- De qui provient-il réellement ? Appuyez ou passez la souris sur le nom de l’expéditeur pour afficher l’adresse. Recherchez les domaines similaires (un mot supplémentaire, une lettre intervertie, un .co à la place de .com), une adresse gratuite prétendant appartenir à une entreprise, ou le nom d’un collègue sur une adresse inconnue.
- Que souhaite-t-il ? Les tentatives d’hameçonnage visent presque toujours l’un des cinq éléments suivants : un mot de passe ou des identifiants de connexion, de l’argent ou une carte cadeau, une modification de vos coordonnées bancaires, une pièce jointe à ouvrir, ou encore un sentiment d’urgence et de confidentialité (« aujourd’hui », « n’en parlez à personne », « votre compte sera fermé »).
- Où mènent ces liens ? Sur un ordinateur, passez la souris sur un lien et lisez l’adresse affichée dans le coin de la fenêtre. Sur un téléphone, appuyez longuement sur le lien pour en prévisualiser le contenu. Un message de Microsoft redirigeant vers un domaine que vous n’avez jamais vu, ou un lien raccourci, est un signe révélateur.
- Vous vous y attendiez ? Une facture d’un fournisseur que vous n’utilisez pas, un message vocal que vous ne recevez jamais par e-mail, un document partagé par une personne qui ne partage habituellement pas de documents, une livraison que vous n’avez pas commandée.
- Cela s'écarte-t-il d'un schéma habituel ? Un fournisseur qui modifie ses coordonnées bancaires par e-mail, un supérieur hiérarchique qui vous demande quelque chose d’inhabituel et d’urgent, Microsoft ou Google qui vous demandent de vérifier votre compte via un lien. Les vraies entreprises et les vrais supérieurs hiérarchiques ne fonctionnent pas ainsi.
Comment savoir si un e-mail est une tentative d'hameçonnage, et comment y réagir
Une vérification en 30 secondes qui fonctionne dans Outlook et Gmail, les faux e-mails qui circulent actuellement, la méthode en un clic pour signaler un message, et ce qu’il faut faire dans l’heure qui suit si vous avez déjà cliqué.
7 minutes de lectureMise à jour
En bref
Vérifiez trois éléments : qui l’a réellement envoyé (appuyez sur le nom pour voir l’adresse), ce qu’il demande (urgence, argent, mot de passe, modification des coordonnées bancaires) et où mènent les liens (passez la souris dessus sur un ordinateur, appuyez longuement sur un téléphone). Si l’un de ces trois éléments vous semble suspect, ne cliquez pas et ne répondez pas. Signalez-le à l’aide du bouton « Signaler » dans Outlook ou de l’option « Signaler une tentative d’hameçonnage » dans Gmail, puis vérifiez par un autre moyen, par exemple en appelant un numéro que vous connaissez déjà. Si vous avez déjà cliqué, changez immédiatement votre mot de passe et prévenez le service informatique dans l’heure qui suit. Personne ne vous en tiendra rigueur ; ce qui compte, c’est la rapidité.
Le contrôle en 30 secondes
Des arnaques qui circulent
| Il semblerait que | De quoi s'agit-il réellement ? | Le signe révélateur |
|---|---|---|
| Votre mot de passe expire aujourd’hui, ou un nouveau message vocal ou un document partagé | Une fausse page de connexion à Microsoft 365 ou Google qui vole votre mot de passe et votre code d'autorisation | Le lien ne redirige pas vers microsoft.com ni vers google.com, et les véritables notifications ne vous demandent jamais de mot de passe via un lien |
| Une facture d’un fournisseur comportant de nouvelles coordonnées bancaires | Compromission de la messagerie d’entreprise, souvent à partir de la boîte mail réelle du fournisseur, mais piratée | Toute modification des informations de paiement, aussi courtoise soit-elle. Appelez le fournisseur au numéro dont vous disposez déjà |
| Un avis de colis, de droits de douane ou de péage | Une petite page de paiement qui récupère les données de votre carte bancaire | Vous ne vous attendiez à rien de tel, et le lien ne provient pas du domaine de l'opérateur |
| Un fichier PDF contenant un code QR à scanner | Un lien masqué afin que les filtres ne puissent pas le lire | Personne n'envoie de code QR alors qu'un lien suffirait |
| Ressources humaines ou paie : mise à jour du document salarial, inscription aux avantages sociaux | Une page de connexion ou une pièce jointe contenant une charge utile | Envoyé en dehors du circuit habituel des ressources humaines, de manière urgente |
| Un SMS ou un message WhatsApp du PDG vous demandant une petite faveur | Une arnaque aux cartes-cadeaux ou aux virements bancaires | Un nouveau numéro, et votre patron ne vous envoie jamais de SMS à ce sujet |
| Une avalanche de notifications de l’Authenticator que vous n’avez pas déclenchées | Quelqu’un dispose de votre mot de passe et espère que vous cliquerez sur « Approuver » | Refusez toute demande, modifiez votre mot de passe et prévenez votre service informatique dès aujourd’hui |
Que faire face à un e-mail suspect ?
- Ne cliquez pas sur ce message, n’y répondez pas et ne le transférez pas à vos collègues. Le transfert de responsabilité répartit le risque et prive le service informatique des preuves dont il a besoin.
- Signalez-le depuis Outlook. Sélectionnez le message, choisissez « Signaler » dans la barre d’outils, puis « Signaler une tentative d’hameçonnage ». Ce bouton est disponible dans Outlook sur le Web, dans la nouvelle version d’Outlook pour Windows, dans Outlook pour Mac ainsi que dans les applications pour iPhone et Android, à condition que votre entreprise ait activé cette fonctionnalité. Le message est supprimé et une copie est transmise à votre équipe informatique ainsi qu’à Microsoft.
- Signalez-le depuis Gmail. Ouvrez le message, cliquez sur les trois points situés à côté de « Répondre », puis sélectionnez « Signaler une tentative d'hameçonnage ». Dans l'application Gmail, utilisez les trois points situés en haut à droite du message. Google reçoit une copie et votre administrateur Workspace peut consulter le signalement.
- Vérifiez par un autre moyen. Si le message prétend provenir d’un fournisseur, d’un collègue ou de votre banque, appelez un numéro que vous connaissez déjà ou rendez-vous sur place. N’utilisez jamais le numéro de téléphone ni l’adresse de réponse indiqués dans le message.
- Si vous avez cliqué sur un lien ou saisi un mot de passe, agissez dans l’heure qui suit. Modifiez votre mot de passe depuis un appareil de confiance, n’approuvez aucune demande de l’Authenticator que vous n’avez pas lancée vous-même et prévenez immédiatement le service informatique. Si vous avez ouvert une pièce jointe, déconnectez-vous du Wi-Fi et appelez. Si une somme d’argent est en jeu, appelez le fournisseur et votre banque le jour même ; les délais de réclamation ne s’étendent qu’en quelques heures.
Les personnes qui signalent rapidement les incidents constituent la meilleure défense dont dispose une petite entreprise. Une bonne équipe informatique vous remerciera pour une fausse alerte et ne vous fera jamais passer pour un idiot en cas d’alerte réelle.
Pour le responsable informatique
Cinq paramètres suffisent pour assurer l’essentiel du travail. Aucun d’entre eux n’entraîne de coût supplémentaire dans les formules Microsoft 365Business Premium ou Google Workspace Business :
| Configuration | Où | Fonctionnalités |
|---|---|---|
| Activez le bouton « Rapport » et une boîte aux lettres dédiée aux rapports | Portail Microsoft Defender, Paramètres, Messagerie et collaboration, Paramètres signalés par les utilisateurs | Signalement en un clic depuis n'importe quel Outlook, avec copie à vous-même et à Microsoft |
| DMARC : configuration du rejet pour votre propre domaine | Votre DNS, une fois que les enregistrements SPF et DKIM sont en place | Empêche les pirates d’envoyer des e-mails donnant l’impression de provenir de votre entreprise |
| Marquage des expéditeurs externes | Marquage des e-mails externes dans Exchange Online ; Gmail affiche des bannières externes par défaut | Une mention visible sur chaque message provenant de l’extérieur de l’entreprise |
| Analyse des liens et des pièces jointes | Liens sécurisés et pièces jointes sécurisées de Defender for Office 365 ; analyse renforcée avant livraison de Gmail | Réécrit et vérifie les liens au moment du clic, analyse d'abord les pièces jointes |
| Bloquer le transfert automatique vers des adresses externes | Politique relative aux spams sortants d’Exchange Online ; paramètres de routage de Gmail | Élimine la méthode préférée des pirates pour consulter discrètement une boîte mail |
Organisez ensuite deux fois par an une brève simulation d’hameçonnage suivie d’un débriefing de dix minutes, et imposez une authentification multifactorielle avec correspondance des numéros afin qu’un mot de passe volé ne soit à lui seul d’aucune utilité.
FAQ
Questions fréquentes
De courtes réponses aux questions que les fondateurs et les responsables financiers nous posent le plus souvent.
Posez-nous une autre questionOui. Si leur compte a été piraté, le message provient de la véritable boîte mail et passe tous les contrôles techniques. C’est le contenu qui trahit la supercherie : une demande inhabituelle, un caractère urgent, un lien pour se connecter. Appelez-les.
Utilisez plutôt le bouton « Signaler ». Il envoie au service informatique le message d’origine avec les en-têtes masqués intacts et le supprime de votre boîte de réception. Le transfert fait perdre ces preuves et peut propager le lien.
Le « courrier indésirable » désigne les publicités non sollicitées ; le signaler déplace le message vers le dossier « Courrier indésirable » et bloque l’expéditeur. Le « hameçonnage » est une tentative de vol ; le signaler supprime le message et envoie une copie à votre équipe de sécurité ainsi qu’à Microsoft ou Google.
En général, oui, mais prévenez tout de même le service informatique. Certaines pages tentent d’installer un logiciel lorsque vous cliquez dessus, et le service informatique peut vérifier l’appareil et les journaux de connexion en quelques minutes.
Non. Les véritables notifications vous invitent à vous connecter à l'endroit habituel, jamais via un lien qui vous demande votre mot de passe et votre code de validation.
Rien de grave. Votre équipe informatique examine le rapport, le classe comme ne constituant pas une menace, et l’expéditeur n’est pas affecté. Mieux vaut signaler trop que pas assez.
Comment SF3 Technologies vous aide
Nous activons les rapports, l’analyse des liens et des pièces jointes ainsi que le marquage externe dans votre Microsoft 365 ou Google Workspace, nous sécurisons votre propre domaine à l’aide de DMARC afin d’empêcher toute usurpation d’identité, nous formons votre équipe à l’aide de courtes simulations et nous prenons en charge tous les messages signalés à leur place. L’ensemble fonctionne au sein de votre propre tenant, avec des comptes d’administrateur dédiés.
Les noms des boutons dans Outlook et Gmail peuvent changer de temps à autre. Étapes vérifiées en octobre 2026 par rapport à la documentation de Microsoft et de Google.