataires visibles, ou avec « Undisclosed recipients » (destinataires non divulgués) dans le champ « À », il a été envoyé en masse et ce n’est pas un message personnel.
Astuce : sur smartphone, touchez le nom de l’expéditeur pour afficher sa véritable adresse.
Astuce avancée : certains logiciels de messagerie affichent, dans les détails du message, un champ « List-ID ». Il indique que l’e-mail a été envoyé à une liste de diffusion, comme une newsletter. C’est normal pour une newsletter, mais si le message semble personnel, comme une facture ou un avertissement sur votre compte, méfiez-vous.
2. Il vous presse ou vous menace
« Votre compte sera suspendu sous 24 heures. » « Dernier avertissement. » « Paiement en retard, évitez la majoration. » L’urgence est l’arme préférée des auteurs de phishing, car quelqu’un de pressé ne vérifie pas. Une banque, l’administration fiscale ou un fournisseur sérieux ne vous obligent pas à tout régler dans les minutes qui suivent via un lien.
3. Les liens mènent ailleurs
Avant de cliquer, survolez le lien avec la souris (sur ordinateur) ou maintenez le doigt appuyé dessus (sur smartphone) pour voir l’adresse réelle. Si le texte indique impots.gouv.fr mais que le lien pointe vers une adresse étrange, ne cliquez pas. En cas de doute, tapez vous-même l’adresse du site dans le navigateur ou utilisez l’application officielle.
4. Il demande des données, des codes ou un paiement
Aucun organisme sérieux ne vous demandera par e-mail votre mot de passe, le code reçu par SMS ou les données complètes de votre carte bancaire.
Redoublez de vigilance face à un cas très fréquent dans les entreprises : l’e-mail d’un « fournisseur » ou d’un « client » qui annonce avoir changé d’IBAN. Avant de payer, vérifiez toujours par téléphone, à un numéro que vous aviez déjà, et jamais au numéro indiqué dans l’e-mail lui-même.
5. Il contient une pièce jointe inattendue
Factures, commandes, « documents scannés » ou fichiers compressés (.zip) que vous n’avez pas demandés sont un moyen classique d’installer des virus. Si vous n’attendiez pas cette pièce jointe, ne l’ouvrez pas : contactez d’abord la personne censée l’avoir envoyée et vérifiez.
Et les fautes d’orthographe ?
Pendant des années, c’était le signe le plus facile à repérer. Aujourd’hui, avec les traducteurs automatiques et l’intelligence artificielle, beaucoup de faux e-mails sont bien rédigés. Les fautes restent un signal d’alerte, mais un texte correct n’est plus une garantie de rien.
J’ai cliqué. Que faire ?
Cela arrive aux meilleurs. L’important est d’agir vite :
- Changez le mot de passe du compte concerné et de tous ceux où vous utilisez le même.
- Si vous avez communiqué des coordonnées bancaires, appelez immédiatement votre banque pour faire opposition sur la carte ou bloquer l’opération.
- Activez la double authentification sur votre messagerie et vos comptes les plus importants.
- Prévenez votre équipe et vos contacts, surtout si l’e-mail a été envoyé depuis votre compte.
- Signalez l’incident sur Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance, qui vous oriente aussi sur les démarches à suivre.
Comment protéger la messagerie de votre entreprise
- Utilisez des mots de passe différents pour chaque service et un gestionnaire de mots de passe. Pour créer des mots de passe robustes, vous pouvez utiliser notre générateur de mots de passe.
- Activez la double authentification chaque fois que c’est possible.
- Utilisez une adresse e-mail au nom de domaine de l’entreprise (nom@votreentreprise.fr) plutôt qu’un compte gratuit : elle inspire confiance et elle est plus facile à protéger.
- Assurez-vous que votre domaine dispose d’enregistrements SPF, DKIM et DMARC configurés : ils empêchent qu’on envoie de faux e-mails au nom de votre entreprise. Vous pouvez le vérifier en quelques secondes avec notre vérificateur d’e-mail du domaine.
- Maintenez votre ordinateur et votre smartphone à jour.
- Parlez-en à votre équipe. Cinq minutes de discussion évitent bien des problèmes.
Besoin d’aide ?
Chez aiodo, nous aidons les petites entreprises à disposer d’un site et d’un e-mail professionnel, avec leur propre nom de domaine et la bonne configuration. Vous avez un doute sur la sécurité de la messagerie de votre entreprise, ou vous avez reçu un message suspect et ne savez pas quoi faire ? Contactez-nous.
