Une fausse facture, un document partagé, une alerte Microsoft 365 ou une demande urgente du dirigeant : les e-mails de phishing imitent désormais très efficacement les messages professionnels.
En 2025, l’hameçonnage représentait 16 % des demandes d’assistance des entreprises et associations, en hausse de 29 %. Le piratage de comptes, souvent consécutif au vol d’identifiants, est devenu leur première menace.
Avant de cliquer, prenez 30 secondes pour effectuer cinq vérifications.
1. Vérifiez l’adresse complète de l’expéditeur
Le nom affiché ne suffit pas. Un pirate peut faire apparaître « Microsoft », « Service comptabilité » ou même le nom d’un collègue tout en utilisant une adresse différente.
Regardez précisément ce qui figure après le symbole @ :
- facturation@entreprise-partenaire.fr peut sembler cohérent ;
- facturation.entreprise@gmail.com doit éveiller votre vigilance ;
- support@micros0ft-securite.com imite une marque en remplaçant une lettre par un chiffre.
Une adresse inhabituelle, mal orthographiée ou sans rapport avec l’organisation annoncée constitue un signal d’alerte.
2. Repérez l’urgence ou la pression
Un e-mail de phishing cherche souvent à empêcher la réflexion :
- « Votre compte sera suspendu dans une heure » ;
- « Facture impayée : dernier rappel » ;
- « Répondez-moi immédiatement » ;
- « Ce virement doit rester confidentiel » ;
- « Votre mot de passe expire aujourd’hui ».
L’urgence ne prouve pas à elle seule qu’un message est frauduleux. En revanche, elle doit vous inciter à ralentir et à vérifier la demande par un autre moyen.
Un dirigeant, un fournisseur ou un collègue réclame une action inhabituelle ? Appelez-le en utilisant son numéro habituel, et non celui indiqué dans le message.
3. Survolez le lien sans cliquer
Un bouton peut afficher « Consulter le document » tout en redirigeant vers un tout autre site.
Sur ordinateur, placez le curseur sur le lien sans cliquer. L’adresse de destination apparaît généralement en bas de l’écran. Vérifiez notamment :
- le nom de domaine ;
- les fautes ou caractères supplémentaires ;
- les imitations comme micros0ft, impots-gouv ou office365-verification ;
- les adresses très longues ou sans rapport avec le message.
Parfois, un seul caractère distingue le faux site du véritable. Cybermalveillance.gouv.fr recommande de contrôler l’adresse avant tout clic et de ne jamais se fier uniquement à l’apparence de la page.
Dans le doute, ouvrez vous-même le site officiel depuis votre navigateur ou vos favoris.
4. Questionnez la demande
Un message doit être considéré comme suspect lorsqu’il vous demande de :
- communiquer un mot de passe ;
- saisir vos identifiants pour lire un document ;
- transmettre des coordonnées bancaires ;
- modifier le RIB d’un fournisseur ;
- ouvrir une pièce jointe inattendue ;
- valider rapidement un paiement ;
- télécharger un logiciel ou une mise à jour.
En 2025, les campagnes visant les professionnels ont notamment utilisé de faux documents à télécharger, de fausses factures et de prétendues procédures de renouvellement de mot de passe Microsoft 365 ou Zimbra.
Une entreprise sérieuse ne vous demandera jamais de lui communiquer votre mot de passe par e-mail.
5. Ne vous fiez pas uniquement aux fautes
Les fautes d’orthographe, les logos flous et les formulations maladroites restent des signes possibles. Mais certains messages sont aujourd’hui correctement rédigés, personnalisés avec le nom du destinataire et enrichis d’informations provenant de fuites de données.
Cybermalveillance.gouv.fr observe une personnalisation croissante des campagnes de phishing. Un message peut donc mentionner votre entreprise, votre banque, un véritable fournisseur ou une commande récente tout en étant frauduleux.
La bonne question n’est plus seulement : « Ce message est-il bien écrit ? », mais plutôt : « Cette demande est-elle cohérente et attendue ? »
Le test des 30 secondes
Avant toute action, posez-vous ces cinq questions :
- L’adresse de l’expéditeur est-elle exacte ?
- La demande était-elle attendue ?
- Le message essaie-t-il de me mettre sous pression ?
- Le lien mène-t-il réellement au site annoncé ?
- Puis-je vérifier la demande par un autre canal ?
Un seul doute suffit pour ne pas cliquer et transmettre le message au service informatique.
Que faire face à un message suspect ?
Ne répondez pas, n’ouvrez pas la pièce jointe et ne cliquez pas sur le lien. Conservez le message et signalez-le au service informatique ou au prestataire de l’entreprise.
Il peut également être transmis à Signal Spam. L’adresse d’un faux site peut être signalée à Phishing Initiative afin de contribuer à son blocage.
MB2I accompagne les entreprises dans la sécurisation de leurs messageries et la sensibilisation de leurs collaborateurs. Face au phishing, la technologie est indispensable, mais le premier niveau de protection reste la capacité de chacun à identifier une demande inhabituelle.
Sources :
- Principales cybermalveillances visant les professionnels en 2025, Cybermalveillance.gouv.fr, mai 2026.
- L’hameçonnage en 2025 : une menace massive et diversifiée, Cybermalveillance.gouv.fr, juin 2026.
- Comment reconnaître un e-mail de phishing ?, Cybermalveillance.gouv.fr, mise à jour en février 2026.