Un email bien imité, un lien cliqué en trois secondes, et c’est tout un système d’information qui bascule. Le phishing reste la porte d’entrée la plus utilisée contre les PME, loin devant les failles techniques pures. Ce n’est pas une question de mauvaise chance : ce sont des erreurs précises, répétées, qui ouvrent la voie.
En bref
Le phishing touche les PME principalement à cause de trois erreurs : une messagerie sans filtrage renforcé, une équipe jamais mise à l’épreuve par des simulations, et une absence de procédure claire en cas de clic sur un lien piégé. Selon Cybermalveillance.gouv.fr, l’hameçonnage représente 16 % des diagnostics réalisés auprès des professionnels en 2025, en hausse de 29 % sur un an, juste derrière la compromission de compte qu’il déclenche souvent lui-même.
Corriger ces erreurs ne demande pas un budget de grande entreprise : cela suppose une méthode, une chaîne de réaction documentée et des vérifications techniques simples sur la messagerie professionnelle.
Pourquoi les PME restent la cible privilégiée du phishing
Les attaquants privilégient les PME parce que la surface d’attaque humaine y est large et rarement testée. Une entreprise de 20 à 100 salariés a autant de boîtes mail exposées qu’un grand groupe, avec beaucoup moins de filtrage, de formation ou de procédure de réaction. Cybermalveillance.gouv.fr classe l’hameçonnage au deuxième rang des menaces déclarées par les professionnels en 2025, juste derrière la compromission de compte, qui commence elle-même très souvent par un email de phishing réussi.
Un email de phishing ne vise pas systématiquement à voler des identifiants. Il sert aussi de premier pas vers un rançongiciel, une fraude au virement ou une usurpation de fournisseur. C’est cette chaîne complète, du clic initial à l’impact financier, qui explique pourquoi le sujet dépasse largement la seule messagerie et rejoint des enjeux déjà traités côté infrastructure et sécurité.
Les erreurs qui ouvrent réellement la porte
Trois erreurs reviennent dans la quasi-totalité des incidents traités par les PME. La première : une messagerie configurée par défaut, sans réécriture ni analyse des liens au moment du clic, qui laisse passer des URL modifiées après réception. La deuxième : l’absence totale de mise à l’épreuve, personne dans l’équipe n’a jamais reçu de simulation d’hameçonnage, donc personne ne sait reconnaître le signal au moment critique.
La troisième erreur, la plus coûteuse, concerne l’après-clic : aucune procédure écrite ne dit qui prévenir, dans quel ordre, ni quels comptes changer en priorité. Ces trois manques se combinent souvent avec une gestion des mots de passe déjà fragile, un point détaillé dans notre article sur la gestion des mots de passe en PME.
| Erreur fréquente | Conséquence directe | Correction prioritaire |
|---|---|---|
| Filtrage mail basique, sans analyse au clic | Lien réécrit après réception, non détecté | Filtrage anti-hameçonnage avec vérification dynamique des liens |
| Aucune campagne de simulation | Équipe non préparée face à un email crédible | Simulations régulières avec scénarios variés |
| Pas de procédure post-incident | Réaction lente, perte de temps critique | Fiche réflexe connue de tous, testée une fois par an |
| Authentification par mot de passe seul | Un identifiant volé suffit à entrer | Double authentification sur messagerie et accès distants |
| Bannière externe absente | Usurpation de dirigeant difficile à repérer | Signalement visuel des emails venant de l’extérieur |
Reconnaître un message frauduleux avant de cliquer
La CNIL rappelle qu’aucun organisme légitime ne demande un code de carte bancaire ou un mot de passe par email. C’est le signal le plus fiable, avant même la forme du message. Un texte impersonnel envoyé à de nombreux destinataires, un expéditeur inconnu ou une adresse légèrement différente de l’originale (une lettre ajoutée, un domaine proche) doivent systématiquement déclencher une vérification.
Autre réflexe simple et efficace : survoler un lien avant de cliquer pour voir sa destination réelle, sans se fier au texte affiché. Les fraudeurs modifient parfois un seul caractère dans une URL pour tromper une lecture rapide. Cybermalveillance.gouv.fr recommande aussi de ne jamais transmettre de données sensibles par téléphone ou email et de privilégier un gestionnaire de mots de passe pour éviter la réutilisation d’un même identifiant sur plusieurs services.
Ce qu’il faut mettre en place, dans l’ordre
La correction se fait par étapes, pas d’un bloc. Voici l’ordre qui a le plus d’impact rapporté au temps investi :
- Activer le filtrage anti-hameçonnage avancé sur la messagerie professionnelle, avec analyse des liens au moment du clic et non uniquement à la réception.
- Ajouter une bannière de signalement sur tout email provenant de l’extérieur de l’entreprise, pour repérer les tentatives d’usurpation de dirigeant.
- Déployer une authentification à double facteur sur la messagerie, les accès distants et les comptes à privilèges.
- Lancer des simulations de phishing à échéance régulière, avec des scénarios qui évoluent pour éviter l’effet d’habitude.
- Rédiger une fiche réflexe courte indiquant qui contacter et quels comptes bloquer en cas de clic suspect.
Ces mesures rejoignent une logique déjà posée pour tout plan de reprise d’activité : anticiper coûte toujours moins cher que subir.
Note terrain Lead4you
Sur les diagnostics menés en PME, le point qui revient presque à chaque fois n’est pas technique : c’est l’absence de désignation claire d’un référent en cas d’incident. Le filtrage anti-hameçonnage est souvent déjà partiellement actif, mais personne ne sait qui prévenir un dimanche soir si un comptable a cliqué sur une fausse facture. Le premier chantier utile n’est donc pas un nouvel outil, c’est une fiche d’une page, testée une fois, avec des noms et des numéros à jour.
Que faire si un collaborateur a déjà cliqué
La priorité immédiate dépend de ce qui a été transmis. Si des identifiants bancaires ont été saisis, il faut contacter la banque sans délai pour bloquer les opérations en cours. Si des mots de passe ont été communiqués, ils doivent être changés sur tous les comptes où ils étaient réutilisés, pas uniquement sur le service visé.
Cybermalveillance.gouv.fr recommande ensuite de conserver une trace du message (capture, en-têtes complets) avant suppression, de signaler l’email via Signal Spam et, en cas de préjudice financier, de déposer plainte. Ce même réflexe de documentation facilite une éventuelle déclaration à l’assurance en cas de préjudice avéré.
Checklist rapide
- Filtrage anti-hameçonnage actif avec analyse des liens au clic
- Bannière visuelle sur les emails externes
- Double authentification sur messagerie et accès distants
- Simulation de phishing programmée dans l’année
- Fiche réflexe post-incident connue et testée
- Mots de passe uniques, gérés via un outil dédié
Demander un diagnostic technique Lead4you
À lire ensuite
Sources et repères utiles
FAQ
Qu’est-ce que le phishing exactement ?
C’est une technique de fraude par email, SMS ou téléphone qui imite un organisme connu (banque, administration, fournisseur) pour obtenir des identifiants ou déclencher un paiement. Le message reproduit l’apparence d’une communication légitime tout en redirigeant vers un site ou un contact frauduleux.
Le phishing touche-t-il vraiment autant les petites structures ?
Oui. Cybermalveillance.gouv.fr situe l’hameçonnage au deuxième rang des menaces déclarées par les professionnels en 2025, avec une hausse de 29 % sur un an. Les PME sont concernées au même titre que les grandes structures, avec généralement moins de protections en place.
Une simple formation suffit-elle à réduire le risque ?
Elle aide, mais ne suffit pas seule. Une équipe formée reste vulnérable sans filtrage technique renforcé ni procédure de réaction. L’efficacité vient de la combinaison des trois : outil, formation régulière et fiche réflexe testée.
Quel est le premier réflexe en cas de doute sur un email ?
Ne pas cliquer, survoler le lien pour vérifier sa destination réelle, et contacter directement l’organisme concerné par un canal connu (pas celui indiqué dans l’email). En contexte professionnel, prévenir le service informatique avant toute action.
Que faire si des mots de passe ont déjà été transmis ?
Les changer immédiatement, y compris sur tout autre service où ils étaient réutilisés. Activer la double authentification si ce n’est pas déjà fait, et surveiller les comptes concernés dans les jours suivants.
Le phishing est-il couvert par une cyberassurance ?
Cela dépend du contrat souscrit et des conséquences de l’incident (fraude au virement, rançongiciel consécutif, perte de données). Le sujet mérite d’être vérifié en amont plutôt qu’après un incident.