Le phishing, ou hameçonnage, désigne toute tentative de collecte frauduleuse de données personnelles par usurpation d’identité. Un courriel imitant une banque, un SMS se faisant passer pour un service de livraison, une page de connexion contrefaite : le mécanisme repose sur la confiance abusée.
En France, cette menace représente environ 16 % des demandes d’assistance des entreprises selon une synthèse publiée sur Donneespersonnelles.fr. Elle constitue la deuxième cause de sollicitation derrière le piratage de compte, avec une progression d’environ 29 % sur un an.
Anatomie d’un mail de phishing : ce qui trompe réellement
La plupart des guides listent des indices visuels (fautes d’orthographe, logo pixélisé). Ces marqueurs fonctionnaient il y a dix ans. Les campagnes récentes utilisent des templates copiés pixel par pixel depuis les sites officiels, avec des noms de domaine proches à un caractère près.
Ce qui distingue un mail frauduleux d’un mail légitime tient souvent à trois éléments invisibles au premier coup d’oeil : l’adresse d’expédition réelle (masquée derrière un alias), le domaine du lien survolé dans la barre d’état du navigateur, et le caractère urgent ou menaçant du message.
Un expéditeur légitime ne demande jamais de ressaisir un mot de passe via un lien. Ni une banque, ni un service public, ni un fournisseur de messagerie. Cette règle seule permet d’éliminer la majorité des tentatives.
Les SMS frauduleux signalés à l’ANFR suivent la même tendance à la hausse depuis 2024, avec des messages courts imitant Ameli, La Poste ou les impôts. Le vecteur change, le mécanisme reste identique : créer un sentiment d’urgence pour court-circuiter la réflexion.
Contournement de l’authentification multifacteur : pourquoi la MFA ne suffit plus
L’authentification multifacteur (MFA) ajoute une couche de sécurité au mot de passe. Un code temporaire reçu par SMS ou généré par une application rend le vol d’identifiants seul insuffisant pour accéder à un compte. C’est le conseil standard de toute recommandation en cybersécurité.
Les attaquants ont adapté leurs méthodes. Deux techniques récentes méritent une attention particulière.
Attaques par proxy AiTM
Le principe : un serveur intermédiaire (adversary-in-the-middle) se place entre la victime et le site légitime. L’utilisateur saisit ses identifiants et son code MFA sur ce qui ressemble au vrai site. Le proxy transmet tout en temps réel au serveur authentique, récupère le cookie de session, et l’attaquant accède au compte sans jamais avoir besoin du code une seconde fois.
MFA fatigue
L’attaquant, qui dispose déjà du mot de passe (obtenu par une fuite de données ou un précédent phishing), déclenche des dizaines de notifications push sur le téléphone de la cible. Par lassitude ou confusion, la victime finit par valider une notification. L’accès est alors ouvert.
Face à ces techniques, les clés de sécurité physiques de type FIDO2 restent résistantes au phishing car elles vérifient le domaine du site avant de s’authentifier. Un proxy sur un faux domaine ne peut pas déclencher la clé.
Protection des données personnelles : les mesures techniques qui comptent
La sensibilisation ne produit des effets que si elle s’appuie sur des dispositifs techniques concrets. Voici les mesures qui réduisent réellement la surface d’exposition au phishing :
- Configurer les protocoles SPF, DKIM et DMARC sur les domaines de messagerie de l’entreprise. Ces trois standards permettent aux serveurs destinataires de vérifier qu’un mail provient bien du domaine affiché, limitant l’usurpation d’identité par courriel.
- Déployer un filtre anti-phishing au niveau du serveur mail, capable d’analyser les URL contenues dans les messages et de bloquer les domaines identifiés comme malveillants avant qu’ils n’atteignent la boîte de réception.
- Utiliser un gestionnaire de mots de passe qui ne propose le remplissage automatique que sur le domaine exact enregistré. Sur un site de phishing dont l’URL diffère, le gestionnaire ne remplit rien, ce qui constitue un signal d’alerte automatique et fiable.
- Segmenter les accès : chaque collaborateur n’accède qu’aux ressources nécessaires à sa fonction. Un compte compromis par phishing ne donne alors accès qu’à un périmètre limité.
Réagir après un clic sur un lien de phishing : les premières minutes
Le clic est déjà arrivé. Le formulaire a peut-être été rempli. La question n’est plus la prévention mais la limitation des dégâts.
Changer immédiatement le mot de passe du compte concerné reste la première action. Si le même mot de passe est utilisé ailleurs, chaque service doit être mis à jour. C’est aussi le moment de vérifier les sessions actives et de les révoquer.
Signaler l’incident à la plateforme Cybermalveillance.gouv.fr permet d’obtenir une assistance adaptée et alimente les bases de données qui protègent d’autres utilisateurs. En 2024, la plateforme a traité plus de 504 000 demandes d’aide, en hausse de 20 % par rapport à l’année précédente.
Pour les entreprises, l’information doit remonter au responsable de la sécurité des systèmes d’information sans délai. Un mail de phishing réussi sur un poste peut être le point d’entrée d’une attaque plus large, notamment un rançongiciel.
Surveiller ses comptes dans les semaines suivantes
Les données volées ne sont pas toujours exploitées immédiatement. Les identifiants peuvent être revendus sur des forums spécialisés ou utilisés des semaines plus tard. Vérifier régulièrement les connexions inhabituelles et activer les alertes de sécurité sur chaque service reste la meilleure façon de détecter une exploitation différée.
La protection des données personnelles face au phishing repose moins sur la vigilance individuelle que sur l’empilement de barrières techniques. Un gestionnaire de mots de passe qui refuse de remplir un faux site, une clé FIDO2 qui ne répond pas à un domaine usurpé, un protocole DMARC qui rejette un mail falsifié : chaque couche compense les limites de la précédente.
Le phishing progressant en sophistication chaque année, la seule stratégie tenable est de traiter la faille humaine comme inévitable et de construire autour.
