Qu’est-ce que le phishing ?
Le phishing, ou hameçonnage en français, consiste à se faire passer pour un tiers de confiance dans un message afin d’obtenir quelque chose de la victime : un mot de passe, un numéro de carte, une pièce d’identité ou un virement.
L’attaque ne vise pas une faille technique, mais une réaction humaine. Le message crée une urgence (un compte bloqué, un colis en attente, une facture impayée) et fournit dans la foulée le lien qui résout le problème. C’est ce lien qui est piégé.
Le phishing reste le point d’entrée le plus fréquent des attaques contre les entreprises, avant l’exploitation d’une vulnérabilité logicielle. Une pièce jointe ouverte ou un mot de passe saisi sur une page factice suffit à ouvrir la porte.
Comment reconnaître un message de phishing ?
Les signaux les plus fiables ne sont pas ceux qu’on cite habituellement. Les fautes d’orthographe ont largement disparu, et un cadenas HTTPS ne prouve rien : n’importe qui obtient un certificat gratuit en quelques minutes.
- Le domaine réel du lien, visible en survolant sans cliquer. La confusion se joue sur un détail : un tiret ajouté, une extension différente, un sous-domaine trompeur du type « impots.gouv.fr.securite-connexion.com ».
- Une demande d’action sensible arrivée par message : changement de coordonnées bancaires, saisie d’un code reçu par SMS, achat de cartes cadeaux.
- Une urgence assortie d’une menace ou d’un délai très court, destinée à couper la vérification.
- Un canal inhabituel : un dirigeant qui écrit depuis une adresse personnelle, une demande interne passée par SMS ou WhatsApp.
La règle pratique tient en une phrase : ne jamais utiliser le lien du message. Ouvrir soi-même le site, ou rappeler le correspondant sur un numéro déjà connu, désamorce la quasi-totalité des tentatives.
Les variantes du phishing
- Spear phishing : message taillé pour une personne précise, nourri d’informations réelles glanées sur LinkedIn ou dans une fuite de données. Taux de réussite nettement supérieur au phishing de masse.
- Whaling : spear phishing dirigé contre un dirigeant ou un membre du comité de direction.
- Fraude au président (BEC) : l’attaquant se fait passer pour un dirigeant et demande un virement urgent et confidentiel à la comptabilité. Souvent sans aucun lien piégé, donc invisible pour les filtres antivirus.
- Smishing et vishing : les mêmes techniques par SMS et par téléphone. Le vishing progresse avec les outils d’imitation de voix.
- Quishing : le lien est dissimulé dans un QR code, ce qui contourne l’analyse du texte du message et fait basculer la victime sur son téléphone personnel.
Phishing, spam ou ingénierie sociale : quelle différence ?
Le spam est du courrier non sollicité, généralement publicitaire. Il encombre, il ne cherche pas à voler.
L’ingénierie sociale désigne l’ensemble des techniques de manipulation qui exploitent la confiance, l’autorité ou l’urgence, y compris hors du numérique : un faux technicien qui se présente à l’accueil relève de l’ingénierie sociale, pas du phishing.
Le phishing est donc une forme d’ingénierie sociale, celle qui passe par un message et se prête à l’envoi en masse.
Comment s’en protéger, côté entreprise
La sensibilisation seule ne suffit pas. Sur une campagne de test bien construite, une partie des collaborateurs clique toujours, et la culpabilisation ne fait que réduire le nombre de signalements.
Les mesures qui changent réellement le résultat sont techniques et organisationnelles :
- L’authentification multifacteur, et de préférence des clés de sécurité ou des passkeys, qui résistent aux pages de connexion factices là où un code à six chiffres peut être relayé en direct par l’attaquant.
- La configuration de SPF, DKIM et DMARC, qui empêche l’usurpation du domaine de l’entreprise dans les messages sortants.
- Une procédure de validation des changements de coordonnées bancaires, avec rappel sur un numéro connu, qui bloque la fraude au président sans dépendre de la vigilance d’une seule personne.
- Un canal de signalement simple et sans reproche, pour que l’incident remonte en quelques minutes plutôt qu’en quelques jours.
En France, un particulier ou une entreprise peut se faire accompagner via cybermalveillance.gouv.fr, signaler un courriel frauduleux à Signal Spam et transférer un SMS suspect au 33700.
Exemples ou cas d’usage concrets
Un comptable reçoit un message signé du directeur financier, en copie d’un échange qui semble déjà entamé, demandant de régler une facture fournisseur avec un nouvel IBAN. Le fournisseur existe, le montant est plausible, seul le compte a changé.
Une responsable RH est invitée à se reconnecter à l’outil de paie après une « mise à jour de sécurité ». La page reproduit fidèlement l’original et relaie en direct le code d’authentification qu’elle saisit, ce qui donne à l’attaquant une session valide.
Un salarié scanne un QR code collé sur un faux avis de stationnement. Le paiement part vers un compte étranger, et la carte bancaire est réutilisée trois semaines plus tard.
Un candidat en recherche d’emploi reçoit une fausse offre accompagnée d’une demande de pièce d’identité et de RIB « pour le contrat ». Le secteur du recrutement est particulièrement exposé à cette variante, l’envoi de documents personnels y étant banal.
Quels profils traitent le phishing en entreprise ?
La lutte contre le phishing se répartit entre plusieurs postes, rarement réunis dans une seule personne.
- Analyste SOC : traite les signalements, analyse les en-têtes et les pièces jointes, décide du périmètre à isoler.
- Ingénieur sécurité messagerie : configure les passerelles de filtrage, DMARC et les règles de blocage.
- Responsable sensibilisation : conçoit les campagnes de test et les formations, poste souvent rattaché au RSSI et parfois partagé avec la communication interne.
- RSSI : arbitre les investissements et porte le sujet auprès de la direction, notamment le durcissement de l’authentification.
Ces postes sont sous tension, en particulier les analystes SOC de niveau 2 et 3. Le vivier de juniors s’est étoffé avec les formations en cybersécurité ; les profils capables de conduire une investigation complète restent nettement plus rares.