Vos identifiants sont copiés
La page de connexion imitée enregistre le mot de passe saisi. L'attaquant se connecte à votre messagerie, lit vos échanges et écrit à vos contacts en votre nom.
Exercice de sensibilisation
Vous avez cliqué ? Vous avez de la chance, cette fois, ce n'était qu'un test !
Le courriel que vous venez d'ouvrir faisait partie d'une simulation d'hameçonnage organisée par votre entreprise. Un message conçu par un attaquant aurait produit un tout autre résultat. Cette page vous montre ce que vous auriez pu remarquer, et ce qu'il faut faire la prochaine fois.
Étape 1
Ce qui se serait passé avec un vrai courriel piégé
Un clic n'est presque jamais anodin pour un attaquant. Selon le scénario, trois choses se jouent en quelques secondes.
Un programme s'installe
La pièce jointe ou le lien dépose un logiciel discret. Il peut chiffrer les fichiers de l'entreprise, ou rester silencieux plusieurs semaines pour préparer une attaque plus large.
Une fraude est amorcée
Avec ce qu'il a appris de votre boîte, l'attaquant fabrique une demande crédible : changement de coordonnées bancaires d'un fournisseur, virement urgent demandé par la direction.
Étape 2
Relisons le courriel ensemble
Voici un message du même type que celui qui vous a piégé. Sept indices y étaient visibles. Cliquez sur une pastille dans le courriel, ou sur un indice dans la liste.
De
Direction Financière <direction.financiere@notification-entreprise-fr.com>
À
destinataires non affichés
Objet
URGENT : régularisation de votre note de frais avant 17h
Cher collaborateur,
Suite à la migration de notre outil de gestion, votre dernière note de frais n'a pas pu être validée. Sans action de votre part avant 17h aujourd'hui, le remboursement sera annulé et le dossier clôturé.
Merci de vous connecter avec vos identifiants habituels pour confirmer vos informations :
Régulariser maintenant https://portail-entreprise.fr/notes-de-frais Destination réelle au survol : http://portail-entreprise.fr.verif-compte-37.net/login
Vous trouverez en pièce jointe le récapitulatif à vérifier.
Recapitulatif_frais_0925.zip
Direction Financière
Ce message est généré automatiquement, merci de ne pas y répondre.
-
Le nom « Direction Financière » est libre : n'importe qui peut l'écrire. Seule l'adresse complète compte, et ici le domaine après le @ n'est pas celui de l'entreprise. Un domaine proche, allongé ou avec un tiret en trop est un classique.
-
Majuscules, échéance à l'heure près, conséquence financière : tout est fait pour que vous agissiez avant de réfléchir. Une direction financière ne traite pas une note de frais de cette manière.
-
« Cher collaborateur » signale un envoi de masse. Les attaques ciblées utilisent en revanche votre prénom et parfois votre fonction : l'absence de ce signal ne prouve rien.
-
Aucune procédure connue, aucun interlocuteur nommé, et une sanction en cas d'inaction. La pression émotionnelle est le moteur de l'hameçonnage.
-
Le texte affiche une adresse rassurante, la destination réelle est un autre domaine. Sur ordinateur, survolez le lien sans cliquer et lisez l'adresse en bas du navigateur. Sur mobile, un appui long l'affiche. En cas de doute, saisissez vous-même l'adresse du service.
-
Une archive, un document activant des macros ou un fichier exécutable déguisé sont les vecteurs habituels des logiciels malveillants. Un récapitulatif de frais ne se transmet pas sous cette forme.
-
« Ne pas répondre », aucun nom, aucun numéro : le message coupe toute possibilité de contrôle. Le bon réflexe consiste justement à vérifier par un autre canal, en appelant le service concerné à un numéro déjà connu.
Un détail à retenir. L'orthographe n'est plus un indice fiable : les messages frauduleux sont aujourd'hui rédigés sans faute, souvent avec l'aide de l'intelligence artificielle. Le bouton « Signaler » de votre messagerie, lui, reste votre meilleur allié.
Étape 3
Quels sont les bons réflexes pour vous protéger ?
Deux moments comptent : celui du doute, avant de cliquer, et celui qui suit un clic malheureux. Dans les deux cas, la rapidité de votre réaction change tout.
Avant de cliquer, en cas de doute
- Lisez l'adresse complète de l'expéditeur, pas seulement le nom affiché.
- Survolez le lien et comparez la destination réelle avec ce que le message annonce.
- Demandez-vous si la demande est attendue, et si ce canal est celui habituellement utilisé.
- Vérifiez par un autre moyen : un appel au service concerné, à un numéro déjà connu, jamais celui du message.
- Signalez le message à votre service informatique ou à votre correspondant sécurité, sans le transférer à vos collègues.
Si vous avez cliqué ou saisi un mot de passe
- 1Changez immédiatement le mot de passe concerné, ainsi que celui de tout autre compte où vous l'utilisez.
- 2Prévenez sans attendre votre service informatique ou votre correspondant sécurité. Signaler tôt limite les dégâts ; personne ne vous le reprochera.
- 3Ne supprimez pas le message : il sert à l'analyse et au blocage de l'attaque pour l'ensemble de l'entreprise.
- 4Si une pièce jointe a été ouverte, déconnectez le poste du réseau et laissez-le allumé jusqu'à l'intervention du support.
Étape 4
Deux vidéos pour ancrer le réflexe
Des contenus publics et courts, produits par le dispositif national d'assistance aux victimes et par le Cigref, l'association des grandes entreprises françaises.
Campagne « Voilà » du dispositif gouvernemental d'assistance aux victimes de cybermalveillance.
Sur le ton d'une parodie de télé-crochet, la campagne du Cigref soutenue par l'ANSSI montre comment un simple courriel et une photo suffisent à tromper.
Les vidéos sont chargées depuis YouTube uniquement après votre clic, en mode sans cookie. Aucun échange avec YouTube n'a lieu avant.
Étape 5
Vérifiez ce que vous retenez
Six situations courantes, six réflexes. Vos réponses restent sur cette page : rien n'est enregistré ni transmis.
Question 1 sur 6
/ 6
Pour aller plus loin
Des ressources publiques de référence, en français, pour approfondir ou pour agir.
-
Dispositif national
Cybermalveillance.gouv.fr
La fiche réflexe hameçonnage : comprendre, se protéger, réagir et être accompagné en cas d'attaque.
Consulter la fiche -
Agence nationale
ANSSI, infographie hameçonnage
Le mécanisme de l'attaque et les mesures de protection résumés sur une page.
Ouvrir l'infographie -
Signalement
Signal Spam
Signaler un courriel frauduleux reçu sur une adresse personnelle. En entreprise, adressez-vous d'abord à votre service informatique.
Accéder au service -
Autorité de protection des données
CNIL, mots de passe
Un mot de passe unique par service, long, et une double authentification partout où elle est proposée.
Lire les recommandations -
Campagne Cigref
Hack Academy, les quatre films
Mots de passe, hameçonnage, logiciels malveillants, paiement en ligne : la campagne complète.
Voir les films -
Assistance
Victime d'une cyberattaque ?
Le parcours d'assistance de Cybermalveillance.gouv.fr, pour les particuliers comme pour les organisations.
Démarrer le diagnostic
Une page conçue pour accompagner, pas pour sanctionner
Cette page est mise à disposition par St Blancat Cybersécurité dans le cadre des campagnes de sensibilisation menées pour ses clients. Des exercices réguliers, associés à des repères simples, font durablement baisser le taux de clic. Si vous souhaitez organiser une campagne dans votre organisation ou structurer un programme de sensibilisation, nous pouvons en parler.
Les liens externes renvoient vers des ressources publiques dont le cabinet n'est pas l'éditeur. Cette page ne collecte aucune donnée personnelle.