Phishing : réduire le risque humain en 5 gestes

01Le maillon humain n'est pas le problème — c'est la solution

On présente souvent les collaborateurs comme « le maillon faible » de la sécurité. C'est une erreur de lecture : un collaborateur formé qui signale un email suspect en quelques secondes est au contraire votre meilleur capteur de détection. L'objectif d'un programme de sensibilisation n'est pas de faire peur, mais d'installer des réflexes — peu nombreux, concrets, répétés.

Voici les cinq gestes qui, d'après notre expérience terrain auprès des PME, produisent l'essentiel du résultat.

02Les 5 gestes à installer

1. Vérifier l'expéditeur réel, pas le nom affiché. Le nom « Marie Dupont — Direction financière » ne prouve rien : seul le domaine de l'adresse compte. Un caractère substitué ou un domaine approchant doit immédiatement alerter.
2. Se méfier de l'urgence. « À régler avant 17 h », « votre compte sera suspendu » : l'urgence est l'outil principal de l'attaquant, précisément parce qu'elle court-circuite la réflexion. Tout message pressant mérite une pause.
3. Contrôler les liens avant de cliquer. Survoler un lien affiche sa destination réelle. En cas de doute, ne pas cliquer : taper soi-même l'adresse du service concerné dans le navigateur.
4. Signaler plutôt que supprimer. Un email suspect supprimé en silence laisse vos collègues exposés au même message. Un bouton de signalement simple, connu de tous, transforme chaque collaborateur en capteur.
5. Exiger une double validation pour les paiements. Tout changement de RIB, tout virement inhabituel se confirme par un autre canal — un appel au numéro déjà connu, jamais à celui indiqué dans l'email. Cette règle seule neutralise la fraude au président.

03Faire vivre le programme dans la durée

Une session de sensibilisation annuelle ne change pas les comportements. Ce qui fonctionne : des formats courts et réguliers, des simulations de phishing réalistes envoyées tout au long de l'année, et un retour bienveillant — jamais de sanction pour un clic, sans quoi les signalements disparaissent.

Mesurez, communiquez les progrès, et adaptez les scénarios à votre contexte métier : une fausse facture fournisseur parlera plus à votre service comptable qu'un faux colis en attente.

04Et du côté technique ?

Les réflexes humains se doublent de garde-fous techniques : authentification multifacteur partout, filtrage des emails entrants, et configuration correcte de SPF, DKIM et DMARC pour empêcher l'usurpation de votre propre domaine. L'humain attrape ce que la technique laisse passer — et inversement.