Fiche réflexe : hameçonnage (phishing)

L'hameçonnage, ou phishing, consiste à se faire passer pour quelqu'un de confiance, une banque, un fournisseur, une administration, un collègue, pour vous faire cliquer, saisir un mot de passe ou payer. Il arrive par courriel, par SMS, par messagerie instantanée ou par téléphone. Tout le monde peut s'y laisser prendre. Ce qui compte, c'est de savoir quoi faire ensuite.

Reconnaître un message piégé

• L'urgence : « votre compte sera suspendu », « dernier rappel », « réponse avant midi ».
• L'expéditeur : une adresse qui ressemble à la vraie, à une lettre près, ou un nom affiché qui ne correspond pas à l'adresse.
• Le lien : survolé avec la souris, il mène vers un site qui n'a rien à voir.
• La demande : un mot de passe, un code reçu par SMS, des coordonnées bancaires, un changement de RIB.
• Le ton inhabituel : un dirigeant qui vous tutoie soudain et réclame un virement confidentiel.

Vous avez un doute, sans avoir cliqué

• Ne cliquez pas, n'ouvrez pas la pièce jointe, ne répondez pas.
• Vérifiez par un autre canal : appelez l'organisme ou la personne avec un numéro que vous connaissez déjà, pas celui du message.
• Signalez le message à votre référent informatique, puis supprimez-le.

Vous avez cliqué sur le lien

Pas de panique. Un clic seul ne suffit pas toujours à compromettre un poste, mais il faut vérifier. Si une page s'est ouverte, fermez-la sans rien saisir. Si un fichier s'est téléchargé, ne l'ouvrez pas. Prévenez votre référent ou votre prestataire, qui pourra lancer une analyse du poste. En cas de comportement étrange, débranchez le poste du réseau sans l'éteindre.

Vous avez saisi un mot de passe

1. Changez ce mot de passe tout de suite, depuis un appareil sain, et partout où vous l'utilisiez.
2. Activez la double authentification sur le compte, si ce n'est pas déjà fait.
3. Déconnectez les sessions ouvertes depuis les paramètres du compte.
4. Vérifiez la messagerie : règles de transfert automatique, réponses automatiques, adresse de récupération modifiée.
5. Prévenez votre référent : d'autres comptes ou collègues ont peut-être été visés.

Vous avez donné des coordonnées bancaires ou fait un virement

Contactez immédiatement votre banque, par son numéro habituel, pour faire opposition ou tenter de bloquer le virement. Conservez tous les messages échangés, puis déposez plainte. Plus la banque est prévenue tôt, plus les chances d'agir sont réelles.

Le cas particulier du faux RIB

Un fournisseur vous annonce un changement de coordonnées bancaires ? Un dirigeant réclame un virement urgent et discret ? Appelez-le sur un numéro déjà connu avant tout paiement. Une procédure écrite, « tout changement de RIB est confirmé par téléphone », protège mieux qu'une vigilance au cas par cas.

Signaler

• Les courriels frauduleux peuvent être signalés à la plateforme Signal Spam.
• Les SMS frauduleux se transfèrent gratuitement au 33700.
• Pour un préjudice ou une compromission, 17Cyber vous oriente, et la plainte se dépose auprès de la police ou de la gendarmerie.
• Si des données personnelles ont été exposées, le responsable du traitement évalue s'il doit notifier la CNIL dans les 72 heures (article 33 du RGPD).

Réduire le risque au quotidien

• La double authentification partout où elle est proposée : elle bloque bien des tentatives, même quand un mot de passe a fuité.
• Un gestionnaire de mots de passe, qui ne remplit pas les champs sur un faux site.
• Une règle de vérification pour les paiements et les changements de RIB.
• Des sessions de sensibilisation courtes et régulières, sans culpabiliser personne : celui qui signale vite rend service à tous.