Phishing : 5 exemples d'emails frauduleux que vos salariés reçoivent chaque semaine

Entre 60 et 80 % des cyberattaques en TPE/PME commencent par un email. Pas une attaque sophistiquée de pirate génial — un simple mail que quelqu'un a cliqué, un formulaire que quelqu'un a rempli, une pièce jointe qu'on a ouverte "au cas où". Voici 5 emails types que vos salariés reçoivent probablement chaque semaine, et comment les repérer.

1. La fausse facture en pièce jointe

Objet typique : « Facture n°2026-00478 - DISPONIBLE » ou « Votre reçu Amazon n°B07-X9834 »

Scénario : un email d'apparence banale avec une pièce jointe PDF, Word ou Excel, qui simule une facture. Souvent envoyé à la comptabilité ou aux achats. L'ouverture déclenche l'exécution d'un macro malveillant ou télécharge discrètement un ransomware.

Comment le repérer :

• Vous n'avez rien commandé qui corresponde
• L'expéditeur a un domaine bizarre (noreply@amaz0n-order.net au lieu de @amazon.fr)
• Le fichier joint demande d'activer les macros à l'ouverture
• La facture ne mentionne nulle part un numéro de dossier ou de commande spécifique à votre entreprise

Bon réflexe : ne jamais ouvrir une pièce jointe non attendue, même si l'expéditeur semble connu. En cas de doute, appelez le fournisseur présumé avec le numéro de téléphone que vous avez d'habitude (pas celui écrit dans l'email).

2. L'URL "Microsoft 365" qui vous demande vos identifiants

Objet typique : « Action requise : votre boîte sera suspendue », « Un nouveau message vous attend », « Mise à jour de sécurité Microsoft 365 »

Scénario : le mail imite parfaitement l'identité graphique Microsoft et vous invite à cliquer pour "vérifier votre mot de passe" ou "récupérer un message mis en quarantaine". La page qui s'ouvre ressemble trait pour trait à Microsoft 365 — mais tout ce que vous saisissez part directement aux attaquants.

Comment le repérer :

• Survolez le lien sans cliquer : l'URL de destination doit se terminer par un domaine officiel Microsoft (login.microsoftonline.com, office.com), pas par office-365-verify.com ou microsoft-support.xyz
• Microsoft ne demande jamais d'identifiant par email avec une menace de suspension
• Le ton du message cherche à créer l'urgence ("sous 24h", "action immédiate")

Bon réflexe : si vous avez un doute, n'utilisez jamais le lien de l'email. Allez vous connecter directement en tapant outlook.office.com dans votre navigateur, et vérifiez depuis votre compte.

3. L'arnaque au président (ou "fraude au virement")

Objet typique : « Virement urgent – confidentiel » envoyé à la comptable, apparemment par le dirigeant.

Scénario : le fraudeur se fait passer pour le patron (ou un fournisseur habituel) et demande un virement urgent sur un nouveau RIB, souvent avec consigne de confidentialité : « Ne pas en parler à l'équipe, c'est une opération discrète ». L'adresse email ressemble à celle du patron (lettre inversée, caractère unicode à la place d'un caractère latin) et parfois utilise un domaine -sarl.com au lieu de .fr.

Comment le repérer :

• Le ton est inhabituel : votre dirigeant écrit normalement d'une certaine façon, cet email est trop sec ou trop déférent
• Il insiste sur l'urgence et le secret
• Le RIB est différent de ceux habituels
• L'adresse d'expédition, examinée en détail, a un ou deux caractères qui diffèrent

Bon réflexe : instaurez une règle écrite : aucun virement supérieur à X € sans confirmation vocale auprès du demandeur, en l'appelant sur son numéro connu — jamais celui écrit dans l'email. Cette simple règle neutralise à peu près toutes les arnaques au président.

4. Le faux colis en attente de livraison

Objet typique : « Votre colis Chronopost en attente – paiement de 1,99 € requis » ou « La Poste : colis non distribué »

Scénario : mail ou SMS prétextant un colis en attente et demandant un petit paiement (douane, frais de redistribution). Le formulaire capture votre numéro de carte bancaire complet qui sera ensuite utilisé pour des achats frauduleux.

Comment le repérer :

• Vous n'attendez pas de colis ou aucun numéro de suivi ne correspond
• Chronopost, La Poste, DHL ne réclament jamais 1,99 € ou 2,99 € par email ou SMS pour redistribuer un colis
• L'URL de paiement n'est pas un domaine officiel

Bon réflexe : supprimez l'email. Si vous attendez réellement un colis, allez voir directement sur le site du transporteur avec le numéro de suivi que vous avez reçu de l'expéditeur.

5. L'email interne piégé (compte compromis d'un collègue)

Objet typique : « Document partagé », « Peux-tu valider ça rapidement ? », souvent sans objet.

Scénario : l'email vient réellement de l'adresse d'un collègue — mais ce collègue a été compromis (phishing réussi quelques jours avant, par exemple), et les attaquants utilisent son compte pour piéger ses contacts. Un lien vers un "document partagé" ouvre une fausse page de login Microsoft/Google qui récupère vos identifiants à vous.

C'est le phishing le plus efficace parce qu'il arrive d'une adresse légitime connue de la victime.

Comment le repérer :

• Le ton de l'email n'est pas celui habituel de la personne
• Vous ne vous attendiez à aucun document de sa part
• Le lien pointe vers une URL inhabituelle (doc-share-online.xyz)
• Souvent envoyé en masse à beaucoup de ses contacts en même temps

Bon réflexe : si un collègue vous envoie un lien non annoncé, demandez-lui par un autre canal (Teams, téléphone, en direct). Ne cliquez jamais "parce qu'on connaît la personne".

Les 3 règles d'or à partager avec vos équipes

1. Un email n'est pas une preuve d'identité. N'importe qui peut écrire sous n'importe quel nom.
2. Un lien dans un email ne doit jamais être utilisé pour se connecter à un service. Allez toujours sur le site en tapant l'adresse directement.
3. L'urgence et le secret sont les deux marqueurs numéro 1 d'une arnaque. Si un email combine les deux, prenez 5 minutes de recul avant d'agir.

Au-delà de la vigilance : la protection technique

La formation des utilisateurs est nécessaire mais pas suffisante. Dans le forfait d'infogérance Depass Info, nous mettons en place côté technique :

• Un filtrage anti-phishing sur la messagerie qui bloque les faux domaines avant même qu'ils arrivent dans la boîte
• Une authentification à deux facteurs systématique sur Microsoft 365 : même si un mot de passe est volé, le compte reste protégé
• Une détection comportementale sur les postes qui bloque les actions suspectes même quand l'utilisateur a cliqué

Si vous souhaitez évaluer où vous en êtes sur ces sujets, l'audit gratuit fait le point sans engagement.