Protéger son entreprise contre le hameçonnage

On va être cash : une grande partie des fraudes en entreprise commence par un simple mail. Un faux message d’un “fournisseur”, une urgence de virement soi-disant envoyée par le directeur, un collaborateur pressé qui clique sur un lien douteux… et tout un système se grippe. Comptes bancaires bloqués, clients injoignables, serveurs verrouillés. Vous l’avez déjà senti ce petit doute en ouvrant un courriel : “c’est legit, ça… ou pas ?”.

Les acteurs sérieux de la cybersécurité comme l’ANSSI ou Cybermalveillance alertent depuis des années : le hameçonnage, ou phishing, est l’une des menaces les plus fréquentes pour les entreprises, quelle que soit leur taille. Et les PME et ETI sont loin d’être épargnées.

La bonne nouvelle, c’est qu’on peut protéger son entreprise sans être ingénieur réseau, avec des mesures techniques, organisationnelles et humaines accessibles à un dirigeant, un DAF ou un responsable RH. C’est exactement l’objectif de ce guide : du concret, du pratico-pratique, pensé pour des organisations qui n’ont pas un énorme service IT.

Comprendre le hameçonnage en entreprise : au-delà du simple “mail frauduleux”

Le phishing, ce n’est pas juste “un mail bizarre”. C’est tout un arsenal d’attaques qui cherchent à vous soutirer des informations sensibles, à détourner des paiements ou à installer des logiciels malveillants chez vous.

Concrètement, en entreprise, on voit souvent :

• La facture falsifiée : un fournisseur que vous connaissez, même logo, même ton, mais l’IBAN a changé. Le virement part, l’argent ne revient jamais.
• Le faux message du “directeur” : un mail pressant, envoyé au comptable ou au DAF, qui exige un virement immédiat pour finaliser une acquisition “confidentielle”.
• La fausse connexion Microsoft 365 : une page qui ressemble exactement à votre interface habituelle, où un salarié saisit son mot de passe… directement dans les mains des attaquants.

Le hameçonnage ne passe pas qu’avec les emails. On trouve aussi :

• Le phishing classique par courriel malveillant.
• Le spear phishing, ultra ciblé sur un dirigeant ou une direction financière.
• Le smishing par SMS : liens vers des sites frauduleux qui imitent la banque ou l’URSSAF.
• Le vishing par téléphone : un “technicien” qui vous appelle pour “sécuriser” votre compte.
• Et les approches via réseaux sociaux et messageries instantanées pour faire parler vos équipes.

Ce n’est pas du cinéma : des études parlent de coûts moyens d’incidents qui dépassent facilement les dizaines de milliers d’euros, sans compter l’impact sur la réputation. On ne parle pas seulement “d’IT”, on parle de trésorerie, de continuité d’activité, d’images auprès des clients. Quand un faux mail débloque un vrai virement, ce n’est pas un problème technique, c’est un problème business.

Cartographier ses risques : où votre entreprise est-elle la plus vulnérable ?

Avant de foncer sur les outils, il y a une étape que trop d’entreprises zappent : faire le tour des portes d’entrée. C’est là qu’on commence à vraiment protéger son entreprise.

On peut regarder, presque comme une checklist maison :

• La messagerie (Microsoft 365, Google Workspace, serveurs internes).
• Les outils cloud : ERP, CRM, solutions de facturation, portail RH.
• Les portails fournisseurs et les accès bancaires.
• Les accès à distance (VPN, outils de télétravail).

Les profils les plus ciblés ? Sans surprise, la comptabilité, la finance, la direction générale, les RH et le support client. Ce sont eux qui gèrent les virements, les données personnelles et les informations clients.

Exemple très concret :

• PME industrielle : l’attaque typique cible les bons de commandes, les changements de coordonnées bancaires, les accès au portail d’un grand donneur d’ordre.
• Cabinet de conseil : les assauts se concentrent sur les accès aux fichiers clients, les boîtes mail des partenaires, les outils collaboratifs en ligne.
• Site e-commerce : le point de vulnérabilité, ce sont les accès à l’interface de paiement, au back-office et aux bases clients.

Il est recommandé qu’on désigne un référent cybersécurité, même si ce n’est pas son métier principal. Son rôle : cartographier les risques, lister les scénarios d’attaque crédibles et organiser la sensibilisation. Pas besoin d’un rapport de 80 pages, mais quelques scénarios réalistes affichés noir sur blanc changent beaucoup la façon dont une équipe réagit face à un mail suspect.

Mettre la messagerie sous haute surveillance : filtrage, authentification et sécurisation

Le résultat d’une bonne protection des emails, c’est simple : beaucoup de courriels malveillants n’atteignent jamais la boîte de vos employés. On réduit la surface de tir avant même de parler formation.

Côté technique, il y a plusieurs briques :

• Filtrage anti-spam et anti-phishing pour bloquer les mails malveillants connus ou suspects.
• Analyse des pièces jointes en sandbox : les fichiers douteux sont testés dans un environnement isolé avant d’être livrés.
• Blocage des domaines identifiés comme malveillants via des listes de réputation.

On arrive vite sur des sigles qui font peur, mais qui sont en réalité assez simples à comprendre :

• SPF indique quels serveurs sont autorisés à envoyer des emails pour votre domaine.
• DKIM ajoute une signature numérique aux messages pour vérifier qu’ils n’ont pas été modifiés.
• DMARC définit ce qu’un serveur doit faire des mails qui ne respectent pas les règles SPF/DKIM (les bloquer, les marquer, etc.).

Avec ces trois protocoles de sécurité des e-mails, vous réduisez fortement l’usurpation d’identité de votre domaine. Oui, c’est technique. Mais la plupart du temps, votre prestataire IT ou votre intégrateur sait les activer, suivre les rapports et ajuster les politiques sans que vous ayez besoin de mettre les mains dans le DNS.

Ne négligez pas non plus la protection des comptes Microsoft 365 ou de votre serveur de messagerie : durcissement des accès, surveillance des connexions suspectes, mises à jour régulières des clients mail et des antivirus. Un seul compte compromis peut ouvrir la porte à l’ensemble de votre organisation.

Authentification forte et gestion des mots de passe : le duo qui évite la catastrophe

Si je devais choisir une mesure qui change vraiment la donne contre les attaques d’hameçonnage, ce serait l’authentification multi-facteurs. L’authentification multi-facteurs (MFA), c’est le fait de demander plusieurs preuves d’identité pour accéder à un compte : par exemple un mot de passe + un code sur mobile.

On trouve plusieurs variantes :

• MFA via SMS : pratique, mais plus exposé à certaines attaques (SIM swap, interception).
• Applications d’authentification (Microsoft Authenticator, Google Authenticator, etc.) qui génèrent des codes temporaires.
• Clés de sécurité physiques (type FIDO2) que l’on branche sur l’ordinateur ou qu’on approche du téléphone.

Sur les comptes critiques (messagerie, ERP, CRM, accès bancaires, portails RH), ne pas mettre de MFA, c’est comme laisser une clé sous le paillasson. Un mot de passe volé dans une fuite, ou saisi sur un site frauduleux, et l’attaquant entre chez vous sans effort.

Le deuxième pilier, c’est la gestion des mots de passe. On ne va pas se mentir : tout le monde connaît quelqu’un qui met le même mot de passe partout, parfois depuis 5 ans. Un gestionnaire de mots de passe stocke et génère des mots de passe uniques et robustes, et évite de retaper ses identifiants sur des pages douteuses.

Anecdote typique : un salarié utilise le même mot de passe pour sa boîte mail et pour un petit forum. Le forum se fait pirater, la base de données fuit sur le dark web, les attaquants testent l’identifiant sur Microsoft 365, et soudain, tout le tenant est accessible. Avec un gestionnaire et la MFA, ce scénario s’écroule presque entièrement.

Si vous avez des résistances internes à la MFA, adoptez un ton “coaching” : expliquer que c’est 10 secondes de plus pour éviter des semaines de crise. La balance bénéfice/effort est clairement à votre avantage.

Sensibiliser efficacement ses équipes : passer du “mail d’information” à de vrais réflexes

Un mail d’alerte envoyé une fois par an, ça ne change pas grand-chose. La sensibilisation des employés fonctionne seulement quand elle devient régulière, concrète et un peu incarnée.

Les organismes comme Cybermalveillance ou l’ANSSI insistent sur plusieurs points :

• Des sessions de formation à la cybersécurité, courtes mais fréquentes, intégrées aux réunions d’équipe ou aux parcours d’onboarding.
• Des formats variés : ateliers, e-learning, vidéos courtes, affiches près de la machine à café, mini-quizz.
• Des scénarios orientés métier : emails suspects adaptés au quotidien d’un comptable, d’un commercial, d’un RH.

Les tests d’hameçonnage simulés sont aussi très efficaces. Le principe : envoyer de faux mails de phishing aux équipes, mesurer les clics, puis accompagner. L’objectif n’est pas de punir, mais de créer des réflexes. Vous pouvez même suivre des KPI de sécurité comme le taux de clic sur ces fausses campagnes, le nombre de mails douteux signalés ou le temps de réaction.

On observe des entreprises où un “utilisateur qui clique sur tout” est passé, en quelques mois, au rôle de champion sécurité d’équipe, juste parce qu’on l’avait formé, rassuré, et impliqué. Les sanctions des comportements à risque doivent rester l’exception. Le standard, c’est une culture où on a le droit de se tromper, mais où on apprend vite de ses erreurs.

Mettre en place des procédures claires pour gérer les mails suspects et les incidents

Vous voulez que vos équipes réagissent bien face à un courriel douteux ? Il faut un mode d’emploi simple, connu de tous, qu’on peut appliquer même un lundi matin à 8h avec un café dans la main.

Pour les emails suspects, les réflexes à installer sont :

• Ne pas cliquer immédiatement, surtout si le mail parle d’urgence, de mot de passe ou d’argent.
• Regarder l’adresse de l’expéditeur, pas seulement le nom affiché.
• Survoler les liens pour vérifier où ils pointent réellement.
• Accéder aux services sensibles (banque, Microsoft 365, outils RH) en tapant soi-même l’URL dans le navigateur.
• Signaler le mail via un canal dédié : boîte mail “sécurité”, bouton dans la messagerie, contact référent.

Et quand quelqu’un clique malgré tout, la procédure de gestion des incidents doit être immédiate et claire :

• Isoler le poste si nécessaire (déconnexion réseau, appel au service IT ou au prestataire).
• Changer les mots de passe des comptes concernés, activer la MFA si ce n’est pas déjà le cas.
• Lancer un scan antivirus/EDR, vérifier les journaux de connexion.
• Informer les services financiers si le mail touchait aux paiements.
• Préparer une communication de crise minimale en cas d’impact client.

Pour une PME avec peu de ressources IT, un document de 1 page avec ces étapes, affiché et partagé à tous, fait déjà une énorme différence. L’objectif, c’est qu’aucun salarié ne se retrouve seul, sans savoir quoi faire après un clic malheureux.

Renforcer l’infrastructure : mises à jour, protection des postes et des mobiles

Les attaques d’hameçonnage se terminent souvent par l’exploitation d’une faille technique : un poste non mis à jour, un antivirus obsolète, un smartphone laissé en roue libre. Du coup, la mise à jour logicielle et la protection des postes ne sont pas des détails.

Les actions à valider avec votre prestataire ou votre équipe IT :

• Systèmes d’exploitation, outils réseau et applications métiers à jour.
• Antivirus et solutions de détection des menaces avancées actifs partout.
• Filtrage DNS et proxy web pour bloquer l’accès aux sites frauduleux.
• Journalisation et surveillance des logs de messagerie et des connexions.

Les appareils mobiles sont souvent oubliés, alors qu’ils servent à valider des MFA, lire des mails professionnels et accéder à des outils cloud. Une gestion des appareils (MDM), quelques règles simples (verrouillage, chiffrement, interdiction de certaines apps) et une sensibilisation aux liens reçus par SMS ou messagerie instantanée s’imposent. Un smartphone compromis, c’est parfois l’accès direct aux comptes les plus sensibles.

Impliquer la direction et les fonctions sensibles : finance, RH, achats, direction générale

Si vous pensez que la cybersécurité est “l’affaire du responsable IT”, on va être direct : vos attaquants ne sont pas d’accord. Eux visent d’abord ceux qui peuvent valider des paiements, accéder aux données personnelles ou peser sur les contrats.

Les profils à intégrer en priorité dans la stratégie anti-phishing :

• Directeur financier et comptables, pour les virements et la trésorerie.
• DRH et équipes RH, pour les dossiers salariés et les données sensibles.
• Direction générale, pour la fraude au président et les décisions stratégiques.
• Responsables achats, pour les changements de coordonnées bancaires fournisseurs.

Avec eux, on travaille des scénarios très concrets : validation renforcée des virements, double vérification par téléphone pour tout changement d’IBAN, refus des urgences “hors procédure” envoyées par mail. La responsabilisation des employés commence par l’exemplarité de la direction : si elle active la MFA, suit les formations et signale elle-même les mails suspects, tout le monde prend le sujet au sérieux.

Travailler avec des partenaires externes : prestataires, hébergeurs, banques, cyberassureurs

Protéger son entreprise contre le phishing, ce n’est pas juste regarder en interne. Vos partenaires jouent un rôle énorme, parfois sans que vous le voyiez.

Avec votre prestataire IT ou intégrateur, posez des questions très directes :

• Quels filtres anti-phishing sont en place sur la messagerie ?
• Comment sont gérées les mises à jour et la surveillance des réseaux ?
• Quelles options d’authentification forte sont disponibles sur vos outils ?
• Quelles sont les procédures de gestion des incidents de sécurité en cas d’attaque ?

Votre banque aussi est un partenaire clé (oui, vraiment) : validation renforcée des virements, alertes sur les opérations inhabituelles, conseils de sécurité pour les comptes professionnels. Certaines cyberassurances exigent d’ailleurs un minimum de mesures anti-phishing (MFA, filtrage, sensibilisation à la sécurité) avant de couvrir un sinistre lié à la cybercriminalité.

Mieux vaut en faire un sujet explicite au prochain rendez-vous : “Comment protège-t-on nos échanges contre les emails frauduleux ?”.

Construire un plan d’action anti-hameçonnage réaliste pour les 12 prochains mois

On pourrait tout faire d’un coup, mais vous avez sans doute une autre activité que “securiser des mails” à temps plein. Mieux vaut un plan simple, réaliste, étalé sur 12 mois, qu’un projet parfait jamais lancé.

Un fil directeur possible :

• Démarrer par un diagnostic rapide : points d’entrée, profils exposés, incidents passés.
• Prioriser les actions à fort impact immédiat : MFA sur les comptes critiques, filtrage email, procédure “que faire en cas de mail suspect”, lancement d’une première vague de sensibilisation des employés.
• Planifier les autres mesures sur l’année : durcissement des accès administratifs, audits de cybersécurité ciblés, surveillance des réseaux, simulations de phishing.
• Mettre en place quelques KPI de sécurité simples : taux de clic sur les tests d’hameçonnage simulés, nombre de mails suspects signalés, temps de réaction en cas d’incident.

Le dark web continuera à fournir des kits de phishing prêts à l’emploi et des bases d’identifiants volés. Les attaques ciblées type spear phishing et fraude au président vont rester très rentables pour les attaquants. La vraie question, pour vous, c’est : à quel point votre entreprise sera une cible facile ?

Une organisation qui progresse, même avec peu de moyens, devient nettement moins attractive. Si vous sortez de cet article avec une MFA activée, une procédure de réaction simple et une première session de sensibilisation planifiée, vous avez déjà fait un vrai pas pour protéger votre entreprise du phishing.

Questions fréquentes

Par où commencer quand on n'a pas de service informatique ?

L'article conseille de démarrer par un diagnostic rapide : points d'entrée, profils exposés, incidents passés. Viennent ensuite les actions à fort impact immédiat, à savoir la MFA sur les comptes critiques, le filtrage des emails, une procédure « que faire en cas de mail suspect » et une première vague de sensibilisation. Le reste se planifie sur l'année.

SPF, DKIM et DMARC : faut-il mettre les mains dans le DNS soi-même ?

Pas nécessairement. Ces trois protocoles réduisent fortement l'usurpation d'identité de votre domaine, et la plupart du temps votre prestataire IT ou votre intégrateur sait les activer, suivre les rapports et ajuster les politiques. L'important est d'en faire une demande explicite auprès de lui.

Quels réflexes donner aux équipes face à un mail douteux ?

Ne pas cliquer immédiatement, surtout si le message parle d'urgence, de mot de passe ou d'argent. Regarder l'adresse réelle de l'expéditeur et pas seulement le nom affiché, survoler les liens pour voir où ils pointent, et accéder aux services sensibles en tapant soi-même l'URL dans le navigateur. Enfin, signaler le message via un canal dédié : boîte mail sécurité, bouton dans la messagerie ou contact référent.