Il n'existe pas d'outil technique qui bloque la totalité des messages frauduleux. Le filtrage arrête l'essentiel du volume, mais les tentatives ciblées, rédigées correctement et adressées à la bonne personne, passent. C'est pourquoi le réflexe humain reste la dernière barrière, et pourquoi il faut l'entretenir sans transformer l'entreprise en centre de formation.
En résumé
- Le filtrage technique arrête le volume, pas les tentatives ciblées.
- Trois réflexes suffisent à couvrir la majorité des scénarios.
- La règle du rappel téléphonique sur tout changement bancaire est la mesure la plus rentable.
- Les tests d'hameçonnage doivent former, jamais servir à sanctionner.
- Signaler vite compte plus que ne jamais se tromper.
Les trois réflexes qui font la différence
Ralentir quand le message met la pression
L'urgence est le levier principal de ces messages : une facture à régler avant ce soir, un compte qui va être bloqué, un dirigeant injoignable qui demande un virement immédiat. La contre-mesure ne demande aucune compétence technique : quand un message crée un sentiment d'urgence, c'est précisément le moment de prendre trente secondes.
Vérifier l'adresse réelle de l'expéditeur
Le nom affiché ne prouve rien, il se choisit librement. L'adresse complète, elle, est révélatrice, avec ses lettres inversées et ses domaines approchants. Apprendre à ses équipes à afficher l'adresse complète prend deux minutes et se retient.
Ne jamais valider un changement bancaire par écrit seul
C'est la règle la plus rentable de toutes. Tout changement de coordonnées bancaires d'un fournisseur se confirme par un appel au numéro que vous aviez déjà, jamais à celui indiqué dans le message. Écrivez cette règle, affichez-la à la comptabilité, et vous aurez éliminé la fraude la plus coûteuse pour une PME.
| Signal dans le message | Ce qu'il doit déclencher |
|---|---|
| Urgence forte et inhabituelle | Ralentir, vérifier par un autre canal |
| Changement de coordonnées bancaires | Appel au numéro connu, sans exception |
| Pièce jointe inattendue d'un contact connu | Confirmer avant d'ouvrir |
| Lien vers une page qui demande vos identifiants | Ne pas cliquer, aller au service par ses propres favoris |
| Demande de confidentialité sur l'opération | Alerter immédiatement la direction |
Les campagnes de test : utiles, à condition de bien les mener
Envoyer un faux message d'hameçonnage à ses équipes pour mesurer le taux de clic est une pratique répandue. Elle est efficace, mais elle se retourne contre vous si elle sert à désigner des coupables. Le collaborateur qui a cliqué et qui s'est fait réprimander ne signalera plus jamais rien, et c'est exactement l'inverse du résultat recherché.
Annoncez le principe à l'avance, communiquez les résultats de façon anonyme et collective, et félicitez ceux qui signalent. L'objectif n'est pas d'atteindre zéro clic, c'est d'obtenir un signalement rapide quand le clic arrive.
La règle du signalement immédiat
Entre le moment où quelqu'un saisit ses identifiants sur une fausse page et le moment où l'attaquant les utilise, il s'écoule parfois plusieurs heures. Un signalement dans les minutes qui suivent permet de changer le mot de passe et de couper la session avant que quoi que ce soit ne se produise. C'est pourquoi la culture du signalement sans reproche vaut plus que n'importe quelle formation.
Le site cybermalveillance.gouv.fr propose des kits de sensibilisation gratuits, en français et conçus pour être diffusés tels quels en entreprise.
Ce qu'un prestataire peut prendre en charge
La partie technique, filtrage et double authentification, relève du prestataire. La partie humaine relève de la direction, parce qu'une règle sur les virements n'a de poids que si elle vient d'elle. Un bon partenaire vous le dira franchement plutôt que de vous vendre une plateforme de formation.
Nos autres guides cybersécurité traitent des mesures techniques, et notre annuaire par ville vous aide à trouver un interlocuteur près de chez vous.
