Le spearphishing est une forme d’hameçonnage ciblé dans laquelle le cybercriminel prépare son attaque contre une personne ou une entreprise précise. Contrairement à un phishing envoyé en masse, le message utilise des informations personnelles ou professionnelles pour paraître crédible : nom d’un collègue, fournisseur habituel, projet en cours, fonction du destinataire ou habitudes de travail.
Cette personnalisation augmente fortement les chances que la victime clique sur un lien, transmette ses identifiants ou effectue une opération financière.
🎯 Qu’est-ce que le spearphishing ?
Le spearphishing consiste à envoyer un message frauduleux personnalisé à une cible identifiée. L’attaquant peut utiliser les informations disponibles sur le site de l’entreprise, LinkedIn, les réseaux sociaux, des documents publics ou des données récupérées lors d’une précédente fuite.
Le scénario est ensuite adapté au rôle de la victime.
Un comptable peut recevoir une demande de modification de RIB. Un salarié peut recevoir une fausse demande des RH. Un administrateur informatique peut être ciblé avec une alerte concernant son compte professionnel.
Le principe reste le même : faire passer une demande malveillante pour une communication légitime.
📧 Quels sont les exemples de cas de spearphishing les plus courants ?
👔 Le faux message des ressources humaines
Un salarié reçoit un e-mail présenté comme provenant des RH. Le message demande de consulter un document, de mettre à jour des informations personnelles ou de se connecter à un espace de paie.
Le lien dirige vers une fausse page de connexion destinée à récupérer l’identifiant et le mot de passe.
💶 La demande de changement de RIB
Un cybercriminel se fait passer pour un fournisseur déjà connu de l’entreprise. Le message explique que ses coordonnées bancaires ont changé et demande que le prochain règlement soit effectué sur un nouveau compte.
Le risque est particulièrement élevé pour les services comptables, car la demande peut reprendre le nom du fournisseur, le montant d’une facture ou le nom d’un interlocuteur réel.
🔐 La fausse alerte informatique
Le salarié reçoit un message indiquant que son compte Microsoft 365, Google Workspace ou un autre service professionnel nécessite une vérification.
Le lien conduit vers une copie du portail officiel. Dès que l’utilisateur saisit ses identifiants, ceux-ci sont transmis à l’attaquant.
👤 L’usurpation d’un dirigeant
Un e-mail semble provenir du dirigeant et demande à un salarié d’effectuer rapidement un virement ou d’acheter des cartes cadeaux.
Le message peut être très court et exploiter une notion d’urgence : déplacement du dirigeant, confidentialité de l’opération ou délai de paiement très court.
Ce type de fraude est souvent associé à la fraude au président.
🕵️ Comment les cybercriminels préparent-ils une attaque ciblée ?
Le spearphishing commence souvent avant l’envoi du premier e-mail.
L’attaquant recherche des informations permettant de rendre son scénario crédible : organigramme, fonctions des salariés, fournisseurs, adresses e-mail, projets, partenaires, outils utilisés ou noms des dirigeants.
Le site Internet de l’entreprise peut déjà fournir une partie de ces informations. Les réseaux sociaux professionnels peuvent ensuite permettre d’identifier les personnes travaillant au service comptabilité, aux RH ou à la direction.
Une simple information publique peut donc servir à construire un message très convaincant.
⚠️ Quels signes doivent alerter ?
Un e-mail parfaitement rédigé peut être frauduleux. Il ne faut donc pas uniquement rechercher les fautes d’orthographe.
Plusieurs signaux doivent attirer l’attention :
• Une demande inhabituelle concernant un paiement, un mot de passe ou des données confidentielles.
• Une forte pression temporelle avec des expressions comme « immédiatement », « aujourd’hui » ou « dernière relance ».
• Une adresse d’expédition légèrement différente de celle du véritable interlocuteur.
• Un lien dont le domaine ne correspond pas au service annoncé.
• Une pièce jointe inattendue, notamment un document demandant d’activer des fonctionnalités ou de saisir des identifiants.
• Une demande de contourner une procédure interne, par exemple effectuer un virement sans validation habituelle.
Le point le plus important est le suivant : une demande inhabituelle doit être vérifiée même si le message semble provenir d’une personne connue.
📞 Comment vérifier une demande suspecte ?
Lorsqu’un e-mail demande une opération sensible, la meilleure défense consiste à utiliser un second canal de communication.
Pour un changement de RIB, appelez le fournisseur avec le numéro déjà enregistré dans les fichiers de l’entreprise. Pour une demande du dirigeant, utilisez son numéro habituel. Pour une alerte informatique, ouvrez directement le portail du service concerné au lieu de cliquer sur le lien reçu.
Il ne faut surtout pas utiliser les coordonnées fournies dans le message suspect pour effectuer cette vérification.
A lire aussi: Cyberplus Banque Populaire : connexion, fonctionnalités et gestion de vos comptes en ligne
🔗 Pourquoi éviter de cliquer sur les liens d’un e-mail ?
Un lien peut afficher un texte parfaitement crédible tout en redirigeant vers un autre domaine.
Sur ordinateur, placer le curseur sur le lien permet généralement de voir son adresse réelle. Sur smartphone, une pression prolongée peut afficher l’URL avant son ouverture.
Pour accéder à un service sensible, le réflexe le plus sûr consiste à saisir directement l’adresse du site dans le navigateur ou à utiliser un favori déjà enregistré.
🔑 La MFA protège-t-elle contre le spearphishing ?
L’authentification multifacteur (MFA) ajoute une protection importante en cas de vol de mot de passe.
Elle ne rend cependant pas tous les comptes invulnérables. Certaines attaques peuvent chercher à voler également les éléments nécessaires à l’authentification ou à tromper l’utilisateur au moment de la validation.
La MFA doit donc être associée à une formation des salariés, des règles de vérification et une protection technique de la messagerie.
🛡️ Quelles mesures mettre en place dans une PME ?
Une entreprise peut réduire fortement le risque en combinant plusieurs protections.
La messagerie doit disposer d’un filtrage contre le phishing et les pièces jointes dangereuses. Les comptes professionnels doivent utiliser la MFA, avec des mots de passe uniques et suffisamment robustes.
Pour les opérations financières, une procédure de double validation est particulièrement utile. Un changement de coordonnées bancaires ne devrait jamais être accepté uniquement sur la base d’un e-mail.
Les salariés doivent également savoir comment signaler un message suspect sans craindre de faire remonter une fausse alerte.
🚨 Que faire après avoir cliqué sur un lien de spearphishing ?
Il ne faut pas attendre pour agir.
Si des identifiants ont été saisis sur une page suspecte, le mot de passe doit être changé immédiatement depuis le véritable site du service, et les sessions actives doivent être révoquées lorsque cette option existe.
L’équipe informatique ou le prestataire chargé de la sécurité doit ensuite être prévenu afin de vérifier les connexions inhabituelles et les éventuelles modifications du compte.
Si une opération bancaire a été effectuée à la suite d’une fraude, la banque doit être contactée sans délai.
🔎 Le spearphishing repose surtout sur la confiance
Le spearphishing ne cherche pas nécessairement à tromper avec un message grossier ou manifestement suspect. Son efficacité vient de la personnalisation du scénario.
La meilleure protection consiste donc à instaurer un réflexe simple : plus une demande est sensible ou inhabituelle, plus elle doit être vérifiée par un autre canal.
Pour une PME, cette règle associée à la MFA, au filtrage des e-mails, à des procédures de validation des paiements et à une sensibilisation régulière des salariés constitue une base solide contre les attaques ciblées.
