E-mails, accès à distance, partage de documents, réseaux sociaux professionnels… la transformation numérique a simplifié notre quotidien de travail, mais elle a aussi multiplié les portes d’entrée pour les cybercriminels. Le groupe de travail Cybersécurité de Walter France émet des conseils opérationnels pour les équipes et leurs managers.
Phishing, rançongiciels, faux support technique : les menaces sont réelles, fréquentes, et ciblent en priorité les utilisateurs plutôt que les machines. Compte tenu de l’implémentation de plus en plus forte de l’intelligence artificielle au sein des organisations, elles sont décuplées. Voici un tour d’horizon des risques à connaître et des réflexes à adopter pour s’en protéger.
La cybersécurité, l’affaire de tous
On pourrait croire que les cyberattaques ne visent que les grandes entreprises ou les infrastructures critiques. C’est une idée reçue dangereuse. Dans la réalité, ce sont d’abord les utilisateurs qui sont pris pour cible : un simple clic sur un lien frauduleux, un mot de passe trop faible ou un document partagé au mauvais endroit peuvent suffire à compromettre des données sensibles, sans parler des usurpations d’identité de toute nature.
Trois enjeux majeurs justifient une vigilance constante de chacun : la protection des informations et des secrets de l’entreprise, la continuité de l’activité – car une attaque réussie peut entraîner des pertes financières et une atteinte durable à la réputation – et la conformité au RGPD. Autrement dit, la cybersécurité n’est pas qu’un sujet technique réservé aux équipes informatiques : elle repose avant tout sur les comportements individuels.
Le phishing, vecteur d’attaque numéro un
L’hameçonnage, ou phishing, reste aujourd’hui la menace la plus répandue. La technique consiste, pour un individu malveillant, à se faire passer pour un tiers de confiance : un site connu (une grande plateforme de vente en ligne, par exemple), un organisme officiel (banque, impôts, CAF, Ameli…), ou même l’un de vos contacts dont le compte aurait été piraté. L’objectif est toujours le même : voler des données personnelles ou des coordonnées bancaires pour les exploiter de façon frauduleuse.
Cette manipulation prend plusieurs formes. Par e-mail ou SMS (on parle alors de smishing), elle se traduit par des messages alarmistes ou urgents, accompagnés d’un lien cliquable destiné à provoquer une réaction immédiate. Par téléphone (le vishing), elle prend la forme d’appels se présentant comme émanant d’une banque, d’un organisme officiel ou d’un support technique, dans le but d’obtenir des informations sensibles. Enfin, le quishing utilise de faux QR codes qui redirigent vers des sites frauduleux conçus pour récupérer vos données. Deux tendances sont d’ailleurs en forte progression : le smishing et le quishing, qui profitent de la confiance encore importante accordée aux SMS et aux QR codes.
Sur le terrain, les arnaques les plus fréquentes en France prennent la forme de fausses convocations, de fausses amendes (notamment via l’ANTAI) ou de faux supports techniques. Un exemple emblématique illustre bien le mécanisme : « l’arnaque au président ». Tout commence par un leurre – un faux manager qui contacte sa victime sur WhatsApp en jouant sur l’urgence et la hiérarchie. Vient ensuite la demande : l’achat de cartes cadeaux iTunes ou Apple, prétendument destinées à des « clients », pendant une fausse « réunion ». Le piège se referme lorsque la pression émotionnelle pousse la victime à contourner les procédures habituelles de vérification. Face à ce type de message, le réflexe à adopter est simple : vérifier l’adresse de l’expéditeur, interroger le caractère urgent de la demande, et survoler les liens sans cliquer pour en vérifier la véritable destination.
Rançongiciels : quand l’entreprise est prise en otage
Le rançongiciel, ou ransomware, est un logiciel malveillant qui chiffre les fichiers d’un poste ou d’un réseau, puis réclame le paiement d’une rançon en échange de la clé de déchiffrement. Trois vecteurs d’infection reviennent le plus souvent : les pièces jointes piégées (PDF ou fichiers ZIP), l’exploitation de failles logicielles non corrigées, et la navigation sur des sites compromis.
Les conséquences pour une entreprise peuvent être lourdes : arrêt total de l’activité, impossibilité de mener à bien certaines missions ou déclarations, perte de confiance des clients et atteinte à l’image, sans oublier le risque de vol de données sensibles au regard du RGPD.
L’arnaque au faux support technique
Autre scénario classique : un message bloquant ou alarmant apparaît soudainement sur l’écran, annonçant que l’ordinateur est infecté et invitant à appeler immédiatement un numéro affiché. La règle d’or, dans ce cas, est sans appel : ne jamais composer ce numéro, ne jamais donner l’accès à sa machine à un interlocuteur inconnu, toujours informer en priorité son référent informatique en interne, et forcer le redémarrage de l’ordinateur si nécessaire.
Adopter les bons réflexes au quotidien
La meilleure protection reste l’hygiène numérique de chacun. Plusieurs domaines méritent une attention particulière.
– La gestion des mots de passe. Un mot de passe robuste compte au minimum 12 à 16 caractères, mêle majuscules, minuscules, chiffres et caractères spéciaux, et reste unique pour chaque service utilisé. À bannir absolument : les suites comme « 123456 », « azerty » ou les dates de naissance. Pour créer un mot de passe à la fois solide et mémorisable, deux méthodes simples existent : la méthode des premières lettres (transformer une phrase connue en abréviation, en y ajoutant chiffres et symboles) ou la méthode phonétique, qui consiste à retranscrire phonétiquement une phrase facile à retenir.
– La sécurité des réseaux sociaux. Les informations publiées en ligne – départs en vacances, organigramme, projets en cours – peuvent donner de précieuses informations aux escrocs et leur faciliter un ciblage précis des collaborateurs. Il est donc essentiel de verrouiller ses paramètres de confidentialité, de se montrer méfiant face aux faux profils ou aux demandes urgentes émanant de comptes potentiellement piratés, et de faire preuve de discernement en évitant de diffuser des informations sensibles sur l’entreprise. Sur LinkedIn par exemple, il est également possible de désactiver l’utilisation de ses données pour l’entraînement des modèles d’IA générative, directement depuis les paramètres de confidentialité du compte.
– La sécurité des appareils mobiles. Le smartphone professionnel doit être traité comme un véritable ordinateur. Cela implique un cloisonnement strict entre usages personnel et professionnel – pas d’e-mail professionnel sur des sites personnels –, l’interdiction de brancher une clé USB trouvée, et l’absence de données professionnelles sur un cloud personnel non validé par l’entreprise. Côté verrouillage, un code PIN fort ou la biométrie sont recommandés, les connexions à un Wi-Fi public doivent être évitées pour les opérations sensibles comme la banque, les applications ne doivent provenir que des stores officiels (Play Store, App Store), et il est conseillé de noter le code IMEI de son appareil (accessible en composant *#06#) afin de pouvoir le bloquer en cas de vol.
– La frontière entre vie professionnelle et personnelle. L’usage de messageries personnelles pour des échanges professionnels est à proscrire, car elles ne garantissent ni la sécurité ni la traçabilité des informations échangées. De la même manière, le recours à des solutions de stockage cloud non autorisées expose les données à des risques de perte, de piratage ou de non-conformité. Le transfert de documents sensibles doit, lui, être strictement encadré par des outils validés par l’entreprise. Bien séparer pro et perso, c’est déjà renforcer sa sécurité.
Sur tous ces points, et sur tous ceux qui apparaissent au fur et à mesure de l’évolution des techniques des « attaquants », il appartient à la direction de l’entreprise d’organiser la prévention et la sensibilisation des équipes.
Savoir réagir vite et bien en cas d’incident
Malgré toute la vigilance possible, un incident peut survenir. L’essentiel est alors de garder son calme tout en agissant avec rapidité et méthode.
En cas de clic sur un lien suspect, trois actions s’imposent : ne pas éteindre l’ordinateur, le déconnecter immédiatement du réseau (Wi-Fi ou câble), puis prévenir sans délai le service informatique ou le référent cyber. Un protocole existe précisément pour gérer ce type de situation, et il n’y a donc pas lieu de paniquer.
En cas de suspicion de ransomware, la logique est similaire mais plus urgente encore : isoler la machine du réseau, alerter immédiatement le support informatique, et ne jamais payer la rançon demandée, ce qui ne ferait que financer l’activité criminelle. Chaque minute compte pour limiter l’impact de l’attaque.
Face à une arnaque au faux support technique, les réflexes restent les mêmes : ne jamais appeler le numéro affiché, prévenir le service informatique sans délai, forcer le redémarrage de l’ordinateur, et, si un contact a malgré tout été établi, désinstaller tout logiciel de prise en main à distance et prévenir la direction qui fera opposition auprès de la banque.
Enfin, en cas de divulgation involontaire d’informations ou de fuite de données, il convient de signaler l’incident via la procédure d’alerte interne. La transparence est ici essentielle : cacher un incident ne fait qu’aggraver la situation, alors qu’une déclaration rapide permet d’en minimiser l’impact.
En conclusion : un doute, un signalement
La cybersécurité ne repose pas uniquement sur des outils techniques, mais avant tout sur les comportements de chacun au quotidien. Les menaces évoluent constamment, et les erreurs humaines restent la première porte d’entrée des attaques. Pourtant, des réflexes simples – rester vigilant face aux sollicitations, appliquer les bonnes pratiques, réagir rapidement en cas de doute et ne jamais rester seul face à un incident – permettent d’éviter la grande majorité des problèmes.
La règle à retenir est simple : un doute doit toujours se traduire par un signalement. En adoptant ces bons réflexes, chaque collaborateur contribue activement à protéger les données de l’entreprise, celles de ses clients, et la pérennité de l’activité.
