Phishing : repérer les arnaques qui visent les petites entreprises

« Votre colis n'a pas pu être livré : réglez les frais de réexpédition avant ce soir. » Le SMS arrive en plein coup de feu, entre deux clients, et le lien paraît anodin. Le phishing, ou hameçonnage, consiste à se faire passer pour un interlocuteur de confiance afin d'obtenir un paiement, un mot de passe ou des coordonnées bancaires, et les petites entreprises reçoivent des scénarios taillés pour leur quotidien.

Ce que cherchent les escrocs

Un message de phishing poursuit l'un de ces trois buts : vous faire payer une somme indue, vous faire saisir vos identifiants sur une fausse page ou obtenir vos coordonnées bancaires. Pour y parvenir, il joue presque toujours sur les mêmes ressorts :

• l'urgence : « avant ce soir », « dernier avis », « suspension imminente » ;
• l'autorité : une banque, une administration, Google, un transporteur ;
• la routine : une facture qui ressemble à celles que vous réglez chaque mois ;
• la peur de perdre quelque chose : votre page Facebook, votre fiche, votre nom de domaine.

Les scénarios les plus fréquents

La fausse facture et le changement de RIB

Un e-mail aux couleurs d'un fournisseur, de votre comptable ou de votre bailleur annonce de nouvelles coordonnées bancaires pour les prochains règlements. Le message peut provenir de la vraie adresse, si la messagerie de votre interlocuteur a été piratée, et s'insérer dans une conversation en cours. Une règle simple déjoue ce piège : tout changement de RIB se confirme par téléphone, au numéro que vous connaissez déjà. Autre variante, la facture d'un service jamais commandé, souvent une inscription dans un annuaire, qui compte sur l'inattention de la personne qui paie.

Le faux renouvellement de nom de domaine

Un courrier ou un e-mail réclame le paiement du renouvellement de votre domaine, au nom d'une société avec laquelle vous n'avez jamais traité. Les variantes de cette arnaque sont détaillées dans l'article sur les fausses factures de nom de domaine.

L'appel au sujet de votre fiche Google

Un interlocuteur se présente comme un partenaire de Google et menace de désactiver votre fiche si vous ne payez pas une « mise à jour » ou une « certification ». La fiche d'établissement est gratuite : aucun paiement n'est nécessaire pour la conserver ou la vérifier. L'article sur les arnaques au référencement décrit ces démarchages.

Le colis, l'amende ou le remboursement

Un SMS signale un colis bloqué, une amende impayée ou un remboursement en attente, avec un lien vers une page qui imite un transporteur ou un site public. Elle réclame quelques euros, puis votre numéro de carte, voire le code de validation envoyé par votre banque.

La fausse alerte de Meta ou de votre banque

Un message annonce la suppression prochaine de votre page Facebook pour une prétendue violation de droits d'auteur, et vous invite à « faire appel » sur un formulaire qui demande vos identifiants. Autre variante, un faux conseiller bancaire appelle, parfois en affichant par usurpation le numéro de votre agence, et vous demande de valider une opération « pour l'annuler ».

Vérifier avant d'agir

Prenez trente secondes avant de cliquer, de payer ou de rappeler. Quatre contrôles suffisent dans la plupart des cas :

1. L'adresse de l'expéditeur : regardez le domaine situé après le « @ », qui peut imiter le vrai à une lettre près.
2. La destination du lien : survolez-le avec la souris, ou appuyez longuement dessus sur le téléphone, pour afficher l'adresse réelle.
3. La demande : un paiement inhabituel, un mot de passe ou un code reçu par SMS doivent vous arrêter. Aucun service sérieux ne vous demande de lui dicter un code de validation.
4. Le canal : vérifiez par un autre moyen, en vous connectant vous-même au site habituel ou en appelant le numéro inscrit sur vos documents.

Un gestionnaire de mots de passe ajoute une protection : il ne remplit vos identifiants que sur l'adresse du vrai site, et son silence sur une page de connexion doit vous alerter.

Vous avez cliqué ou payé : les bons réflexes

• Identifiants saisis : changez le mot de passe depuis un appareil sain, activez la double authentification et déconnectez les sessions ouvertes. Contrôlez aussi les règles de transfert de votre messagerie, que les pirates ajoutent pour lire vos e-mails en silence.
• Carte bancaire communiquée : faites opposition immédiatement auprès de votre banque.
• Virement effectué : appelez votre banque sans attendre et demandez s'il est encore possible de bloquer ou de rappeler les fonds.
• Messagerie utilisée par l'escroc : prévenez clients et fournisseurs qu'ils ont pu recevoir de faux messages en votre nom.

Conservez les preuves (e-mails, SMS, captures d'écran, relevés), puis portez plainte auprès de la police ou de la gendarmerie si vous avez perdu de l'argent ; service-public.fr présente les démarches possibles, dont certaines en ligne.

Signaler et préparer l'équipe

Signaler une tentative aide à bloquer les suivantes. Selon le cas :

• transférez les SMS frauduleux au 33700, le numéro de signalement des spams ;
• signalez les e-mails suspects sur signal-spam.fr ;
• consultez cybermalveillance.gouv.fr, le dispositif public d'assistance, qui guide les victimes selon leur situation et les oriente vers des professionnels.

La personne la plus exposée est souvent celle qui ouvre le courrier ou règle les factures. Fixez avec elle trois règles : qui valide un paiement, comment se confirme un changement de RIB, et l'interdiction de dicter un code au téléphone, quel que soit l'interlocuteur.

Dès aujourd'hui

1. Formalisez la règle du rappel pour tout changement de coordonnées bancaires, et partagez-la avec la personne qui paie les factures.
2. Activez la double authentification sur votre messagerie et votre page Facebook, puis contrôlez les règles de transfert de votre boîte mail.
3. Enregistrez le 33700 et l'adresse cybermalveillance.gouv.fr dans votre téléphone.
4. Rapprochez toute facture liée à votre site de votre devis : avec des prix fixes et publics, comme ceux de notre page tarifs, un écart se repère d'un coup d'œil.