Des identifiants copiés
La page de connexion imitée enregistre le mot de passe saisi. L'attaquant se connecte à la messagerie, lit les échanges et écrit aux contacts au nom de la victime.
Cybersécurité
Campagne de sensibilisation contre le hameçonnage
Le hameçonnage (ou « phishing ») est un moyen courant pour un attaquant d'entrer dans une organisation : un courriel crédible, un lien, qui jouent sur quelques secondes d'inattention pour voler des informations. Cette sensibilisation vous donne les repères pour reconnaître ces courriels avant de cliquer, et vous permet d'acquérir les bons réflexes pour rester en sécurité.
Bonjour , la sensibilisation est ouverte. Comptez une dizaine de minutes. Ce n'est pas vous ?
Étape 1
Ce qu'un courriel piégé peut provoquer
Un clic n'est presque jamais anodin pour un attaquant. Selon le scénario, trois choses se jouent en quelques secondes.
Un programme installé
La pièce jointe ou le lien dépose un logiciel discret. Il peut chiffrer les fichiers de l'entreprise, ou rester silencieux plusieurs semaines pour préparer une attaque plus large.
Une fraude amorcée
Avec ce qu'il a appris de la boîte compromise, l'attaquant fabrique une demande crédible : changement de coordonnées bancaires d'un fournisseur, virement urgent demandé par la direction.
Étape 2
Décortiquons un courriel piégé
Voici un message du type de ceux qui circulent chaque jour dans les boîtes professionnelles. Sept indices permettent de le démasquer. Cliquez sur chaque pastille dans le courriel, ou sur chaque indice de la liste : tous doivent avoir été consultés pour valider la sensibilisation.
De
Direction Financière <direction.financiere@notification-entreprise-fr.com>
À
destinataires non affichés
Objet
URGENT : régularisation de votre note de frais avant 17h
Cher collaborateur,
Suite à la migration de notre outil de gestion, votre dernière note de frais n'a pas pu être validée. Sans action de votre part avant 17h aujourd'hui, le remboursement sera annulé et le dossier clôturé.
Merci de vous connecter avec vos identifiants habituels pour confirmer vos informations :
Régulariser maintenant https://portail-entreprise.fr/notes-de-frais Destination réelle au survol : http://portail-entreprise.fr.verif-compte-37.net/login
Vous trouverez en pièce jointe le récapitulatif à vérifier.
Recapitulatif_frais_0925.zip
Direction Financière
Ce message est généré automatiquement, merci de ne pas y répondre.
-
Le nom « Direction Financière » est libre : n'importe qui peut l'écrire. Seule l'adresse complète compte, et ici le domaine après le @ n'est pas celui de l'entreprise. Un domaine proche, allongé ou avec un tiret en trop est un classique.
-
Majuscules, échéance à l'heure près, conséquence financière : tout est fait pour que vous agissiez avant de réfléchir. Une direction financière ne traite pas une note de frais de cette manière.
-
« Cher collaborateur » signale un envoi de masse. Les attaques ciblées utilisent en revanche votre prénom et parfois votre fonction : l'absence de ce signal ne prouve rien.
-
Aucune procédure connue, aucun interlocuteur nommé, et une sanction en cas d'inaction. La pression émotionnelle est le moteur de l'hameçonnage.
-
Le texte affiche une adresse rassurante, la destination réelle est un autre domaine. Sur ordinateur, survolez le lien sans cliquer et lisez l'adresse en bas du navigateur. Sur mobile, un appui long l'affiche. En cas de doute, saisissez vous-même l'adresse du service.
-
Une archive, un document activant des macros ou un fichier exécutable déguisé sont les vecteurs habituels des logiciels malveillants. Un récapitulatif de frais ne se transmet pas sous cette forme.
-
« Ne pas répondre », aucun nom, aucun numéro : le message coupe toute possibilité de contrôle. Le bon réflexe consiste justement à vérifier par un autre canal, en appelant le service concerné à un numéro déjà connu.
1 indice sur 7 consulté
Un détail à retenir. L'orthographe n'est plus un indice fiable : les messages frauduleux sont aujourd'hui rédigés sans faute, souvent avec l'aide de l'intelligence artificielle. Le bouton « Signaler » de votre messagerie, lui, reste votre meilleur allié.
Étape 3
Quels sont les bons réflexes pour vous protéger ?
Deux moments comptent : celui du doute, avant de cliquer, et celui qui suit un clic malheureux. Dans les deux cas, la rapidité de votre réaction change tout.
Avant de cliquer, en cas de doute
- Lisez l'adresse complète de l'expéditeur, pas seulement le nom affiché.
- Survolez le lien et comparez la destination réelle avec ce que le message annonce.
- Demandez-vous si la demande est attendue, et si ce canal est celui habituellement utilisé.
- Vérifiez par un autre moyen : un appel au service concerné, à un numéro déjà connu, jamais celui du message.
- Signalez le message à votre service informatique ou à votre correspondant sécurité, sans le transférer à vos collègues.
Si vous avez cliqué ou saisi un mot de passe
- 1Changez immédiatement le mot de passe concerné, ainsi que celui de tout autre compte où vous l'utilisez.
- 2Prévenez sans attendre votre service informatique ou votre correspondant sécurité. Signaler tôt limite les dégâts ; personne ne vous le reprochera.
- 3Ne supprimez pas le message : il sert à l'analyse et au blocage de l'attaque pour l'ensemble de l'entreprise.
- 4Si une pièce jointe a été ouverte, déconnectez le poste du réseau et laissez-le allumé jusqu'à l'intervention du support.
Étape 4
Deux vidéos pour ancrer le réflexe
Des contenus publics et courts, produits par le dispositif national d'assistance aux victimes et par le Cigref, l'association des grandes entreprises françaises. Lancez les deux : elles comptent pour la validation.
Lancée
Campagne « Voilà » du dispositif gouvernemental d'assistance aux victimes de cybermalveillance.
Lancée
Sur le ton d'une parodie de télé-crochet, la campagne du Cigref soutenue par l'ANSSI montre comment un simple courriel et une photo suffisent à tromper.
Les vidéos sont chargées depuis YouTube uniquement après votre clic, en mode sans cookie. Aucun échange avec YouTube n'a lieu avant.
Étape 5
Vérifiez ce que vous retenez
Six situations courantes, six réflexes. La validation demande six bonnes réponses sur six ; vous pouvez recommencer autant de fois que nécessaire. Le détail de vos réponses n'est pas enregistré.
Question 1 sur 6
/ 6
Validation
Valider votre sensibilisation
Trois conditions, à remplir dans l'ordre que vous voulez. Elles se cochent d'elles-mêmes au fil de votre parcours.
Encore 3 étapes pour valider cette sensibilisation
Parcours en cours
-
Consulter les sept indices du courriel piégé 1 sur 7 consulté Retourner à l'étape 2
-
Lancer les deux vidéos 0 sur 2 lancée Retourner à l'étape 4
-
Obtenir six bonnes réponses sur six au quiz Quiz non terminé Retourner à l'étape 5
Le badge Hameçonnage déjoué s'affichera en couleur une fois votre sensibilisation validée.
Le bouton s'activera une fois les trois conditions remplies.
L'enregistrement n'a pas pu aboutir. Vérifiez votre connexion et réessayez.
Sensibilisation validée
Merci. Votre participation a été enregistrée.
Badge obtenu : Hameçonnage déjouéPour aller plus loin
Des ressources publiques de référence, en français, pour approfondir ou pour agir.
-
Dispositif national
Cybermalveillance.gouv.fr
La fiche réflexe hameçonnage : comprendre, se protéger, réagir et être accompagné en cas d'attaque.
Consulter la fiche -
Agence nationale
ANSSI, infographie hameçonnage
Le mécanisme de l'attaque et les mesures de protection résumés sur une page.
Ouvrir l'infographie -
Signalement
Signal Spam
Signaler un courriel frauduleux reçu sur une adresse personnelle. En entreprise, adressez-vous d'abord à votre service informatique.
Accéder au service -
Autorité de protection des données
CNIL, mots de passe
Un mot de passe unique par service, long, et une double authentification partout où elle est proposée.
Lire les recommandations -
Campagne Cigref
Hack Academy, les quatre films
Mots de passe, hameçonnage, logiciels malveillants, paiement en ligne : la campagne complète.
Voir les films -
Assistance
Victime d'une cyberattaque ?
Le parcours d'assistance de Cybermalveillance.gouv.fr, pour les particuliers comme pour les organisations.
Démarrer le diagnostic
Informations relatives à cette campagne
Cette campagne s'inscrit dans le plan de formation et de sensibilisation annuel de
Mention d'information
Votre organisation a confié à St Blancat Cybersécurité la réalisation de cette sensibilisation. À ce titre, votre prénom et votre adresse de messagerie professionnelle sont recueillis pour vous permettre de la suivre et pour attester de votre participation.
Responsable du traitement. Votre organisation. Pour connaître l'ensemble des traitements qu'elle met en œuvre et les modalités d'exercice de vos droits, reportez-vous à sa politique de protection des données personnelles, généralement accessible sur son site www.exemple.fr. St Blancat Cybersécurité intervient en qualité de sous-traitant, aux seules fins de fournir et d'héberger ce dispositif.
Finalité. Sensibiliser les collaborateurs à la protection des données à caractère personnel et, plus largement, à la sécurité des systèmes d'information, et suivre la réalisation de cette action.
Base légale. L'intérêt légitime de votre organisation à s'assurer du bon déroulement de ses actions de sensibilisation, au sens de l'article 6.1.f du RGPD.
Données traitées. Votre prénom, votre adresse de messagerie professionnelle, la date d'ouverture de cette page et la date de validation du module. Vos réponses au questionnaire et le nombre de vos tentatives restent dans votre navigateur le temps de la session et ne nous sont pas transmis.
Destinataires. Les personnes habilitées de votre organisation en charge du suivi de la campagne, ainsi que St Blancat Cybersécurité en sa qualité de sous-traitant, chargé du fonctionnement du dispositif et de l'établissement des rapports.
Durée de conservation. Les données sont conservées le temps de la campagne. À son terme, elles sont restituées à votre organisation puis supprimées de nos systèmes ; seules des statistiques anonymes, ne permettant pas de vous identifier, peuvent être conservées.
Vos droits. Vous disposez d'un droit d'accès, de rectification, d'effacement et de limitation, ainsi que d'un droit d'opposition pour des raisons tenant à votre situation particulière. Ces droits s'exercent auprès du délégué à la protection des données de votre organisation ou, à défaut, du service compétent. Vous pouvez également introduire une réclamation auprès de la CNIL.
Pour en savoir plus sur la politique de protection des données à caractère personnel de St Blancat Cybersécurité, agissant ici en tant que sous-traitant de votre organisation, consultez notre politique de protection des données personnelles ainsi que nos mentions légales.
Nous contacter · N'hésitez pas à nous contacter directement pour toute question.
Les liens externes renvoient vers des ressources publiques dont le cabinet n'est pas l'éditeur.
