Faux virement, faux fournisseur : reconnaître un mail frauduleux en trente secondes

La plupart des attaques qui touchent une PME commencent par un mail. Pas un mail bourré de fautes venu de nulle part : un message plausible, au bon moment, qui demande une chose banale. Voici les réflexes qui arrêtent l’essentiel.

Les trois scénarios qui coûtent cher

Le faux fournisseur. Un mail qui ressemble à ceux de votre fournisseur habituel annonce un changement de coordonnées bancaires. La prochaine facture est payée sur le nouveau RIB, qui n’est pas le sien. L’argent est parti avant que quelqu’un s’en aperçoive.

Le faux dirigeant. Un message au nom du patron, souvent en déplacement, demande un virement urgent et confidentiel à la comptabilité. Le ton presse, le contexte est crédible, le montant est plausible.

La fausse page de connexion. « Votre boîte est pleine », « un document partagé vous attend », « votre mot de passe expire ». Le lien mène vers une copie de la page Microsoft ou Google. Le mot de passe saisi part directement chez l’attaquant, qui lit ensuite votre messagerie pendant des semaines pour préparer l’un des deux scénarios ci-dessus.

Les cinq points à regarder avant de cliquer

1. L’adresse réelle de l’expéditeur, pas le nom affiché. Un caractère qui change, un domaine en .co au lieu de .com, un sous-domaine bizarre.
2. L’urgence. « Aujourd’hui avant midi », « confidentiel », « ne pas en parler ». Un vrai fournisseur ou un vrai dirigeant accepte un rappel de vérification.
3. La demande elle-même. Changer un RIB, payer hors du circuit habituel, acheter des cartes cadeaux, saisir son mot de passe. Ce sont toujours les mêmes.
4. Le lien. Survolez-le sans cliquer : l’adresse affichée en bas de l’écran doit correspondre au service annoncé.
5. Le contexte. Attendiez-vous ce message, de cette personne, à ce moment ? Si la réponse est non, décrochez le téléphone.

La règle qui sauve : rappeler, jamais répondre

Pour tout changement de RIB et tout virement inhabituel, une seule règle dans l’entreprise : on rappelle l’interlocuteur à un numéro déjà connu, jamais à celui indiqué dans le mail. Cette règle, écrite et connue de tous, arrête à elle seule les deux scénarios les plus coûteux. Elle ne coûte rien.

Ce que la technique peut faire en plus

Le bon réflexe humain reste la dernière ligne. En amont, nous réduisons le nombre de messages qui arrivent jusqu’à vos équipes : filtrage de la messagerie avec Mailinblack, qui bloque le phishing et détecte l’usurpation d’identité, configuration de SPF, DKIM et DMARC sur votre domaine pour que personne ne puisse écrire en votre nom, et authentification multifacteur sur tous les comptes, pour qu’un mot de passe volé ne serve à rien. Nous formons aussi vos équipes avec de vrais exemples tirés de ce que reçoivent vos boîtes.