Après cette formation, vous reconnaîtrez une tentative de fraude par e-mail, SMS, messagerie instantanée et conversation téléphonique - et si quelque chose ne va pas, vous saurez quoi faire dès les premières minutes.
L’attaquant n’est pas obligé de créer un message parfait. Il suffit d’un moment de précipitation, de routine ou de curiosité. Votre travail n'est pas de devenir détective. Vous devez interrompre la machine et vérifier la demande via un canal sécurisé.
Le phishing n'est pas un test d'orthographe. Un bon message frauduleux peut sembler sans erreur, connaître le contexte de l’entreprise et provenir d’un compte réel compromis.
"Jusqu'à 14h00", "le compte sera fermé", "le président attend".
Le patron, la banque, les ressources humaines, l'administrateur ou un entrepreneur connu.
Peur, opportunité, curiosité, aider quelqu’un ou vouloir éviter les ennuis.
« Ce message essaie-t-il de me faire agir plus rapidement que je ne prendrais normalement cette décision ? »
La lettre "l" au lieu de "i", la mention "support" ou le vrai nom devant un domaine étranger sont censés vous sembler familiers.
Dans l'adresse, la partie immédiatement avant la fin compte, par ex. exemple.com. Le cadenas signifie le cryptage et non l'intégrité du site.
Le numéro de facture, le nom du patron et le pied de page de l'entreprise peuvent provenir d'une correspondance antérieure.
Au lieu d'un lien, ouvrez une application familière, un signet ou une adresse saisie manuellement.
La forme courte cache les détails. Un numéro inconnu peut utiliser le nom d'un superviseur et une photo provenant d'Internet.
Le numéro à l'écran peut être falsifié. Un véritable service informatique n'a pas besoin de votre mot de passe ou de votre code MFA.
QR est un lien qui ne peut être vu tant qu'il n'a pas été scanné. L'affiche au bureau peut également être modifiée.
Le compte de votre ami a peut-être été piraté. Jugez une demande inhabituelle par l'action à laquelle elle conduit - et pas seulement par la personne à l'écran.
Le message promet un document → une pièce jointe ou un lien HTML ouvre une page de connexion → la page capture le mot de passe → l'escroc demande l'approbation du MFA ou utilise une session piratée.
.zip, .7z, .js, .exe, .iso et les doubles extensions nécessitent des soins particuliers. N'essayez pas de les « vérifier » vous-même.
Cela peut ressembler à un formulaire ou à un écran de connexion. Ce n’est pas parce qu’un fichier s’ouvre dans un navigateur qu’il est sécurisé.
Un document demandant « l'inclusion de contenu » doit arrêter le processus et être examiné.
Refusez la demande. N'approuvez pas simplement par mesure de sécurité. Signalez une série de notifications comme une possible compromission du mot de passe.
Dans Business Email Compromise, le fraudeur se fait passer pour un entrepreneur ou un décideur. Le but est de transférer, modifier le compte, divulguer des données ou contourner la procédure.
Appelez le numéro précédemment enregistré dans le système ou le contrat. N'utilisez pas le numéro fourni dans le message suspect.
Ne contournez pas l'acceptation, les limites ou la règle des deux yeux. La pression au travail ne fait pas exception.
Dans une affaire révélée par le ministère américain de la Justice, de faux courriels, factures et documents ont conduit deux grandes entreprises technologiques à des transferts dépassant les 100 millions de dollars. Il ne s’agissait pas d’un « utilisateur naïf », mais d’une imitation convaincante d’un processus commercial normal.
CERT Polska a décrit une campagne de 2025 dans laquelle l'e-mail contenait un fichier HTML. Une fois ouvert, il affichait un faux écran de connexion par courrier électronique. Leçon : un sujet officiel et un écran familier ne confirment pas l'authenticité.
Dans d'autres campagnes observées par CERT Polska, des sujets bureautiques simples ont conduit à des archives et à des fichiers malveillants. Leçon : un nom de document routinier peut être plus efficace qu’une promesse sensationnelle.
En 2024, les autorités américaines ont décrit une entreprise qui avait envoyé environ 5,4 millions de dollars suite à un message dont l'adresse ressemblait à s'y méprendre à celle de l'entrepreneur. Des rapports rapides ont permis aux autorités de retracer et de sécuriser les fonds. Leçon : La vérification indépendante permet d'économiser de l'argent et les rapports rapides ont une réelle valeur.
Aucune de ces attaques ne nécessitait de technologie magique. Tout le monde a effectué une action familière : se connecter, ouvrir un document ou effectuer un paiement. Par conséquent, votre meilleure défense est un moyen sûr de faire quelque chose, et non une liste de « mots suspects ».
Fermez la page, ne saisissez rien et signalez immédiatement le lien. Le clic en lui-même ne signifie pas un échec : le silence rend la réaction plus difficile.
Contactez immédiatement le service informatique/SOC via un canal connu. Changez votre mot de passe via un itinéraire sécurisé selon les instructions de l'entreprise ; n’approuveront pas d’autres AMF.
Arrêtez de travailler et appelez l'assistance. Ne supprimez pas les traces et n'essayez pas de « nettoyer » l'ordinateur vous-même. Débranchez le réseau conformément à la procédure de l'entreprise.
Appelez immédiatement votre responsable, votre équipe financière, bancaire et de sécurité conformément au plan d'incident. Quelques minutes peuvent faire la différence entre récupérer vos fonds.
Pour réussir : au moins 10/12 réponses et les quatre questions critiques. Après vérification, vous verrez des explications.
Le participant a suivi la formation et démontré sa connaissance des principes de base de la reconnaissance, de la vérification et du signalement des tentatives de phishing.
Il s'agit d'une confirmation de la compétence démontrée lors de la formation, et non d'une garantie de résistance à une éventuelle attaque future.