Partie 1 · Reconnaître les manipulations
1 Le phishing par e-mail
Le phishing (ou hameçonnage) est un faux message qui imite une source de confiance (banque, service informatique, livreur, administration…) pour vous pousser à cliquer sur un lien, ouvrir une pièce jointe ou donner des informations.
Les 6 indices qui doivent vous alerter
| Indice | Ce qu'il faut vérifier |
|---|
| L'expéditeur | Le nom affiché peut être faux. Regardez l'adresse complète : support@micros0ft-securite.com n'est pas Microsoft. |
| L'urgence | « Sous 24 h », « dernier avertissement », « compte suspendu » : la pression vous empêche de réfléchir. |
| Le lien | Survolez-le sans cliquer : l'adresse réelle s'affiche en bas de l'écran. Elle doit correspondre au site officiel. |
| La pièce jointe | Méfiez-vous des fichiers inattendus, des archives (.zip), des doubles extensions (.pdf.exe) et des documents qui demandent d'« activer les macros ». |
| La demande | Mot de passe, code reçu par SMS, coordonnées bancaires : aucun organisme sérieux ne les demande par mail. |
| Le ton et la forme | Salutation impersonnelle (« Cher client »), fautes, mise en page étrange… Attention : les phishings modernes peuvent être parfaitement rédigés. |
⚠ Le piège du sous-domaine
Les escrocs placent le nom d'un site connu au début de l'adresse pour vous rassurer. Mais c'est la fin du nom qui indique le site sur lequel vous arriverez réellement. Pour la trouver :
- Ignorez le début :
https://
- Cherchez le premier / qui suit (s'il n'y en a pas, allez jusqu'au bout de l'adresse).
- Regardez ce qui est juste avant ce / : c'est le site où vous arriverez. Est-ce bien celui que vous attendiez ? Tout ce qui est plus à gauche peut être inventé par l'escroc.
https://www.impots.gouv.fr.verification-compte.com/connexion
✗ Piège : vous arriveriez sur verification-compte.com, un site qui n'a rien à voir avec les impôts. « impots.gouv.fr » n'est qu'un leurre placé au début.
https://www.impots.gouv.fr/accueil
✓ Fiable : juste avant le premier /, on lit bien impots.gouv.fr, le site officiel des impôts.
À retenir
Un message qui vous presse, vous fait peur ou vous promet un gain doit toujours être vérifié par un autre moyen avant d'agir.
2 SMS et QR codes piégés
Le smishing est un phishing par SMS. Sur téléphone, l'adresse des liens est difficile à vérifier et l'on réagit plus vite : c'est exactement ce que veulent les escrocs.
Exemples courants : colis bloqué avec « frais de réexpédition », amende impayée, remboursement de l'Assurance Maladie, carte Vitale à renouveler, compte CPF à activer, faux message d'un proche (« Maman, j'ai changé de numéro… »).
Le quishing utilise des QR codes : un faux autocollant collé sur un parcmètre, une borne de recharge ou une table de restaurant, ou un QR code dans un mail pour contourner les filtres anti-spam.
✓ Que faire ?
- Ne cliquez pas : allez directement sur le site ou l'application officielle.
- Transférez gratuitement les SMS frauduleux au 33700.
- Avant de valider une page ouverte par un QR code, vérifiez l'adresse affichée.
- Méfiez-vous des autocollants superposés sur un QR code existant.
3 Faux appels et faux support technique
Le vishing (phishing vocal) passe par le téléphone. La voix humaine inspire confiance et l'appel ne laisse pas le temps de réfléchir. Le numéro affiché peut même être falsifié (« spoofing ») pour ressembler à celui de votre banque ou de votre entreprise.
Les scénarios les plus fréquents
- Faux support technique : « Votre ordinateur est infecté, installez ce logiciel pour que je règle le problème. » Le logiciel donne à l'escroc le contrôle total de votre poste.
- Faux conseiller bancaire : « Des paiements suspects sont en cours, donnez-moi le code reçu par SMS pour les annuler. » Le code sert en réalité à valider un paiement.
- Faux service informatique interne : « On migre les comptes, j'ai besoin de votre mot de passe. »
Bientôt, ces appels pourront aussi utiliser des voix imitées par intelligence artificielle (« deepfake vocal ») : une voix familière ne suffit plus à prouver une identité.
✓ Que faire ?
- Ne communiquez jamais un mot de passe ou un code reçu par SMS au téléphone.
- N'installez aucun logiciel à la demande d'un appelant.
- Raccrochez et rappelez vous-même l'organisme, au numéro officiel que vous connaissez.
4 L'arnaque au président (FOVI)
La fraude aux faux ordres de virement vise surtout les services comptables, achats et les assistants de direction. L'escroc se fait passer pour un dirigeant, un fournisseur ou un avocat afin d'obtenir un virement.
La recette de l'escroc
Autorité
« C'est le PDG qui demande. »
Urgence
« Il faut que ce soit fait avant 16 h. »
Confidentialité
« N'en parlez à personne, c'est une opération sensible. »
Flatterie
« Je compte sur vous, vous êtes la seule personne de confiance. »
Une variante très courante est le changement de RIB : un faux fournisseur annonce de nouvelles coordonnées bancaires pour ses prochaines factures.
✓ Que faire ?
- Respectez toujours la procédure de validation des virements, même sous la pression.
- Faites un contre-appel sur un numéro connu (annuaire interne, dossier fournisseur), jamais celui du message.
- Une demande de secret est une raison de plus d'en parler à votre responsable.
5 Réseaux sociaux et informations exposées
Avant d'attaquer, les escrocs se renseignent. Votre profil LinkedIn, vos photos et vos publications leur permettent de rédiger un message très crédible et personnalisé : c'est le spear phishing (hameçonnage ciblé).
Exemple : vous publiez « Ravie de rejoindre le service comptabilité de MonEntreprise ! ». Quelques jours plus tard, vous recevez un « mail du directeur financier » qui vous souhaite la bienvenue… et vous demande de traiter un virement urgent.
Ce qu'il vaut mieux ne pas publier
- Photos de votre badge, de votre écran, de tableaux blancs ou de documents internes.
- Organigrammes, noms d'outils ou de logiciels utilisés en interne.
- Vos absences et déplacements en temps réel.
Méfiez-vous aussi des faux profils (recruteurs, partenaires) qui cherchent à vous faire ouvrir un fichier ou cliquer sur un lien.
À retenir
Plus un attaquant en sait sur vous, plus son piège sera convaincant. Réglez la confidentialité de vos comptes et réfléchissez avant de publier.
6 J'ai cliqué : que faire ?
Personne n'est infaillible. L'erreur la plus grave n'est pas de se faire piéger, c'est de ne rien dire. Plus l'alerte est donnée tôt, plus les dégâts sont limités.
- Déconnectez l'appareil du réseau (câble, Wi-Fi) si vous avez ouvert une pièce jointe ou installé quelque chose. Ne l'éteignez pas : cela pourrait effacer des traces utiles.
- Prévenez immédiatement le service informatique, par téléphone ou en personne.
- Changez votre mot de passe depuis un appareil sain, si vous l'avez saisi sur une fausse page, ainsi que sur les autres sites où vous l'utilisiez.
- Contactez votre banque si vous avez donné des coordonnées bancaires, pour faire opposition.
- Gardez le message : ne le supprimez pas, il servira à l'analyse et à prévenir les collègues.
Partie 2 · Les bons réflexes du quotidien
7 Mots de passe et double authentification
Votre mot de passe est la clé de vos comptes. S'il est deviné ou volé, quelqu'un peut lire vos mails, accéder aux fichiers de l'entreprise ou se faire passer pour vous.
Le piège n°1 : réutiliser le même mot de passe
Des sites se font régulièrement pirater et leurs listes de mots de passe circulent sur Internet. Si vous utilisez le même mot de passe partout, la fuite d'un site de jardinage suffit à ouvrir votre messagerie professionnelle : les escrocs testent automatiquement les identifiants volés sur des milliers de sites.
Un bon mot de passe
✗ À éviter
Soleil2026!, le prénom de vos enfants, votre date de naissance, le nom de l'entreprise suivi de l'année.
✓ Une phrase de passe
Plusieurs mots sans lien entre eux, par exemple Girafe-Tambour-Orage-Cerise (n'utilisez pas celle-ci !). Longue, donc solide, et facile à retenir.
Le plus simple : un gestionnaire de mots de passe (celui fourni par votre entreprise, ou par exemple KeePassXC, Bitwarden). Il crée et retient un mot de passe différent pour chaque site ; vous n'avez plus qu'un seul mot de passe à mémoriser.
La double authentification (MFA)
En plus du mot de passe, on vous demande une seconde preuve : un code dans une application, une notification à valider sur votre téléphone, une clé de sécurité. Même si votre mot de passe est volé, l'escroc reste bloqué. Activez-la partout où c'est possible, à commencer par la messagerie et la banque.
⚠ Une demande de validation que vous n'avez pas faite ?
Si votre téléphone vous demande d'approuver une connexion alors que vous n'essayez pas de vous connecter, quelqu'un connaît votre mot de passe. Refusez, changez votre mot de passe et prévenez le service informatique. N'approuvez jamais « pour que ça s'arrête ».
À retenir
- Un mot de passe différent par service, idéalement dans un gestionnaire.
- Votre mot de passe est personnel : on ne le donne à personne, ni à un collègue ni au service informatique.
- Pas de post-it sous le clavier, pas de fichier « mots de passe.txt ».
8 L'IA générative au travail
ChatGPT, Copilot, Gemini, Le Chat… Les assistants d'intelligence artificielle font gagner du temps pour rédiger, résumer ou traduire. Mais ce que vous leur écrivez quitte l'entreprise : selon l'outil et l'abonnement, vos textes peuvent être conservés, relus ou servir à entraîner le modèle.
Ce qu'on ne colle jamais dans une IA publique
- Des données sur des clients, des salariés ou des patients (noms, adresses, salaires, santé…).
- Des contrats, devis, chiffres financiers ou projets non publiés.
- Du code source, des mots de passe, des clés d'accès.
- Tout document marqué « interne » ou « confidentiel ».
✓ Que faire ?
- Utilisez uniquement les outils d'IA validés par votre entreprise (souvent une version « entreprise » qui ne réutilise pas vos données).
- En cas de doute, anonymisez : remplacez les noms et chiffres par des exemples.
- Relisez toujours la réponse : une IA peut inventer des faits, des chiffres ou des sources avec beaucoup d'assurance.
Les deepfakes : quand on imite une voix ou un visage
Quelques secondes d'enregistrement suffisent aujourd'hui pour imiter une voix, et la vidéo peut aussi être truquée. En 2024, à Hong Kong, un employé a viré l'équivalent de 25 millions de dollars après une visioconférence où son « directeur financier » et ses « collègues » étaient en réalité des deepfakes.
Les signes qui doivent alerter : une demande urgente et inhabituelle (virement, mot de passe, document sensible), une image ou une voix légèrement décalée, une excuse pour ne pas pouvoir rappeler, un nouveau numéro ou un nouveau compte.
À retenir
Une voix ou un visage familier ne prouvent plus une identité. Pour toute demande sensible, raccrochez et rappelez la personne sur un numéro que vous connaissez déjà, ou posez une question que seule la vraie personne peut connaître.
9 Télétravail et mobilité
Hors du bureau, vous ne bénéficiez plus des protections du réseau de l'entreprise. Quelques habitudes suffisent à travailler en sécurité depuis chez vous, le train ou l'hôtel.
| Situation | Le bon réflexe |
|---|
| Wi-Fi public (gare, café, hôtel) | Activez le VPN de l'entreprise, ou utilisez le partage de connexion de votre téléphone. Méfiez-vous des réseaux au nom trop accueillant (« Free_WiFi_Gare ») : n'importe qui peut créer un faux point d'accès. |
| Dans le train | Votre voisin peut lire votre écran ou écouter votre appel. Utilisez un filtre de confidentialité et évitez les conversations sensibles. |
| À la maison | L'ordinateur professionnel est réservé au travail : on ne le prête pas aux enfants pour les devoirs ou les jeux, et on n'y installe pas de logiciels personnels. |
| La box Internet | Changez le mot de passe Wi-Fi par défaut et laissez la box se mettre à jour. |
| Appareils personnels | Ne transférez pas de fichiers professionnels sur votre téléphone ou ordinateur personnel sans autorisation. |
⚠ Perte ou vol
Ordinateur ou téléphone professionnel perdu ou volé ? Prévenez immédiatement le service informatique, même la nuit ou le week-end : il peut bloquer les accès et effacer l'appareil à distance. Et ne laissez jamais votre ordinateur visible dans une voiture.
10 Protéger les données
Toutes les informations n'ont pas la même valeur. Savoir ce qui est sensible permet de choisir comment le stocker, le partager et le jeter.
| Niveau | Exemples | Peut-on le partager ? |
|---|
| Public | Plaquette commerciale, offres d'emploi, site web. | Oui, avec tout le monde. |
| Interne | Organigramme, procédures, notes de service. | Avec les collègues uniquement. |
| Confidentiel | Fichiers clients, contrats, salaires, dossiers RH, chiffres financiers. | Seulement avec les personnes qui en ont besoin. |
Les erreurs les plus fréquentes
- Envoyer des fichiers sur sa messagerie personnelle ou un cloud personnel pour « travailler ce week-end » : les données sortent de l'entreprise et ne sont plus protégées.
- Se tromper de destinataire à cause de l'autocomplétion : vérifiez toujours les adresses avant d'envoyer, surtout avec une pièce jointe.
- Mettre tout le monde en copie visible lors d'un envoi groupé à des personnes extérieures : utilisez le champ « Cci ».
- Oublier des documents sur l'imprimante ou les jeter à la poubelle : utilisez le broyeur pour tout ce qui est confidentiel.
Le RGPD, côté salarié
On appelle donnée personnelle toute information qui permet d'identifier une personne, directement ou indirectement : son nom, son adresse mail, son numéro de téléphone, sa photo, son salaire… Le RGPD impose à l'entreprise de les protéger. Concrètement, cela veut dire : n'accéder qu'aux données dont on a besoin pour son travail, ne pas les conserver « au cas où », et ne pas les copier hors des outils prévus.
✓ Une fuite ou une erreur d'envoi ?
Prévenez tout de suite votre responsable et le service informatique (ou le délégué à la protection des données). L'entreprise n'a que 72 heures pour notifier la CNIL : chaque heure compte, et personne ne vous reprochera d'avoir signalé votre erreur.
11 Sécurité physique
Un escroc n'a pas toujours besoin d'Internet : entrer dans les locaux lui permet de brancher un appareil, de photographier un écran ou d'emporter un document.
- La porte tenue : profiter de la politesse pour entrer derrière quelqu'un s'appelle le « tailgating ». Une personne sans badge ? Proposez-lui poliment de l'accompagner à l'accueil.
- Le badge : il est personnel, ne se prête jamais et ne se photographie pas pour les réseaux sociaux. Perdu ? Signalez-le pour qu'il soit désactivé.
- Les visiteurs : ils s'enregistrent à l'accueil et restent accompagnés dans les zones de travail.
- Le bureau propre : en partant, rangez les documents sensibles et ne laissez aucun mot de passe en évidence.
- Les clés USB trouvées : ne les branchez jamais, remettez-les au service informatique. Des clés piégées sont parfois abandonnées exprès, avec une étiquette alléchante.
- Les bornes de recharge publiques (aéroport, gare) : préférez votre propre chargeur branché sur une prise électrique, ou une batterie externe. Un port USB peut aussi transmettre des données.
À retenir
Être poli ne veut pas dire tout laisser passer. Demander qui est une personne inconnue dans les bureaux, c'est protéger tout le monde.
12 Mises à jour et verrouillage
Les mises à jour
Une mise à jour corrige souvent une faille de sécurité. Dès qu'elle est publiée, les escrocs savent où attaquer les appareils qui ne l'ont pas encore installée. Reporter une mise à jour, c'est laisser une porte ouverte.
- Acceptez les mises à jour et le redémarrage demandé dès que possible (à la pause, en fin de journée).
- Pensez aussi au téléphone et aux applications.
- N'installez des applications que depuis les magasins officiels ou le catalogue de l'entreprise.
⚠ Les fausses mises à jour
Une fenêtre qui surgit sur un site web (« Votre navigateur est obsolète, téléchargez la mise à jour ») est un piège classique pour installer un logiciel malveillant. Les vraies mises à jour passent par les paramètres de l'appareil ou par le service informatique, jamais par une publicité.
Le verrouillage de session
Dès que vous quittez votre poste, même deux minutes pour l'imprimante ou la machine à café, verrouillez-le :
Windows
Windows + L
Mac
Ctrl + Cmd + Q
Éteindre l'écran ne suffit pas : il suffit de le rallumer pour accéder à votre session. Sur le téléphone, un code ou une empreinte et un verrouillage automatique rapide sont indispensables.
Prêt à vous entraîner ?
Mettez ces réflexes en pratique avec les simulateurs, puis testez-vous avec le QCM.