Formation à l’hameçonnage : comment les entreprises québécoises peuvent éviter le mauvais clic

La plupart des cyberattaques contre les PME ne commencent pas par un pirate qui perce un pare-feu. Elles commencent par un courriel, un texto ou un appel qui convainc quelqu’un de l’équipe de cliquer sur un lien, d’ouvrir une pièce jointe ou d’envoyer un paiement. C’est l’hameçonnage, et ça fonctionne parce que ça vise les personnes, pas les systèmes.

La bonne nouvelle : on peut apprendre à le reconnaître. Voici quoi enseigner, comment s’exercer et quoi faire quand quelqu’un clique quand même.

Pourquoi l’hameçonnage fonctionne encore

Les messages d’hameçonnage actuels sont bien écrits, souvent dans un bon français, et de plus en plus personnalisés grâce à des détails trouvés en ligne : vos fournisseurs, le nom de vos collègues, les logiciels que vous utilisez. Les outils d’IA les rendent moins chers à produire et plus difficiles à distinguer des vrais messages.

Les scénarios les plus courants pour les entreprises québécoises :

• Fausses factures ou changements de paiement : un « fournisseur » annonce de nouvelles coordonnées bancaires.
• Fraude du président : un message urgent du « patron » qui demande un virement ou des cartes-cadeaux.
• Alertes de compte : une fausse page de connexion Microsoft 365, Google ou bancaire.
• Textos de livraison ou du gouvernement : un colis en attente, un remboursement d’impôt, une amende à payer.

Les signes à enseigner

Apprenez à tout le monde à s’arrêter quand un message présente un ou plusieurs de ces traits :

• Urgence ou pression : « aujourd’hui », « immédiatement », « votre compte sera fermé ».
• Une demande qui contourne la procédure habituelle : nouvelles coordonnées bancaires, paiement en cartes-cadeaux, mot de passe demandé par courriel.
• Un expéditeur presque exact : une adresse avec une lettre de trop, ou un nom affiché qui ne correspond pas à l’adresse.
• Un lien qui ne mène pas où il le prétend : survolez-le (ou appuyez longuement sur un téléphone) avant de cliquer.
• Une pièce jointe inattendue, surtout un fichier compressé ou un document qui demande d’« activer le contenu ».

Et une règle par-dessus tout : vérifiez par un autre moyen. Si un fournisseur change ses coordonnées bancaires, appelez-le au numéro que vous avez déjà, pas à celui du courriel.

Pourquoi une formation ponctuelle ne suffit pas

Une présentation annuelle s’oublie en quelques semaines. Ce qui change les comportements, c’est une pratique courte et régulière :

• Des modules courts, de quelques minutes, répartis sur l’année.
• Des simulations réalistes : de faux courriels d’hameçonnage sans danger envoyés à l’équipe, pour voir qui clique et enseigner sur le moment.
• Aucun blâme : le but est d’apprendre, pas de punir. Les gens qui craignent d’être blâmés cachent leurs erreurs, et ce sont les erreurs cachées qui coûtent cher.
• Un suivi des progrès : le taux de clics aux simulations et, surtout, le taux de signalement, c’est-à-dire combien de personnes signalent les messages suspects.

Quoi faire après un clic

Rendez le plan d’intervention simple et connu de tous :

1. Signalez-le immédiatement à votre responsable informatique ou à votre gestionnaire. La rapidité compte plus que tout.
2. Changez le mot de passe du compte touché et activez l’authentification à deux facteurs si ce n’est pas déjà fait.
3. Déconnectez l’appareil du réseau si un fichier a été ouvert.
4. Appelez la banque tout de suite si un paiement a été fait.
5. Signalez la fraude au Centre antifraude du Canada. Les textos suspects peuvent être transférés au 7726.

Si des renseignements personnels de clients ou d’employés ont pu être exposés, la Loi 25 s’applique : l’incident doit être inscrit au registre et, s’il présente un risque de préjudice sérieux, la Commission d’accès à l’information et les personnes concernées doivent être avisées.

Les protections techniques qui appuient la formation

La formation réduit les clics; la technologie limite les dégâts quand l’un d’eux passe :

• L’authentification à deux facteurs sur les courriels et chaque compte important.
• SPF, DKIM et DMARC sur votre domaine, pour que les fraudeurs ne puissent pas facilement envoyer des courriels en votre nom.
• Des appareils et logiciels à jour, et des sauvegardes conservées à part.

Comment NeoLabs vous aide

Nous offrons la formation à l’hameçonnage avec simulations avec notre partenaire SensibiliseMoi, programme québécois gratuit de cybersensibilisation, et nous sécurisons le volet technique : authentification des courriels, sécurité du site web et des accès. Réservez un appel gratuit pour mettre en place un programme pour votre équipe.