Article

Hameçonnage : comment éviter de tomber dans le piège

Mis à jour le 29 octobre 2026

Un message d’hameçonnage se reconnaît à quatre signes : il crée l’urgence, il vient d’une adresse qui ressemble sans être exacte, il demande une action inhabituelle, et il contourne les procédures normales. Si vous avez cliqué, changez votre mot de passe depuis un autre appareil, prévenez votre prestataire, et vérifiez qu’aucune règle de transfert n’a été créée dans votre messagerie — c’est le geste que les attaquants font en premier.

Une attaque simple, et redoutablement efficace

L’hameçonnage ne repose sur aucune prouesse technique. Il exploite trois ressorts humains : la confiance envers un expéditeur apparemment connu, l’urgence qui empêche de vérifier, et l’autorité — une facture, un dirigeant, un service public. C’est ce qui le rend efficace y compris chez des gens prudents : ce n’est pas la compétence informatique qui protège, c’est l’habitude de vérifier.

Les campagnes les plus coûteuses ne visent pas à installer un logiciel malveillant. Elles visent à obtenir un identifiant, puis à observer discrètement la messagerie pendant des semaines, en attendant une facture à modifier ou un virement à détourner.

Reconnaître une tentative

Quatre signes, dans l’ordre où on les remarque.

01L’urgence« Votre compte sera suspendu », « à régler aujourd’hui », « je suis en réunion, faites-le vite ». L’urgence sert à empêcher la vérification, pas à décrire une réalité.

02L’adresse d’expéditionElle ressemble sans être exacte : un caractère changé, un domaine voisin, un nom affiché correct masquant une adresse qui ne l’est pas. Affichez toujours l’adresse réelle, pas le nom.

03La demande inhabituelleUn changement de coordonnées bancaires, une connexion à re-valider, un fichier à ouvrir sans raison. Le contenu n’est pas anormal en soi ; c’est qu’il sorte de la procédure habituelle qui l’est.

04Le contournement des règles« Ne passez pas par la comptabilité », « ne m’appelez pas, je suis en rendez-vous ». C’est le signe le plus fiable : une demande légitime supporte d’être vérifiée.

Vous avez cliqué : les cinq minutes qui suivent

01Dans tous les cas : ne fermez rien, ne supprimez pas le message, et prévenez votre prestataire et votre direction. Une compromission tue par le silence, pas par la maladresse.

02Vous avez seulement cliqué, sans rien saisir ni ouvrir : le risque est faible. Signalez-le, et laissez le prestataire vérifier la page visitée et le poste.

03Vous avez saisi un identifiant : changez le mot de passe depuis un autre appareil, sur tous les services où il était réutilisé, puis vérifiez les règles de transfert de votre messagerie, premier geste d’un attaquant qui obtient un accès. Des coordonnées bancaires saisies : prévenez immédiatement votre banque.

04Vous avez téléchargé ou exécuté un fichier : débranchez le poste du réseau sans l’éteindre, et n’y touchez plus. Le poste est à considérer comme compromis jusqu’à l’analyse.

05La compromission est confirmée (connexion inconnue, règle de transfert créée, envois à votre insu) : c’est un incident de sécurité, avec ses obligations éventuelles de notification. Les premières heures après une cyberattaque.

Personne n’est licencié chez nous pour avoir cliqué. Ce qui coûte cher, c’est de ne pas le dire — et une entreprise qui blâme ses utilisateurs se prive de son meilleur système de détection.

Ce qui protège durablement

L’authentification multifacteur réduit fortement le risque lié à un mot de passe volé, mais une page de hameçonnage qui relaie la connexion peut encore voler la session. Ajoutez la surveillance des règles de transfert et la sensibilisation régulière. Ce que couvre l’offre cyber

Sources datées en fin d’article · constats issus des incidents traités par 8TECH (1er semestre 2026, ensemble des clients)Le guide de crise

Pour vérifier

Sources et références

Ce que cet article affirme et qui ne vient pas de notre pratique vient d'ici. Chaque référence porte son éditeur et sa date.

01Que faire en cas de phishing ou hameçonnage ?Cybermalveillance.gouv.fr · 2026-05-07 — fiche officielle : signes d'un message frauduleux, changer ses mots de passe, prévenir sa banque, signaler et déposer plainte

02Kit de sensibilisationCybermalveillance.gouv.fr · 2026-06-02 — supports officiels de sensibilisation, dont l'hameçonnage, réutilisables sous licence ouverte

03Fraude au virement bancaire (FOVI) ou au faux ordre de virement, que faire ?Cybermalveillance.gouv.fr · 2026-09-08 — la messagerie compromise sert à détourner un virement ou modifier un RIB ; vérifier par un autre canal, double validation

04Recommandations relatives à l'authentification multifacteur et aux mots de passeANSSI · 2021-10-08 — privilégier l'authentification multifacteur, de préférence sur facteur de possession

05Répondre à un compte de messagerie compromis dans Microsoft 365Microsoft Learn · 2026-07-03 — les règles de boîte de réception et de transfert créées par l'attaquant sont un symptôme de compromission, à supprimer

06Protection des identités contre les attaques par relais de sessionMicrosoft Learn · 2026-01-28 — la MFA classique peut être contournée par une attaque adversary-in-the-middle qui vole le jeton de session ; privilégier les méthodes résistantes au hameçonnage

Après cette lecture

Relier le sujet à votre entreprise.

Un article donne des repères généraux. Pour décider quoi faire sur votre parc, nous partons de vos outils, de vos contraintes et de vos priorités.

Faire auditer ma sécurité

À consulter aussi01Cybersécurité des PME — auditer, protéger, réagir↗02Offre de cybersécurité renforcée — SOC, EDR, sensibilisation↗03Que faire après une cyberattaque — les premières heures, dans l'ordre↗