Le phishing (ou hameçonnage) reste, de très loin, la première porte d'entrée des attaques que nous traitons sur le bassin nazairien : un email qui imite votre banque, Microsoft, un fournisseur ou même un collègue, pour vous faire cliquer, saisir un mot de passe ou valider un virement. La bonne nouvelle, c'est qu'un email piégé laisse presque toujours les mêmes traces. Apprenez à lire ces 6 signaux — la vidéo ci-dessus les montre sur un faux email, on les détaille ici.
1. L'expéditeur : regardez le domaine, pas le nom
Le nom affiché (« Service Sécurité », « Microsoft ») se falsifie en une seconde. Ce qui compte, c'est le domaine, après le @. Les attaquants jouent sur des détails : un 1 à la place du l (paypa1.co), un mot ajouté (microsoft-secure-verif.com), une extension exotique (.co, .info, .ru). Une vraie banque ne vous écrit jamais depuis @gmail.com. En cas de doute, comparez caractère par caractère avec un email légitime reçu auparavant.
2. L'urgence et la peur : on veut vous couper la réflexion
« Votre compte sera suspendu sous 24 h », « paiement refusé », « colis bloqué », « action immédiate requise ». L'urgence est l'arme n°1 du phishing : elle vous pousse à agir avant de réfléchir. Un organisme sérieux vous laisse le temps et ne menace pas. Dès qu'un email essaie de vous faire paniquer, ralentissez — c'est précisément le moment de se méfier.
3. Le lien : survolez sans cliquer
Avant de cliquer, passez la souris sur le lien (sur mobile, appui long) : l'adresse réelle s'affiche en bas du navigateur ou dans une bulle. Si le texte dit « espaceclient.mabanque.fr » mais que l'URL réelle est http://paypa1-secure-verif.co/login.php, c'est un piège. Méfiez-vous aussi de l'absence de HTTPS et des liens raccourcis (bit.ly…) qui masquent la destination. Dans le doute, n'utilisez jamais le lien : tapez vous-même l'adresse du site dans le navigateur.
4. Le ton et la forme : un vrai partenaire vous connaît
« Cher client », « Madame, Monsieur », une formule générique sans votre nom ni votre numéro de dossier : signal classique. Les fautes d'orthographe, une traduction maladroite, un logo pixelisé, une mise en page bancale complètent le tableau. Attention toutefois : les attaques générées par IA sont désormais très propres — l'absence de fautes ne prouve rien, mais leur présence doit vous alerter immédiatement.
5. La pièce jointe inattendue : on n'ouvre pas
Une « facture », un « bon de commande » ou un « relevé » que vous n'attendiez pas, surtout en .zip, .html, .iso ou avec des macros (.docm, .xlsm) : on n'ouvre pas. Ces formats servent à faire exécuter un programme sur votre poste (vol de données, rançongiciel). En cas de doute sur une facture fournisseur, appelez le fournisseur sur son numéro habituel — pas celui indiqué dans l'email.
6. La demande sensible : jamais par email
Mot de passe, code de double authentification, numéro de carte, RIB, ou virement « urgent et confidentiel » demandé par le dirigeant (la fameuse fraude au président) : aucune organisation légitime ne réclame ça par email. Pour tout mouvement d'argent ou changement de coordonnées bancaires, imposez une règle simple dans l'entreprise : validation par un second canal (un appel téléphonique sur un numéro connu), sans exception.
Un email vous paraît suspect ? Ne cliquez pas, ne répondez pas : transférez-le à votre référent informatique et supprimez-le. Astorya met en place le filtrage anti-phishing, le MFA et la sensibilisation de vos équipes lors de son audit cybersécurité gratuit d'1 h sur site. Appelez le 02 40 00 80 00 ou demandez à être rappelé.
Le bon réflexe en 3 temps
- On ne clique pas — ni sur le lien, ni sur la pièce jointe, ni sur « se désabonner ».
- On vérifie par un autre canal — on appelle l'expéditeur supposé sur son numéro habituel, on se connecte au site en tapant l'adresse soi-même.
- On signale — à son référent IT en interne, et sur signal-spam.fr ou cybermalveillance.gouv.fr.
Se protéger durablement
Repérer les emails est indispensable, mais l'humain n'a pas à être la seule ligne de défense. Trois mesures réduisent drastiquement le risque : un filtrage anti-spam / anti-phishing sérieux en amont de la boîte, la double authentification (MFA) partout — pour qu'un mot de passe volé ne suffise pas (voir mots de passe en entreprise) — et une sensibilisation régulière des équipes. C'est inclus dans notre offre cybersécurité, avec la supervision infogérance pour que la protection tienne dans le temps. Pour les sous-traitants industriels, c'est aussi une attente directe des donneurs d'ordres (voir NIS2).