Le message arrive dans une conversation connue. Il reprend la signature de votre collègue et évoque un dossier sur lequel vous travaillez réellement. Un lien propose de consulter une pièce jointe, puis une page demande de vous reconnecter. Rien, dans cette mise en scène, n’oblige l’attaquant à usurper grossièrement un nom : il peut utiliser le vrai compte de votre interlocuteur.
Une boîte compromise change la valeur des indices habituels.
L’adresse correcte et les échanges précédents restent utiles, mais ils ne suffisent plus à valider une demande. Le contrôle doit porter sur l’action sollicitée, surtout lorsqu’elle implique un paiement, un mot de passe ou l’installation d’un logiciel.
Une vraie adresse ne prouve pas une intention légitime
L’usurpation d’adresse et la prise de contrôle d’un compte sont deux situations distinctes. Dans la seconde, l’attaquant dispose d’un accès permettant d’émettre des messages depuis le service habituel. Il peut aussi lire des conversations et réutiliser leur vocabulaire. Une référence précise à une facture ou à une réunion devient alors un élément de crédibilité, sans constituer une preuve d’authenticité de la demande.
Le message peut arriver dans un fil existant. Le destinataire a tendance à prolonger la confiance accordée aux échanges précédents. Pourtant, chaque nouvelle action sensible mérite sa propre vérification. Une conversation ancienne n’autorise pas automatiquement un changement de coordonnées bancaires ou la saisie d’un secret sur un nouveau site.
Cela explique pourquoi une orthographe impeccable ne rassure pas complètement. Le problème n’est pas de repérer une faute caractéristique de fraude. Il est de déterminer si l’interlocuteur a effectivement demandé l’opération reçue.
Le contexte peut être excellent et l’intention malveillante.
Examiner le changement de comportement demandé
Une invitation à consulter un document n’a pas le même enjeu qu’une demande de désactiver une protection. Le signal fort est souvent une rupture de procédure : payer sur un nouveau compte, communiquer un code, approuver une connexion inattendue ou installer un outil pour ouvrir une facture. L’urgence ne réduit pas le besoin de contrôle ; elle explique au contraire pourquoi la demande cherche peut-être à éviter ce contrôle.
Le lien affiché peut également être trompeur. Un nom de document ou de service n’indique pas nécessairement la destination réelle. Sur mobile, l’espace réduit rend cette vérification moins confortable. Quand le doute subsiste, ouvrez l’application ou le site de travail par votre accès habituel et cherchez le document dans cet environnement, sans emprunter le chemin imposé par le message.
Attention toutefois à ne pas transformer cette précaution en certitude universelle. Un véritable partage peut utiliser un service externe autorisé. Il faut alors confirmer le partage auprès de son émetteur et vérifier que l’outil est acceptable pour les données concernées. Le seul fait d’être différent n’établit pas une fraude ; il justifie une vérification.
Confirmer par un canal indépendant
Répondre « c’est bien toi ? » dans le même fil est insuffisant si l’attaquant lit et utilise la messagerie. Prenez un numéro déjà connu ou consultez l’annuaire interne. Un appel bref peut porter sur l’action exacte : « As-tu demandé de remplacer le RIB de cette facture ? » Cette formulation est plus utile qu’une question générale sur l’envoi d’un message.
N’utilisez pas le nouveau numéro fourni dans la demande suspecte. Il pourrait lui aussi avoir été choisi pour intercepter votre confirmation.
La même prudence vaut pour un second contact ajouté soudainement à la conversation, ou pour une prétendue hotline mentionnée dans la pièce jointe.
Dans une équipe, ce réflexe gagne à être prévu avant l’incident. Définissez quelles opérations exigent une validation indépendante et qui peut les autoriser. Les collègues ne doivent pas avoir à choisir entre respecter la procédure et satisfaire une demande présentée comme urgente par leur responsable. Une règle claire protège aussi la relation de travail.
Si vous avez déjà cliqué, distinguer les étapes
Ouvrir un lien, saisir un mot de passe, télécharger un fichier et exécuter un programme ne créent pas exactement la même situation. Notez ce que vous avez fait et l’heure approximative, puis prévenez le support par le canal prévu. Cette description aide à orienter la réponse ; elle vaut mieux que « j’ai peut-être tout piraté » ou « je n’ai rien fait de grave ».
Si vous avez communiqué un secret, changez-le depuis le service officiel sur un appareil de confiance et signalez l’incident. S’il était réutilisé ailleurs, les autres comptes concernés doivent aussi être traités. La revue des sessions et des méthodes d’authentification peut être nécessaire : changer le mot de passe n’est pas toujours toute la réponse.
Pour une messagerie compromise, Cybermalveillance.gouv.fr attire notamment l’attention sur les règles de filtrage et de redirection. Une règle malveillante peut continuer à détourner des échanges même après le retour du propriétaire. La personne compétente doit vérifier ces réglages, les connexions et les applications autorisées, selon le service utilisé.
Préservez le message et les informations utiles pour le signalement interne. Ne le transférez pas largement avec un « attention ! » qui exposerait encore des collègues au lien actif. Utilisez la fonction de signalement prévue ou la méthode recommandée par votre organisation. Si un paiement a été engagé, contactez rapidement les acteurs concernés par leurs coordonnées officielles.
La bonne habitude est de vérifier la demande, pas de se méfier de tous ses collègues. Une identité numérique connue ouvre la conversation ; elle ne doit pas, seule, autoriser une opération inhabituelle.
