Nous sommes régulièrement contactés par des clients après une fraude par e-mail.

Un compte compromis, une fausse facture payée, des informations personnelles communiquées à un fraudeur… Et dans de nombreux cas, on nous dit la même chose :

« L’e-mail semblait parfaitement normal. »

C’est précisément là que se trouve le problème.

Les tentatives de phishing ne ressemblent plus forcément aux messages grossiers et avec de fautes d’orthographe que nous avons appris à identifier. Elles peuvent aujourd’hui être très bien présentées, personnalisées et surtout parfaitement cohérentes avec votre situation. Le fraudeur ne cherche plus uniquement à vous faire cliquer. Il recherche à vous faire confiance.

Un faux e-mail peut commencer par une demande très banale

Imaginez recevoir un e-mail de votre fournisseur d’électricité, de gaz, de télécommunication ou d’un service que vous utilisez régulièrement.

Le logo est présent. La mise en page est professionnelle. Le message vous appelle par votre nom.

On vous demande simplement de confirmer une information : « Afin de mettre à jour votre dossier, veuillez confirmer votre numéro de compteur. »

Rien de particulièrement inquiétant. Vous cliquez sur le lien, arrivez sur une page qui ressemble au site officiel et renseignez quelques informations :

• votre nom ;
• votre prénom ;
• votre adresse e-mail ;
• votre numéro de client ;
• votre numéro de compteur.

Vous pensez avoir simplement effectué une formalité administrative. Mais ces informations ont de la valeur.

Le fraudeur connaît maintenant un peu mieux sa victime. Il peut éventuellement utiliser ces informations pour préparer une nouvelle attaque, par e-mail ou par téléphone, avec un message beaucoup plus crédible.

C’est une technique particulièrement efficace : obtenir quelques informations aujourd’hui pour rendre la prochaine tentative beaucoup plus convaincante.

Quand le fraudeur connaît déjà votre entreprise

Le scénario peut être encore plus dangereux lorsqu’une boîte e-mail a été compromise.

Imaginons qu’un fraudeur ait obtenu l’accès à une boîte mail professionnelle à cause d’un mot de passe trop faible, réutilisé sur plusieurs services ou jamais changé depuis plusieurs années.

Il ne va pas nécessairement envoyer immédiatement des milliers de messages.

Il peut commencer par observer.

• Il regarde les échanges.
• Les devis.
• Les commandes.
• Les factures.
• Les fournisseurs.
• Les clients.
• Les montants.
• Les habitudes de communication.

Et surtout, il cherche les opérations financières intéressantes.

La fausse facture que vous attendiez réellement

Imaginez que votre entreprise attende effectivement une facture ou le règlement d’une commande.

Le fraudeur dispose des informations nécessaires.

Il peut alors envoyer un message qui ressemble parfaitement à un échange professionnel habituel :

« Bonjour,
Suite à notre échange concernant le devis, veuillez trouver ci-joint les coordonnées nécessaires au règlement. »

Le montant peut être de quelques centaines d’euros… ou de plusieurs milliers.

Dans certains cas, la fraude porte sur une petite somme : 2,88 € pour une prétendue régularisation de frais de parking, par exemple.

Dans d’autres, le montant peut être beaucoup plus important.

Et le piège fonctionne justement parce que le contexte est crédible.

Vous ne recevez pas un e-mail sorti de nulle part.

Vous recevez un e-mail qui semble correspondre à une opération que vous connaissez.

Le changement de coordonnées bancaires : le signal d’alerte à ne jamais négliger

Un cas mérite une attention particulière : la modification des coordonnées bancaires. Un fournisseur vous informe : « Pour vos prochains règlements, merci d’utiliser notre nouveau compte bancaire. » Même si le message semble parfaitement authentique, ne modifiez jamais les coordonnées bancaires sur la seule base d’un e-mail. Vérifiez la demande par un autre moyen.

Appelez votre interlocuteur avec le numéro que vous utilisez habituellement. Contactez l’entreprise via son site officiel.

Et surtout, n’utilisez pas simplement le numéro de téléphone ou le lien indiqué dans le message suspect pour effectuer cette vérification.

Une demande inhabituelle doit être vérifiée par un canal indépendant.

Cette simple habitude peut éviter des pertes financières considérables.

Pourquoi les fautes d’orthographe ne suffisent plus

Pendant longtemps, l’une des recommandations les plus courantes était : « Regardez les fautes d’orthographe. »

C’est toujours un indice, mais ce n’est plus une méthode suffisante. Les messages frauduleux sont aujourd’hui de mieux en mieux rédigés. Les fraudeurs peuvent personnaliser leurs messages et utiliser les informations qu’ils ont déjà récupérées.

Résultat : un e-mail parfaitement écrit n’est pas nécessairement un e-mail fiable.

La bonne question n’est donc plus seulement : « Est-ce que cet e-mail ressemble à un vrai e-mail ? »

Mais plutôt : « Est-ce que cette demande est réellement cohérente et ai-je vérifié son origine ? »

Les fraudeurs jouent aussi sur l’urgence

Une autre technique revient très souvent : vous empêcher de réfléchir.

• « Votre compte sera suspendu dans 24 heures. »
• « Dernier rappel. »
• « Votre paiement est en attente. »
• « Votre commande ne pourra être expédiée sans confirmation. »

Le principe est simple : créer suffisamment d’urgence pour que vous agissiez avant de vérifier.

Notre conseil est tout aussi simple :

Plus une demande est urgente, plus prenez le temps de la vérifier. L’urgence créée par l’expéditeur ne doit pas devenir votre urgence.

Avant de cliquer, de transmettre ou de payer : prenez quelques secondes

Il n’est pas nécessaire d’être expert en informatique pour adopter de bons réflexes.

Avant de cliquer

• Est-ce que j’attendais réellement ce message ?
• Est-ce que l’adresse de l’expéditeur est cohérente ?
• Où le lien va-t-il réellement m’envoyer ?
• Le message cherche-t-il à me faire agir rapidement ?

Avant de transmettre des informations

• Est-ce que cette information est réellement nécessaire ?
• Suis-je bien sur le site officiel du service ?
• Puis-je accéder directement à mon compte sans passer par le lien reçu ?

Avant de payer

• Est-ce que cette facture ou cette commande est bien réelle ?
• Le montant correspond-il à ce qui était prévu ?
• Les coordonnées bancaires correspondent-elles à celles que je connais ?
• Y a-t-il eu une modification inhabituelle ?
• Ai-je vérifié la demande par un autre moyen ?

Et si vous avez déjà cliqué ?

La première chose à faire est de ne pas paniquer et de ne pas attendre.

Si vous avez simplement cliqué sur un lien, fermez la page et ne renseignez aucune information supplémentaire.

Si vous avez communiqué un mot de passe, modifiez-le immédiatement depuis le véritable site du service concerné.

Important : Et si ce mot de passe est utilisé sur d’autres services, changez-le également.

Si vous avez communiqué des informations bancaires ou effectué un paiement, contactez votre banque le plus rapidement possible en utilisant ses coordonnées officielles.

Si vous pensez qu’une boîte e-mail a été compromise, il faut également sécuriser le compte et vérifier notamment les connexions, les moyens de récupération et les éventuelles règles de transfert automatique mises en place dans la boîte mail.

Enfin, conservez toutes les preuves : e-mails, pièces jointes, captures d’écran, coordonnées bancaires, confirmations de paiement et adresses des sites visités.

Plus une fraude est détectée rapidement, plus il est possible de limiter ses conséquences.

La sécurité ne repose pas uniquement sur la technologie

Un antivirus, un filtre anti-spam ou une solution de sécurité sont indispensables.

Mais aucune technologie ne peut empêcher quelqu’un de faire volontairement un virement après avoir reçu une demande qui lui semble légitime.

La sécurité repose donc sur plusieurs éléments :

des outils correctement configurés, des comptes protégés, des mots de passe robustes, une authentification renforcée et surtout des utilisateurs sensibilisés.

C’est particulièrement important en entreprise.

Car lorsqu’un compte professionnel est compromis, les conséquences peuvent dépasser largement la personne qui s’est fait piéger.

Un fraudeur peut accéder à des échanges avec des clients, des fournisseurs ou des partenaires et utiliser ces informations pour préparer de nouvelles attaques.

La victime initiale peut alors devenir, sans le savoir, le point de départ d’une nouvelle fraude.

Chez Pomme-Z, nous préférons prévenir que réparer

Une fraude par e-mail peut avoir des conséquences financières, mais aussi administratives, commerciales et informatiques.

• Un paiement effectué au mauvais destinataire.
• Un fournisseur qui affirme ne jamais avoir reçu son règlement.
• Un client qui reçoit une fausse demande de paiement.
• Une boîte mail compromise.
• Des données personnelles exposées.
• Des collaborateurs qui ne savent plus quels messages sont fiables.

Et parfois, plusieurs semaines de travail pour comprendre ce qui s’est réellement passé.

C’est pourquoi la sécurité ne devrait pas commencer après l’incident.

Chez Pomme-Z, nous accompagnons les entreprises dans la sécurisation de leur environnement informatique et dans la mise en place de bonnes pratiques adaptées à leur réalité.

L’objectif n’est pas de transformer chaque collaborateur en expert en cybersécurité.

L’objectif est de donner à chacun les bons réflexes et de mettre en place les protections nécessaires avant que le problème ne survienne.

Découvrez comment nous pouvons vous aider

Contactez-nous pour un rendez-vous personnalisé et découvrez comment nous pouvons vous aider à protéger vos données : THOMAS@POMME-Z.BE