Introduction

Une semaine de septembre chez Verdier Architectes. Lundi, un SMS annonce un colis en attente : 1,99 € de frais de réexpédition à régler par un lien. Mardi, Inès reçoit un courriel : son mot de passe de messagerie « expire aujourd’hui ». Mercredi, une facture arrive en pièce jointe compressée, au nom d’un fournisseur de matériaux habituel. Vendredi, Julien apprend par courriel que l’Assurance Maladie lui doit 214 €.

Le jeudi, c’est le téléphone. Un « conseiller du service fraude » de la banque appelle Claire. Le numéro affiché ressemble à celui de son agence bancaire. Un virement suspect de 4 800 € serait en cours ; pour l’annuler, il faut lui dicter le code qu’elle va recevoir par SMS. Claire a le code sous les yeux quand elle raccroche. Elle rappelle sa banque au numéro de sa carte : aucun virement, aucun conseiller.

Cinq tentatives en cinq jours. Quatre ont été repérées tout de suite. La cinquième a failli passer. L’hameçonnage est la porte d’entrée la plus fréquente des arnaques et des piratages : mots de passe volés, faux virements, rançongiciels. Ce module reprend la fiche réflexe de Cybermalveillance.gouv.fr et ses neuf points de contrôle, adaptés à une petite entreprise.

1. Qu’est-ce que l’hameçonnage ?

L’hameçonnage, en anglais phishing, est une technique frauduleuse qui consiste à se faire passer pour un tiers de confiance afin de vous faire communiquer des informations, cliquer sur un lien ou ouvrir une pièce jointe.

Le but : voler des données personnelles ou professionnelles (identité, mots de passe, codes de validation, coordonnées bancaires) pour s’en servir. Ou infecter votre appareil par un programme malveillant pour en prendre le contrôle.

Les canaux : courriel, SMS, messagerie instantanée, message sur un réseau social, appel téléphonique. On parle parfois de smishing pour les SMS et de vishing pour les appels.

Les identités usurpées : administrations (impôts, Assurance Maladie, amendes), banques, livraison de colis, péage d’autoroute, commerces en ligne, réseaux sociaux, fournisseurs d’énergie. Et, de plus en plus, un proche, un collègue ou votre propre dirigeant.

L’hameçon repose sur l’ingénierie sociale : jouer sur les émotions pour court-circuiter la réflexion. L’urgence (« sous 24 heures »), la peur (« votre compte sera bloqué »), l’appât du gain (« remboursement », « cadeau »), l’autorité (« le directeur demande »), la curiosité. Un message qui vous fait réagir vite est un message à relire lentement.

Avec l’IA. Demandez à un assistant d’IA de rédiger trois exemples fictifs de messages d’hameçonnage adaptés à votre métier, chacun jouant sur un ressort différent : urgence, gain, autorité. Utilisez-les pour entraîner l’équipe. Précisez bien qu’ils sont destinés à la formation et ne les envoyez jamais sans prévenir.

Exemples :

• Urgence : « Votre mot de passe de messagerie expire aujourd’hui, cliquez ici pour le conserver. »
• Gain : « L’Assurance Maladie vous doit 214 €, saisissez votre carte pour être remboursé. »
• Autorité : « C’est Claire, je suis en rendez-vous, peux-tu faire un virement urgent à ce nouveau fournisseur ? »

2. Les neuf signaux d’alerte

Cybermalveillance.gouv.fr propose neuf points de contrôle. Un seul signal ne prouve rien, mais plusieurs ensemble doivent vous arrêter.

Du côté de l’expéditeur :

• Point 1 : une alerte de votre logiciel de messagerie ou de votre antivirus.
• Point 2 : un message d’un service dont vous n’êtes ni client ni utilisateur.
• Point 3 : un nom ou une adresse d’expéditeur inhabituel, incohérent, voire fantaisiste.
• Point 4 : un appel d’un numéro inconnu ou masqué.

Du côté du contenu :

• Point 5 : un objet court ou alarmiste.
• Point 6 : une apparence suspecte, comme une mise en forme bâclée, un logo déformé, une personnalisation absente ou erronée (« Cher client »).
• Point 7 : des fautes de français surprenantes.

Du côté de la demande :

• Point 8 : un message aguicheur, inquiétant, ou une demande inhabituelle.
• Point 9 : une incitation à cliquer sur un lien ou à ouvrir une pièce jointe.

Un avertissement s’impose sur le septième point. Les outils d’intelligence artificielle permettent désormais aux fraudeurs d’écrire sans fautes, dans un français naturel, avec votre prénom et le nom de vos fournisseurs. Un message impeccable n’est donc pas un message sûr. La fiche le rappelle : les cybercriminels travaillent en permanence à rendre l’hameçonnage plus crédible. Face à une sollicitation inhabituelle, vérifiez toujours par vous-même.

Avec l’IA. Collez dans un assistant d’IA le texte d’un message suspect, après avoir retiré vos nom, adresse et numéros. Demandez-lui de le passer au crible des neuf points de contrôle. Gardez le dernier mot : l’assistant peut se tromper dans les deux sens. La vérification par un autre canal reste la règle.

Exemples :

• Expéditeur « Service Messagerie » avec une adresse sans rapport avec votre fournisseur : points 3 et 5.
• SMS de livraison alors que vous n’attendez aucun colis : points 2 et 9.
• Courriel sans faute, au bon logo, qui demande de changer le RIB d’un fournisseur : point 8, le plus important.

3. Vérifier un lien, une adresse, un QR code

Avant de cliquer, regardez où mène le lien. Sur ordinateur, placez le pointeur de la souris sur le lien, sans cliquer : l’adresse réelle s’affiche en bas de la fenêtre. Sur téléphone, un appui long affiche l’adresse sans l’ouvrir.

Encore faut-il savoir la lire. Ce qui compte, c’est le nom de domaine : la partie située juste avant la première barre oblique seule, c’est-à-dire juste avant le premier « / » qui suit « https:// ». Lisez-le de droite à gauche.

Le vrai domaine est à la fin : dans une adresse qui commence par impots.gouv.fr.remboursement-dossier.com/, le domaine est remboursement-dossier.com. Le début n’est qu’un décor.

Un seul caractère peut changer : un « l » remplacé par un « 1 », un « m » par « rn », un tiret ajouté. Vérifiez lettre par lettre.

Le cadenas ne prouve rien : il indique que la connexion est chiffrée, pas que le site est honnête. Les sites frauduleux ont presque tous leur cadenas.

Les liens raccourcis cachent leur destination. Méfiance s’ils viennent d’un message inattendu.

Les QR codes sont des liens comme les autres. Un QR code reçu par courriel, collé sur un parcmètre ou glissé dans un courrier peut mener vers une fausse page de paiement.

Le plus sûr reste de ne pas suivre le lien. Allez vous-même sur le site de l’organisme, par un favori que vous avez créé ou par son application officielle.

Avec l’IA. Demandez à un assistant d’IA dix adresses web fictives, dont la moitié imitent des sites connus. Entraînez-vous à trouver le vrai nom de domaine. Ne visitez aucune des adresses proposées : l’exercice se fait uniquement à la lecture.

Exemples :

• https://www.impots.gouv.fr/... : domaine impots.gouv.fr, authentique.
• https://ameli-remboursement.fr/... : domaine ameli-remboursement.fr, sans rapport avec ameli.fr.
• Un QR code dans un courriel « Régularisez votre péage » : on ne le scanne pas, on va sur le site de la société d’autoroute.

4. Pièces jointes, faux RIB et faux conseillers

Certaines tentatives ne demandent pas de cliquer sur un lien. Elles sont souvent plus dangereuses.

La pièce jointe piégée : une « facture », un « bon de commande » ou un « avis de passage » au format compressé, ou un document qui demande d’« activer le contenu ». Son ouverture peut installer un programme malveillant, parfois le premier pas d’un rançongiciel. Une pièce jointe inattendue, même d’un contact connu, se vérifie avant d’être ouverte.

La fraude au changement de RIB : un faux fournisseur, ou un vrai dont la messagerie a été piratée, annonce de nouvelles coordonnées bancaires. C’est ce qu’ont subi les clients de Verdier Architectes en mars, avec la messagerie d’Inès. Règle absolue : tout changement de RIB se confirme par un appel au numéro habituel, jamais par celui du message.

La fraude au président : un message ou un appel au nom du dirigeant demande un virement urgent et confidentiel. La voix peut même être imitée par l’IA. Même règle : on rappelle la personne sur son numéro connu.

Le faux conseiller bancaire : il appelle en connaissant parfois votre nom et votre banque. Il vous demande de lui dicter un code reçu par SMS ou de valider une opération dans votre application. Ce code sert justement à autoriser un paiement ou un nouvel appareil. Aucune banque ne vous le demandera jamais.

Avec l’IA. Demandez à un assistant d’IA de rédiger une règle d’une phrase pour chacune de ces quatre fraudes, à afficher près du poste de la personne qui paie les factures. Exemple attendu : « Un changement de RIB se vérifie toujours par téléphone, au numéro que nous avions déjà. »

Exemples :

• La « facture » compressée du mercredi : Inès appelle le fournisseur, qui n’a rien envoyé ; message supprimé et signalé.
• Un client de l’agence reçoit un avis de changement de RIB : il appelle Claire au numéro du devis et découvre la fraude.
• L’appel du jeudi : Claire raccroche, puis rappelle sa banque au numéro inscrit au dos de sa carte.

5. Les réflexes de prévention

Les conseils de Cybermalveillance.gouv.fr tiennent en quelques habitudes.

Ne communiquez jamais d’informations sensibles par courriel ou par téléphone : mots de passe, codes, coordonnées bancaires. Aucune administration ou entreprise sérieuse ne vous les demandera de cette façon.

Vérifiez par un autre canal : au moindre doute, contactez l’organisme ou la personne par un moyen que vous connaissez déjà, jamais par les coordonnées du message.

Utilisez un mot de passe différent pour chaque service, rangé dans un gestionnaire. Bonus : un gestionnaire ne propose pas votre mot de passe sur une fausse page dont l’adresse diffère du vrai site. S’il reste muet, posez-vous la question.

Activez la double authentification partout où elle existe. Les clés de sécurité et les clés d’accès résistent le mieux aux fausses pages.

Vérifiez la date et l’heure de dernière connexion à vos comptes quand le service le permet, pour repérer un accès que vous n’avez pas fait.

Laissez faire les filtres : activez l’antispam de votre messagerie, gardez navigateur et antivirus à jour. Ils bloquent une partie des pages frauduleuses connues.

Avec l’IA. Demandez à un assistant d’IA comment afficher l’adresse complète de l’expéditeur et l’historique des connexions dans votre messagerie, en précisant laquelle vous utilisez. Vérifiez la manipulation sur l’aide officielle, puis montrez-la à toute l’équipe.

Exemples :

• Le SMS du colis : Tom ne clique pas, il ouvre l’application du transporteur, où aucun colis n’est en attente.
• Le courriel « mot de passe expiré » : Inès se connecte à sa messagerie par son favori habituel ; aucune alerte.
• Julien consulte son compte sur le site de l’Assurance Maladie, tapé à la main : aucun remboursement annoncé.

6. Vous avez cliqué, répondu ou payé

Cela peut arriver à tout le monde, y compris aux plus prudents. L’important est d’agir vite et de le dire.

Vous avez cliqué, sans rien saisir : fermez la page. Lancez une analyse antivirus par précaution et signalez le message.

Vous avez saisi un mot de passe : changez-le immédiatement sur le vrai site, ainsi que partout où vous l’utilisiez. Vérifiez les dernières connexions et, pour une messagerie, les règles de transfert. Activez la double authentification.

Vous avez donné des coordonnées bancaires ou constaté un débit frauduleux : faites opposition immédiatement auprès de votre banque. Conservez les preuves et déposez plainte si des débits ont eu lieu.

Vous avez ouvert une pièce jointe suspecte : déconnectez l’appareil du réseau et prévenez votre prestataire sans attendre. C’est peut-être le début d’une infection.

Vous avez fait un virement vers un faux RIB : appelez votre banque tout de suite pour tenter un rappel des fonds, puis portez plainte.

Dans tous les cas, conservez le message : il sert pour le signalement et la plainte. Si vos informations servent à usurper votre identité, déposez plainte. La plateforme Info Escroqueries conseille les victimes au 0 805 805 817 (appel gratuit) et 17Cyber guide pas à pas.

En entreprise, la règle d’or est simple : celui qui a cliqué prévient tout de suite, sans crainte d’être blâmé. Une alerte donnée en cinq minutes vaut mieux qu’un silence gêné qui laisse le pirate agir toute la journée.

Avec l’IA. Demandez à un assistant d’IA de transformer ces cinq situations en un arbre de décision simple, du type « J’ai cliqué → j’ai saisi quelque chose ? → oui / non ». Imprimez-le et joignez-le à la grille de l’annexe.

Exemples :

• Tom a saisi son mot de passe sur une fausse page : il prévient Inès, change son mot de passe depuis le gestionnaire, la double authentification bloque la connexion du pirate.
• Un client a payé un faux RIB le matin même : sa banque parvient à bloquer une partie des fonds grâce à un appel dans l’heure.
• Un salarié a ouvert une pièce jointe piégée : poste débranché, prestataire appelé, aucune propagation.

7. Signaler et entraîner l’équipe

Signaler protège les autres. Plusieurs plateformes existent, selon ce que vous avez reçu.

Signal Spam (signal-spam.fr) pour les courriels douteux.

Le 33700 pour les SMS et appels suspects : transférez le SMS au 33700 ou signalez-le sur 33700.fr, gratuitement.

Phishing Initiative (phishing-initiative.fr) pour l’adresse d’un site d’hameçonnage : il en fera bloquer l’accès.

L’organisme usurpé : banques, administrations et transporteurs ont souvent une adresse de signalement dédiée.

Internet-signalement.gouv.fr, la plateforme Pharos du ministère de l’Intérieur, pour les contenus illicites.

Côté droit, l’hameçonnage peut relever de l’escroquerie, de la collecte frauduleuse de données personnelles (article 226-18 du code pénal, cinq ans d’emprisonnement et 300 000 euros d’amende), de l’accès frauduleux à un système, de l’usurpation d’identité (article 226-4-1) ou de la contrefaçon de marque.

Dans l’équipe, l’entraînement fait plus que les consignes. Montrez chaque mois un vrai message reçu. Créez un réflexe commun : transférer tout message suspect à une personne désignée, puis le supprimer. Remerciez ceux qui signalent, même à tort.

Avec l’IA. Demandez à un assistant d’IA de préparer un quiz de cinq minutes pour une réunion d’équipe : cinq messages fictifs, certains vrais, d’autres faux, avec la réponse et l’indice décisif. Renouvelez-le chaque trimestre avec des exemples récents.

Exemples :

• Verdier Architectes : une adresse interne « alerte » reçoit les messages suspects ; Inès les signale chaque vendredi à Signal Spam.
• Le SMS du colis est transféré au 33700 par Tom en dix secondes.
• Le faux site de l’Assurance Maladie est signalé par Julien à Phishing Initiative.

Résumé

L’hameçonnage imite un tiers de confiance pour vous faire donner des informations, cliquer ou ouvrir une pièce jointe. Il passe par courriel, SMS, appel ou message. Il joue sur l’urgence, la peur, le gain ou l’autorité.

Neuf signaux doivent vous alerter, mais un message sans faute n’est plus un gage de sérieux. Avant de cliquer, lisez le vrai nom de domaine. Mieux : allez vous-même sur le site par un favori. Tout changement de RIB, toute demande de virement urgent ou de code se vérifie par un appel à un numéro connu.

Si vous avez mordu : changez le mot de passe, faites opposition, débranchez l’appareil selon le cas, conservez le message et prévenez tout de suite. Signalez à Signal Spam, au 33700 ou à Phishing Initiative.

Remplissez la grille et la procédure de l’annexe : c’est la quatrième page du plan de sécurité de votre entreprise.

Questions fréquentes

Comment reconnaître un mail de phishing ?

Regardez l’expéditeur réel, le ton (urgence, menace, cadeau) et la demande (cliquer, payer, donner un code). Placez le pointeur sur les liens pour lire le vrai nom de domaine. Au moindre doute, n’utilisez aucune coordonnée du message : contactez l’organisme par un moyen que vous connaissez.

Ma banque peut-elle me demander un code reçu par SMS ?

Non. Un code reçu par SMS ou une validation dans l’application sert à autoriser une opération ou un appareil. Aucun conseiller ne vous le demandera, même pour « annuler une fraude ». Raccrochez et rappelez votre banque au numéro inscrit sur votre carte ou dans votre application.

J’ai cliqué sur un lien sans rien saisir : suis-je en danger ?

Le risque est faible dans la plupart des cas. Fermez la page, lancez une analyse antivirus et signalez le message. Si un fichier s’est téléchargé ou si l’appareil se comporte bizarrement, déconnectez-le et prévenez votre prestataire.

Le cadenas dans la barre d’adresse garantit-il un site sûr ?

Non. Le cadenas indique seulement que la connexion est chiffrée. Les sites frauduleux l’affichent presque tous. Ce qui compte est le nom de domaine, lu de droite à gauche juste avant la première barre oblique seule.

Où signaler un SMS ou un mail frauduleux ?

Les SMS et appels suspects se signalent au 33700, par SMS ou sur 33700.fr. Les courriels se signalent sur Signal Spam et les adresses de faux sites sur Phishing Initiative. Prévenez aussi l’organisme dont l’identité est usurpée.

Termes clés

• Hameçonnage : technique frauduleuse qui usurpe l’identité d’un tiers de confiance pour obtenir des informations, un clic ou l’ouverture d’une pièce jointe ; en anglais, phishing.
• Ingénierie sociale : manipulation qui exploite les émotions et la confiance, plutôt qu’une faille technique, pour obtenir une information ou une action.
• Nom de domaine : partie d’une adresse web qui identifie le site, placée juste avant la première barre oblique seule, par exemple impots.gouv.fr.
• Usurpation d’identité : fait de se faire passer pour une autre personne ou un autre organisme, puni par l’article 226-4-1 du code pénal.
• Fraude au changement de RIB : escroquerie qui consiste à faire croire au changement des coordonnées bancaires d’un fournisseur pour détourner un paiement.
• Code de validation : code à usage unique, reçu par SMS ou généré par une application, qui autorise une opération ou une connexion.
• Signalement : transmission d’un message ou d’un site frauduleux à une plateforme officielle, pour le faire bloquer et protéger d’autres victimes.

Références

• Cybermalveillance.gouv.fr — Le phishing ou hameçonnage
• Cybermalveillance.gouv.fr — Comment reconnaître un mail de phishing ou d’hameçonnage ?
• Signal Spam — Signaler un courriel
• 33700 — Signaler un SMS ou un appel
• Phishing Initiative — Signaler un site d’hameçonnage
• 17Cyber — Assistance en ligne aux victimes de cybermalveillance

QCM (une seule bonne réponse par question)

Question 1 — L’hameçonnage consiste à :

1. Se faire passer pour un tiers de confiance pour obtenir des informations ou un clic
2. Envoyer une publicité légale à ses clients
3. Effacer les fichiers d’un ordinateur à distance

Question 2 — Lequel de ces éléments n’est pas un signal d’alerte ?

1. Un objet de message alarmiste
2. Un message attendu d’un service dont vous êtes client, sans lien ni demande particulière
3. Une adresse d’expéditeur incohérente

Question 3 — Dans l’adresse https://impots.gouv.fr.remboursement-dossier.com/, le vrai nom de domaine est :

1. impots.gouv.fr
2. gouv.fr
3. remboursement-dossier.com

Question 4 — Le cadenas affiché dans la barre d’adresse signifie :

1. Que le site est officiel
2. Que la connexion est chiffrée, pas que le site est honnête
3. Que le site ne contient aucun virus

Question 5 — Un fournisseur annonce par courriel un changement de RIB. Vous :

1. Mettez à jour ses coordonnées tout de suite
2. Répondez au courriel pour demander confirmation
3. Appelez le fournisseur au numéro que vous aviez déjà

Question 6 — Un « conseiller » de votre banque vous demande de lui dicter le code reçu par SMS pour annuler un virement. Vous :

1. Raccrochez : aucun conseiller ne demande ce code
2. Le dictez, puisqu’il s’agit d’annuler une fraude
3. Dictez seulement la moitié du code

Question 7 — Vous avez saisi votre mot de passe sur une fausse page. Première action :

1. Attendre de voir si quelque chose se passe
2. Changer ce mot de passe sur le vrai site et partout où il servait
3. Supprimer le message et ne rien dire

Question 8 — Un message ne contient aucune faute d’orthographe :

1. Il est forcément légitime
2. Ce n’est plus un critère suffisant : les fraudeurs écrivent désormais sans fautes grâce à l’IA
3. Il vient forcément d’une administration

Question 9 — Vous recevez un SMS frauduleux. Vous le signalez :

1. En le transférant au 33700
2. En répondant STOP
3. En rappelant le numéro qui l’a envoyé

Question 10 — Un gestionnaire de mots de passe aide contre l’hameçonnage parce que :

1. Il bloque tous les courriels suspects
2. Il supprime les virus de l’ordinateur
3. Il ne propose pas votre mot de passe sur une fausse page dont l’adresse diffère

Voir les réponses et les explications

Réponses : 1→1 · 2→2 · 3→3 · 4→2 · 5→3 · 6→1 · 7→2 · 8→2 · 9→1 · 10→3

Explications.

1. L’hameçonnage usurpe une identité de confiance pour voler des données ou faire cliquer.
2. Un message attendu, sans lien ni demande, ne présente aucun des neuf signaux.
3. Le nom de domaine se lit juste avant la première barre oblique seule : tout le reste est décor.
4. Le cadenas chiffre la connexion ; un site frauduleux peut l’avoir.
5. Les coordonnées du message peuvent être fausses : seul un numéro connu permet de vérifier.
6. Ce code autorise une opération : le donner revient à valider soi-même la fraude.
7. Un mot de passe saisi sur une fausse page est compromis ; il faut le changer partout où il servait.
8. L’IA permet des messages impeccables : l’absence de fautes ne prouve plus rien.
9. Le 33700 est la plateforme gratuite de signalement des SMS et appels frauduleux.
10. Le gestionnaire associe chaque mot de passe à l’adresse exacte du vrai site.

Exercices

Exercice 1 — Trier six messages (15 min) Pour chaque message, dites s’il est frauduleux, probablement légitime ou douteux. Citez les indices et l’action à mener.

• a) SMS : « Colis en attente : réglez 1,99 € de frais sur ce lien », avec un lien raccourci.
• b) Courriel de votre banque annonçant qu’un relevé est disponible dans votre espace client, sans lien ni pièce jointe.
• c) Courriel de « Service Messagerie » : « Votre boîte est pleine à 98 %, validez votre compte sous 24 h », avec un lien vers messagerie-support-verif.com.
• d) Courriel d’un fournisseur habituel, depuis son adresse habituelle, avec la facture PDF attendue, au montant du devis.
• e) Appel du « service fraude » de votre banque, depuis un numéro proche de celui de votre agence, qui vous demande de valider une opération dans l’application pour « bloquer un virement ».
• f) Message LinkedIn d’un « recruteur » inconnu avec un lien vers un « dossier de poste » compressé à télécharger.

Exercice 2 — Trouver le vrai nom de domaine (10 min) Pour chaque adresse, écrivez le vrai nom de domaine et dites si elle mène vers le site officiel. Ne visitez aucune adresse.

1. https://www.impots.gouv.fr/accueil
2. https://impots.gouv.fr.remboursement-dossier.com/
3. https://www.ameli.fr/assure
4. https://ameli-remboursement.fr/
5. https://secure.laposte-colis.info/suivi
6. https://www.laposte.fr/outils/suivre-vos-envois
7. https://www.banque-exemple.fr@connexion-client.net/
8. Un lien raccourci reçu par SMS d’un expéditeur inconnu.

Exercice 3 — Rédiger votre procédure « message suspect » (20 min) En dix lignes au plus, écrivez la procédure de votre équipe : à qui transférer un message suspect, comment vérifier (contre-appel, favori), quoi faire si l’on a cliqué, qui signale aux plateformes. Ajoutez la règle sur les changements de RIB et les codes de validation.

Corrections des exercices

Exercice 1 — a) Frauduleux : colis non attendu, petite somme, lien raccourci ; ne pas cliquer, transférer au 33700. b) Probablement légitime : pas de lien ni de demande ; consulter le relevé en ouvrant soi-même l’application de la banque. c) Frauduleux : expéditeur générique, urgence, domaine sans rapport avec votre messagerie ; signaler à Signal Spam. d) Probablement légitime : expéditeur, contexte et montant cohérents ; vigilance si le RIB diffère de d’habitude, contre-appel dans ce cas. e) Frauduleux : appel spontané, numéro imitable, demande de validation ; raccrocher, rappeler la banque au numéro de la carte. f) Douteux à frauduleux : inconnu, pièce jointe compressée, prétexte séduisant ; ne pas télécharger, vérifier le profil et l’entreprise par un autre moyen. Deux messages sur six sont probablement légitimes : l’objectif n’est pas de se méfier de tout, mais de vérifier ce qui demande une action.

Exercice 2 — 1. impots.gouv.fr, officiel. 2. remboursement-dossier.com, frauduleux. 3. ameli.fr, officiel. 4. ameli-remboursement.fr, frauduleux : ce n’est pas ameli.fr. 5. laposte-colis.info, frauduleux. 6. laposte.fr, officiel. 7. connexion-client.net, frauduleux : tout ce qui précède le signe « @ » est ignoré par le navigateur. 8. Destination inconnue : ne pas cliquer. Les adresses 2, 4, 5 et 7 contiennent toutes un nom connu. C’est le principe même de l’imitation.

Exercice 3 — Exemple de Verdier Architectes : « 1. Un message suspect ? Je ne clique pas, je le transfère à alerte@ puis je le supprime. 2. Je vérifie en passant par le favori ou l’application, jamais par le message.

1. Un changement de RIB ou un virement urgent se confirme par téléphone, au

numéro que nous avions déjà. 4. Aucun code reçu par SMS ne se donne à personne. 5. J’ai cliqué et saisi un mot de passe : je le change tout de suite et je préviens Inès. 6. J’ai ouvert une pièce jointe : je débranche le câble et j’appelle le prestataire. 7. Inès signale chaque vendredi à Signal Spam et au 33700. » Une procédure courte, affichée et connue de tous vaut mieux qu’un règlement complet que personne n’a lu.

Annexe — Grille « message suspect »

Avant d’agir sur un message inattendu, passez-le au crible des neuf points de contrôle de Cybermalveillance.gouv.fr.

Point de contrôle	Oui / Non
Alerte de la messagerie ou de l’antivirus
Service dont je ne suis ni client ni utilisateur
Nom ou adresse d’expéditeur inhabituel ou incohérent
Objet court ou alarmiste
Apparence suspecte ou personnalisation absente ou erronée
Message aguicheur, inquiétant ou demande inhabituelle
Fautes de français surprenantes (signal faible : leur absence ne prouve rien)
Incitation à cliquer sur un lien ou à ouvrir une pièce jointe
Appel d’un numéro inconnu ou masqué
Au moins un « oui » : je vérifie par un autre canal avant d’agir

Où signaler ?

Ce que j’ai reçu	Où le signaler
Courriel douteux	signal-spam.fr
SMS ou appel suspect	33700 (SMS gratuit) ou 33700.fr
Adresse d’un faux site	phishing-initiative.fr
Contenu illicite	internet-signalement.gouv.fr
Message suspect reçu au travail	Notre adresse interne d’alerte : à compléter
Victime (débit, usurpation)	Banque (opposition), plainte, Info Escroqueries 0 805 805 817, 17cyber.gouv.fr

La Poste, l’Assurance Maladie et LinkedIn sont cités comme exemples d’organismes dont les fraudeurs usurpent l’identité. Acadigit n’est ni affiliée, ni sponsorisée, ni approuvée par ces organismes, ni par le dispositif Cybermalveillance.gouv.fr. Ce module a été rédigé avec l’aide de l’IA, puis relu, amélioré et validé par Acadigit.