Reconnaître et éviter le phishing (hameçonnage)

Reconnaître et éviter le phishing (hameçonnage)

Le phishing, ou hameçonnage, est l'attaque informatique la plus répandue contre les entreprises. Son principe est simple : tromper un collaborateur pour qu'il remette lui-même ses identifiants, effectue un virement frauduleux ou installe un logiciel malveillant. Reconnaître et éviter le phishing est une compétence que tous vos collaborateurs peuvent acquérir rapidement.

Comment fonctionne une attaque de phishing en pratique

Un email arrive dans la boîte de réception d'un comptable. Il semble venir du directeur général. Le message est court : « J'ai besoin d'un virement urgent de 2 millions FCFA vers ce compte. Je suis en réunion, je t'expliquerai plus tard. » L'adresse email de l'expéditeur ressemble à celle du DG, avec une seule lettre différente dans le nom de domaine. Le comptable, pressé, exécute le virement. Les fonds sont irrécupérables.

Ce scénario n'est pas hypothétique. Il s'est produit dans des PME à Abidjan, Dakar et Lomé. Le phishing prospère parce qu'il exploite la confiance, l'urgence et la distraction, pas les failles techniques. C'est ce qui le rend si difficile à contrer par des seuls outils automatiques.

Les signaux d'alerte dans un email suspect

Former ses équipes à repérer ces signaux est l'une des mesures les plus efficaces contre le phishing :

• L'adresse de l'expéditeur : vérifiez le domaine après le @. « support@orange-mobile-bf.com » n'est pas Orange Burkina Faso. Repérez les fautes d'orthographe dans le nom de domaine.
• L'urgence artificielle : « répondez dans les deux heures sinon votre compte sera bloqué ». Les vraies communications urgentes se confirment par téléphone.
• Les liens qui ne correspondent pas : survolez un lien sans cliquer. L'adresse affichée en bas de l'écran correspond-elle à ce que vous attendez ?
• Les pièces jointes non sollicitées : un fichier .exe, .zip ou même un PDF que vous n'attendiez pas mérite une vérification avant tout clic.
• Les formulations inhabituelles : un email de votre banque avec des fautes de grammaire ou un style inhabituel mérite une vérification directe.

Le spear phishing : des attaques ciblées et personnalisées

Le phishing de masse envoie le même message à des milliers de destinataires. Le spear phishing cible une personne précise, avec des informations personnalisées : le nom du dirigeant, le nom d'un fournisseur réel, une référence à un projet en cours.

Ces attaques ciblées sont plus difficiles à détecter. Les cybercriminels collectent des informations sur LinkedIn, les sites web d'entreprise, les réseaux sociaux et parfois des données issues de fuites précédentes. Plus votre entreprise est visible en ligne, plus elle peut être ciblée par ce type d'attaque.

La fraude au président

La fraude au président est une variante du spear phishing qui cible les responsables financiers. L'attaquant usurpe l'identité du dirigeant et demande un virement confidentiel et urgent. Les instructions sont souvent accompagnées de raisons plausibles : une acquisition en cours, une obligation légale, un partenaire qui attend. La règle absolue : aucun virement important ne se fait sur simple email, sans confirmation par un deuxième canal (téléphone direct, messagerie séparée).

En cas de doute sur l'authenticité d'une instruction reçue par email, la règle est simple : appelez l'expéditeur présumé sur un numéro que vous connaissez déjà, pas sur un numéro indiqué dans l'email suspect. Ce réflexe prend trente secondes et peut vous éviter des pertes considérables.

Former vos équipes à reconnaître le phishing : ce qui fonctionne

La sensibilisation théorique seule ne suffit pas. Les formations les plus efficaces combinent plusieurs approches :

• Des exemples concrets d'emails de phishing réels, commentés et analysés en groupe.
• Des simulations : envoyer de faux emails de phishing à vos propres équipes pour mesurer leur vigilance. C'est légal, pédagogique et révélateur.
• Des procédures claires : que faire quand on reçoit un email suspect ? À qui le signaler ? En combien de temps ?

Une session de quarante-cinq minutes, organisée deux fois par an, change les comportements. Renouvelez la sensibilisation après chaque incident ou tentative repérée.

Que faire face à un email suspect : la procédure à afficher

Voici la procédure à formaliser et à afficher dans vos locaux :

1. Ne pas cliquer sur aucun lien ni ouvrir aucune pièce jointe avant vérification.
2. Vérifier l'expéditeur en regardant l'adresse complète, pas seulement le nom affiché.
3. Contacter l'expéditeur par un canal différent (téléphone, message séparé) pour confirmer l'authenticité de la demande.
4. Signaler l'email à votre responsable informatique ou à votre prestataire technique.
5. Si vous avez déjà cliqué : déconnectez l'ordinateur du réseau et alertez immédiatement votre responsable.

La vraie protection contre le phishing, c'est une culture d'entreprise où poser une question avant d'agir est valorisé, pas perçu comme une perte de temps.

Les mesures techniques complémentaires

La sensibilisation humaine doit être renforcée par des outils techniques :

• Activer le filtrage anti-spam et l'analyse des pièces jointes sur votre messagerie professionnelle.
• Mettre en place le protocole DMARC sur votre nom de domaine pour limiter l'usurpation de votre adresse email par des tiers.
• Activer la double authentification sur tous les comptes email pour limiter les dégâts si des identifiants sont volés.

Le phishing ne se limite pas aux emails. Les SMS frauduleux (smishing) et les messages via WhatsApp, Telegram ou les réseaux sociaux constituent des vecteurs de plus en plus utilisés en Afrique de l'Ouest. Un message WhatsApp qui semble venir d'un fournisseur connu, avec un lien vers une fausse page de connexion : le scénario est identique au phishing classique, mais la vigilance des utilisateurs est souvent moindre sur ces canaux. Formez vos équipes à appliquer les mêmes réflexes de vérification sur tous les canaux de communication, pas uniquement par email.

Nos équipes peuvent auditer votre messagerie et configurer ces protections. Consultez nos services pour découvrir comment ICONEDOR accompagne les PME en Afrique de l'Ouest contre les menaces par email.