Un e-mail de l’Administration fiscale cantonale qui annonce un remboursement d’impôt, un lien à cliquer pour récupérer la somme, un formulaire qui demande vos coordonnées bancaires : voilà un scénario de phishing classique, mais redoutablement efficace. Ce type de campagne, avec usurpation d’identité d’institutions officielles, n’est pas un cas isolé. Nous le constatons régulièrement sur le terrain.
Une menace qui s’intensifie
Les tentatives d’hameçonnage touchent désormais toutes les tailles d’entreprises, et les PME ne sont pas épargnées. Ce qui a changé, c’est la qualité des attaques. L’intelligence artificielle permet aujourd’hui de générer des messages sans faute, avec un ton approprié, un contexte crédible et même une personnalisation selon la cible. L’époque des e-mails bourrés de fautes d’orthographe est révolue.
Pourquoi vos collaborateurs sont des cibles de choix
Le facteur humain reste le principal vecteur d’entrée dans une organisation. Un clic suffit. Au sein d’une PME, les profils les plus visés sont souvent la comptabilité (accès aux comptes bancaires), la direction (accès à tout) et les ressources humaines (données personnelles des collaborateurs).
Les attaquants exploitent deux leviers puissants : la confiance et l’urgence. Un e-mail qui prétend venir du fisc, d’une banque, de La Poste ou d’une assurance bénéficie d’un capital de crédibilité immédiat. Ajoutez un délai fictif, une pénalité annoncée ou une promesse de gain, et le réflexe de prudence s’efface.
Les signaux qui trahissent un e-mail frauduleux
Même les messages les mieux construits laissent des traces. Voici ce que vos équipes doivent vérifier systématiquement :
- L’adresse d’expédition réelle : le nom affiché peut être « Administration fiscale cantonale », mais le domaine derrière est souvent suspect. Il faut afficher l’en-tête complet.
- L’urgence ou le gain inattendu : toute pression temporelle ou promesse d’argent doit déclencher la méfiance, pas l’empressement.
- Les liens : survoler le lien avant de cliquer révèle l’URL réelle. Si elle ne correspond pas à l’institution annoncée, ne pas cliquer.
- Les pièces jointes inattendues : même d’un expéditeur connu, une pièce jointe non sollicitée est un risque.
- La demande de données sensibles : aucune institution légitime ne demande un mot de passe, un code ou des coordonnées bancaires par e-mail. Jamais.
- La qualité du texte : un message parfaitement rédigé ne garantit plus rien. L’IA produit des textes irréprochables.
Les bons réflexes à adopter immédiatement
Face à un e-mail douteux, la règle est simple : s’arrêter, ne pas agir dans l’urgence, vérifier.
- Ne jamais cliquer sur un lien ni ouvrir une pièce jointe en cas de doute.
- Vérifier l’information par un canal officiel : appel téléphonique au numéro connu, ou site officiel saisi manuellement dans le navigateur.
- Signaler l’e-mail suspect au responsable informatique ou au support sans délai.
- Signaler la tentative à l’OFCS (Office fédéral de la cybersécurité) ou via antiphishing.ch.
- Ne jamais transférer l’e-mail à des collègues pour « montrer » : cela propage le risque.
- Si des données ont été saisies par erreur, changer immédiatement les mots de passe concernés et alerter le responsable informatique.
Ce que nous mettons en place avec vous
La sensibilisation ponctuelle ne suffit plus. Voici les mesures concrètes que nous recommandons et que nous aidons à déployer :
- Formation régulière des collaborateurs aux nouvelles formes de phishing, adaptée à leur rôle dans l’entreprise.
- Filtrage des e-mails côté serveur : des solutions comme Microsoft 365 Defender intègrent une protection anti-phishing active, capable de bloquer une grande partie des tentatives avant qu’elles atteignent la boîte de réception.
- Authentification multifacteur (MFA) : même si un mot de passe est compromis, le MFA empêche l’accès non autorisé. C’est aujourd’hui un minimum non négociable.
- Procédures internes claires : vos collaborateurs doivent savoir exactement quoi faire et à qui s’adresser en cas de doute, sans avoir à improviser.
- Simulations de phishing : tester vos équipes en conditions réelles permet d’identifier les maillons faibles et de corriger les comportements avant qu’une vraie attaque ne frappe.
Partenaire informatique local, nous intervenons dans le Chablais valaisan et vaudois, à Monthey, Saint-Maurice, Bex, Aigle et dans le Valais central. Mickael travaille dans l’informatique depuis 2006 et connaît la réalité des entreprises de la région : nous construisons des solutions adaptées à votre contexte, pas des réponses génériques.
Si vous souhaitez évaluer la posture de cybersécurité de votre entreprise ou former vos équipes, nous sommes là pour en discuter concrètement.
Questions fréquentes
Comment savoir si un e-mail prétendant venir de l'AFC ou d'une autre institution suisse est frauduleux ?
Vérifiez d'abord l'adresse d'expédition complète, pas seulement le nom affiché. Méfiez-vous de toute demande de coordonnées bancaires ou de mot de passe : aucune administration suisse ne procède ainsi par e-mail. En cas de doute, appelez directement l'institution au numéro figurant sur son site officiel, que vous saisissez manuellement dans votre navigateur.
Que faire si j'ai cliqué par erreur sur un lien de phishing ?
Ne paniquez pas, mais agissez vite. Déconnectez-vous du réseau si possible, changez immédiatement les mots de passe des comptes potentiellement concernés, et contactez votre responsable informatique ou votre prestataire. Signalez également l'incident à l'OFCS ou via antiphishing.ch. Plus vous réagissez tôt, plus les dégâts sont limités.
Microsoft 365 protège-t-il contre le phishing ?
Microsoft 365 Defender intègre des filtres anti-phishing qui bloquent une partie importante des tentatives avant qu'elles arrivent en boîte de réception. Mais aucune solution technique n'est infaillible à 100 % : la formation des utilisateurs reste indispensable pour couvrir les cas qui passent à travers les filtres.
Le phishing cible-t-il vraiment les PME, pas seulement les grandes entreprises ?
Absolument. Les PME sont souvent des cibles privilégiées précisément parce qu'elles disposent de moins de ressources dédiées à la cybersécurité que les grandes structures. Les attaquants le savent et adaptent leurs campagnes en conséquence. Les profils comptabilité, direction et RH sont particulièrement exposés.
