Phishing, comment reconnaître un faux e-mail quand on dirige une TPE

Un e-mail tombe dans votre boîte. « Votre remboursement des impôts expire sous 24 heures », ou « Facture impayée, régularisez immédiatement ». Le logo est là, le ton est pressant, et vous hésitez. Faut-il cliquer ? Dans une TPE, personne n'a le temps de jouer les experts en sécurité, et pourtant un seul clic de trop peut coûter très cher.

Bonne nouvelle, la grande majorité des faux e-mails se repèrent avec quelques réflexes simples. Voici comment reconnaître une tentative d'arnaque, les pièges les plus courants pour les commerçants, artisans et indépendants, et surtout quoi faire si vous avez déjà cliqué.

Le phishing, ou hameçonnage, c'est quoi ?

Le phishing, en français l'hameçonnage, est un e-mail frauduleux qui imite un organisme ou une entreprise de confiance, comme les impôts, l'URSSAF, votre banque, un fournisseur ou un service de livraison. Son but est de vous pousser à agir sans réfléchir, en cliquant sur un lien, en saisissant vos identifiants, en communiquant un RIB ou en payant une fausse facture.

Le principe repose sur la confiance et la précipitation. L'escroc se fait passer pour quelqu'un que vous connaissez, crée un sentiment d'urgence, et compte sur le fait que vous agirez vite, sans vérifier.

Pourquoi les TPE sont des cibles faciles

Les très petites entreprises intéressent beaucoup les escrocs, pour trois raisons.

• Vous gérez les factures, les virements et les e-mails vous-même, souvent entre deux rendez-vous, et la vigilance baisse quand on est pressé.
• Vous avez rarement un service informatique ou un filtre professionnel pour trier les e-mails douteux.
• Vos comptes bancaires et vos relations fournisseurs représentent des sommes qui valent le coup pour un fraudeur.

Autrement dit, ce n'est pas parce que votre entreprise est petite que vous passez sous le radar. C'est souvent l'inverse.

7 signes qui trahissent un e-mail frauduleux

Avant de cliquer sur quoi que ce soit, passez l'e-mail au crible de cette liste. Un seul de ces signes doit vous alerter.

1. L'adresse ne correspond pas au nom affiché. Le message dit « impots.gouv.fr » mais l'adresse réelle est quelque chose comme remboursement@secure-impots-xyz.ru. Le nom affiché se falsifie en deux clics, l'adresse réelle beaucoup moins.
2. Le ton met la pression. Urgence, menace, délai très court, compte « bloqué », remboursement « qui expire ». Un organisme sérieux ne vous bouscule jamais de cette façon.
3. On vous demande de l'argent, un RIB, un mot de passe ou un code. Ni votre banque, ni les impôts, ni l'URSSAF ne réclament ces informations par e-mail. Jamais.
4. Les liens ne mènent pas où ils annoncent. Le texte affiche une adresse rassurante, mais le lien pointe vers un tout autre site. Sur ordinateur, survolez le lien sans cliquer pour voir la vraie destination en bas de l'écran.
5. Le domaine est presque juste. Les faux domaines imitent les vrais à une lettre près, comme 1mpots.gouv.fr au lieu de impots.gouv.fr, ou paypa1.com au lieu de paypal.com.
6. Le message est impersonnel ou mal écrit. Un « Cher client » passe-partout, des formules bizarres, des fautes, une mise en page approximative. Ce n'est pas toujours le cas, mais ça reste un indice.
7. Une pièce jointe que vous n'attendiez pas. Facture inconnue, bon de commande surprise, fichier à « vérifier ». N'ouvrez jamais une pièce jointe inattendue.

Les arnaques par e-mail les plus courantes pour une TPE

En pratique, les escrocs recyclent toujours les mêmes scénarios. Les connaître, c'est déjà les désamorcer.

• La fausse facture. Un fournisseur ou un abonnement que vous « auriez oublié de régler », avec un lien de paiement.
• Le faux e-mail des impôts ou de l'URSSAF. Un remboursement à récupérer, une régularisation à faire, un trop-perçu, et il faudrait « confirmer vos coordonnées bancaires ».
• Le changement de RIB d'un fournisseur. Un vrai fournisseur vous écrit, en apparence, que son RIB a changé. Le prochain virement part chez l'escroc. C'est l'une des fraudes les plus coûteuses pour les entreprises.
• Le faux support technique. « Microsoft », « votre banque » ou « votre hébergeur » vous signale un problème et vous demande de vous connecter d'urgence.
• Le faux client. Une demande de devis avec une pièce jointe piégée, ou un « client » trop pressé qui veut régler d'une manière inhabituelle.
• La fausse livraison. Un colis « bloqué » chez un transporteur, avec de petits frais à régler pour le débloquer.

Un doute sur un e-mail ? Vérifiez-le en 30 secondes

Quand l'hésitation s'installe, inutile de deviner. Nous avons créé un outil gratuit pour les TPE, et vous pouvez l'utiliser de deux façons, au choix.

• Par e-mail, le plus simple. Transférez l'e-mail douteux à analyse@altretgo.fr. Vous recevez le verdict par retour de mail, sans rien installer. C'est parfait depuis un mobile.
• En ligne. Rendez-vous sur verif-email.altretgo.fr, déposez l'e-mail ou collez son contenu, et le verdict s'affiche en quelques secondes.

Dans les deux cas, vous obtenez une réponse claire, sûr, suspect ou dangereux, avec les raisons expliquées en français simple. L'outil contrôle l'authentification de l'expéditeur, les liens, l'usurpation d'identité et le ton du message. Vos e-mails ne sont jamais conservés.

👉 Vérifier un e-mail gratuitement

Vous avez déjà cliqué ou payé ? Voici quoi faire

D'abord, pas de panique. Agir vite et dans le bon ordre limite les dégâts.

1. Ne saisissez plus rien et fermez la page frauduleuse.
2. Changez les mots de passe concernés, ainsi que tous ceux identiques utilisés ailleurs.
3. Prévenez votre banque immédiatement si vous avez communiqué un RIB, une carte, ou effectué un paiement. Elle peut tenter de bloquer l'opération.
4. Surveillez vos comptes les jours suivants et conservez une copie de l'e-mail comme preuve.
5. Signalez l'e-mail sur signal-spam.fr, et faites-vous aider gratuitement sur cybermalveillance.gouv.fr, qui vous oriente et vous aide à porter plainte si nécessaire.

Se faire piéger n'a rien de honteux, ces arnaques sont de plus en plus convaincantes. Ce qui compte, c'est de réagir vite.

5 réflexes pour protéger votre entreprise au quotidien

• En cas de doute, ne cliquez pas. Vérifiez par un autre moyen, le site officiel tapé vous-même, ou le numéro habituel figurant sur vos documents, jamais celui indiqué dans l'e-mail.
• Ne communiquez jamais de mot de passe ni de RIB par e-mail. Aucun organisme sérieux ne le demande.
• Activez la double authentification sur votre messagerie et vos comptes importants. Même avec votre mot de passe, l'escroc ne pourra pas entrer.
• Mettez à jour et sauvegardez. Un ordinateur à jour et des sauvegardes régulières limitent les conséquences d'un incident.
• Parlez-en avec votre équipe. Instaurez une règle simple, un e-mail qui demande un paiement ou un changement de RIB se vérifie toujours par téléphone avant d'agir.

Questions fréquentes

Comment signaler un e-mail de phishing en France ?

Signalez l'e-mail sur signal-spam.fr. Pour un SMS frauduleux, transférez-le au 33700. Vous pouvez aussi prévenir directement l'organisme imité, votre banque ou les impôts, via son site officiel.

Je me suis fait avoir, qui contacter ?

Contactez votre banque sans attendre, puis rendez-vous sur cybermalveillance.gouv.fr pour être guidé gratuitement et, si besoin, porter plainte.

Vérifier un e-mail, c'est vraiment gratuit ?

Oui. Que vous transfériez l'e-mail à analyse@altretgo.fr ou que vous passiez par verif-email.altretgo.fr, c'est gratuit, sans installation et sans création de compte. Le contenu de vos e-mails n'est jamais conservé.

En résumé

Un faux e-mail joue sur la confiance et l'urgence. Prenez trente secondes pour vérifier l'expéditeur, les liens et la demande avant d'agir. Dans le doute, ne cliquez pas, et vérifiez par un autre canal. Et si vous hésitez encore, laissez l'outil trancher pour vous, en le transférant à analyse@altretgo.fr ou sur le site.

👉 Vérifiez un e-mail douteux maintenant, gratuitement