Le phishing n'a pas besoin de failles techniques sophistiquées : il exploite la confiance, la fatigue et l'urgence. Un seul clic d'un collaborateur pressé peut suffire à livrer des identifiants de messagerie, à installer un logiciel malveillant ou à déclencher un virement frauduleux. La bonne nouvelle, c'est que la plupart des tentatives laissent des traces visibles — à condition de savoir où regarder.
Voici les cinq réflexes que nous enseignons lors de nos sessions de sensibilisation. Ils prennent quelques secondes et évitent l'essentiel des pièges.
Réflexe n°1 : vérifier l'expéditeur réel, pas le nom affiché
Le nom affiché (« Service Comptabilité », « Direction Générale », « Microsoft 365 ») se falsifie en une seconde. Ce qui compte, c'est l'adresse complète, et surtout le domaine après le @.
- Domaines imitant le vôtre :
opencIoud.sn(un i majuscule à la place du l),opencloud-sn.com,opencloud.sn.secure-login.net. - Adresses personnelles pour un sujet professionnel : un « directeur » qui écrit depuis une adresse Gmail.
- Adresse de réponse différente de l'adresse d'envoi.
Réflexe n°2 : se méfier de l'urgence et de la pression
L'attaquant veut vous empêcher de réfléchir. Il fabrique donc une urgence ou une menace : « votre compte sera suspendu dans 24 heures », « dernier rappel avant pénalités », « je suis en réunion, j'ai besoin que tu règles ça tout de suite ».
Un message qui combine urgence, confidentialité (« n'en parle à personne ») et demande d'action inhabituelle doit déclencher un arrêt immédiat. Les vraies urgences survivent à un appel de vérification de deux minutes.
Réflexe n°3 : survoler les liens avant de cliquer
Sur ordinateur, passez la souris sur le lien sans cliquer : l'adresse de destination s'affiche en bas de la fenêtre. Sur mobile, appuyez longuement. Posez-vous trois questions :
Le domaine est-il le bon ?
Lisez-le de droite à gauche à partir du premier « / ». Dans
banque.sn.verification-compte.com/login, le vrai domaine estverification-compte.com, pas votre banque.Le lien correspond-il au texte ?
Un bouton « Accéder à votre facture » qui pointe vers un service de partage de fichiers inconnu est un signal fort.
Demande-t-on de se connecter ?
Une page de connexion atteinte depuis un email est suspecte par nature. Passez plutôt par vos favoris ou en tapant l'adresse vous-même.
Réflexe n°4 : traiter les pièces jointes comme des colis inconnus
Factures, bons de commande, CV, avis de livraison : les pièces jointes piégées imitent le quotidien. Soyez particulièrement vigilant avec :
- Les documents Office qui demandent d'« activer le contenu » ou les macros.
- Les archives
.zip,.rarou.iso, surtout protégées par un mot de passe fourni dans le message. - Les fichiers
.htmlou.htm, qui ouvrent une fausse page de connexion directement dans le navigateur. - Les doubles extensions du type
facture.pdf.exe.
Réflexe n°5 : vérifier toute demande inhabituelle par un autre canal
La fraude la plus coûteuse n'est pas toujours la plus technique. Dans la fraude au président ou au changement de coordonnées bancaires, aucun lien ni pièce jointe : seulement un email crédible demandant un virement ou la mise à jour du RIB d'un fournisseur.
La parade est organisationnelle : toute demande de virement, de changement de coordonnées bancaires, de cartes cadeaux ou de transfert de fonds via mobile money est confirmée par téléphone, sur un numéro déjà connu — jamais celui indiqué dans le message.
| Exemple rencontré | Signal d'alerte | Bon réflexe |
|---|---|---|
| « Votre boîte mail est pleine, validez votre compte » | Lien vers une page de connexion hors de votre domaine | Ne pas cliquer, signaler à l'IT |
| Un fournisseur annonce un nouveau RIB | Changement bancaire par simple email | Rappeler le fournisseur sur le numéro habituel |
| Le « DG » demande un paiement urgent et confidentiel | Urgence + secret + adresse externe | Vérifier de vive voix avant toute action |
| Avis de colis avec frais de livraison à régler | Petit montant, lien raccourci | Passer par le site officiel du transporteur |
Vous avez cliqué ? Voici quoi faire
L'erreur arrive, même aux plus prudents. Ce qui fait la différence, c'est la vitesse de réaction — et une culture où l'on signale sans crainte d'être blâmé.
- Déconnectez le poste du réseau si une pièce jointe a été ouverte.
- Changez immédiatement le mot de passe saisi, depuis un autre appareil.
- Prévenez l'équipe informatique sans attendre, en décrivant ce qui s'est passé.
- Signalez le message avec le bouton prévu à cet effet plutôt que de le transférer à vos collègues.
En résumé
- Vérifiez le domaine de l'expéditeur, pas le nom affiché.
- Urgence, secret et demande inhabituelle : stop, on vérifie.
- Survolez les liens et ne vous connectez jamais depuis un email.
- Méfiez-vous des macros, archives et fichiers HTML en pièce jointe.
- Confirmez tout paiement ou changement bancaire par téléphone.
Besoin d'un regard expert sur votre situation ?
Nos ingénieurs évaluent votre environnement et vous proposent un plan d'action concret, avec une preuve de concept gratuite et sans engagement.
Intégrateur cybersécurité et infrastructures IT à Dakar, partenaire ManageEngine, Palo Alto Networks, Cloudflare et Veeam. Nos articles s'appuient sur ce que nous observons chaque jour sur le terrain, chez nos clients publics et privés.