Qu'est-ce que l'hameçonnage (phishing)?
L'hameçonnage (« phishing » en anglais) est une technique de fraude : une personne malveillante se fait passer pour une organisation de confiance (banque, fournisseur, service gouvernemental, collègue ou patron) pour vous amener à poser un geste précis — cliquer sur un lien, ouvrir une pièce jointe, saisir un mot de passe ou effectuer un paiement. Le message paraît légitime, mais il sert à voler des informations, installer un logiciel malveillant ou détourner des fonds.
Le terme couvre plusieurs variantes que vos employés doivent connaître :
- Hameçonnage ciblé (spear phishing) message personnalisé visant une personne précise, souvent avec son nom, son poste et des détails réels.
- Fraude au président (whaling) usurpation de l'identité d'un dirigeant pour faire approuver un virement ou une demande urgente par la comptabilité.
- Hameçonnage par texto (smishing) SMS frauduleux, par exemple un faux avis de livraison ou de remboursement.
- Hameçonnage vocal (vishing) appel téléphonique où le fraudeur se fait passer pour le soutien informatique ou une institution financière.
- Hameçonnage par code QR (quishing) code QR menant vers une fausse page de connexion.
Formation Loi 25 pour votre équipe
Chaque employé reçoit un lien, complète sa formation, obtient son certificat.
Pourquoi les PME sont-elles ciblées?
Beaucoup de dirigeants croient être trop petits pour intéresser les fraudeurs. C'est l'inverse : les PME sont des cibles de choix parce qu'elles disposent de données et de fonds réels, mais souvent avec moins de protections techniques et de personnel formé qu'une grande entreprise. Selon Statistique Canada (2023), environ 16 % des entreprises canadiennes ont déclaré avoir été touchées par un incident de cybersécurité.
Plusieurs facteurs rendent les PME vulnérables :
- Les attaques sont massives et automatisées : un message frauduleux est envoyé à des milliers d'adresses, sans cibler une marque en particulier.
- Une PME conserve des renseignements personnels de clients, d'employés et de fournisseurs — des données monnayables.
- Les processus d'approbation des paiements sont parfois informels, ce qui facilite la fraude au président.
- Sans sensibilisation, un seul clic d'un employé peut suffire à compromettre tout le réseau.
La bonne nouvelle : la majorité des tentatives d'hameçonnage échouent dès qu'un employé sait quoi regarder. Le Centre canadien pour la cybersécurité publie d'ailleurs des ressources gratuites destinées aux petites et moyennes entreprises.
Les signaux d'alerte d'un courriel d'hameçonnage
Aucun signal pris isolément ne prouve une fraude, mais leur accumulation doit éveiller la méfiance. Une bonne sensibilisation ancre le réflexe de vérifier ces quatre dimensions avant tout clic :
| À vérifier | Signal d'alerte concret |
|---|---|
| L'expéditeur | Adresse qui imite un nom connu avec une faute, un domaine public (gmail, outlook) pour une « banque », ou un nom d'affichage qui ne correspond pas à l'adresse réelle. |
| Le ton et l'urgence | Pression au paiement immédiat, menace de suspension de compte, demande de confidentialité, gain inattendu. L'urgence sert à court-circuiter votre jugement. |
| Les liens | Adresse réelle (visible en survolant le lien) différente du texte affiché, domaine inhabituel, lien raccourci, ou page de connexion qui demande vos identifiants. |
| Les pièces jointes | Fichier inattendu, facture d'un fournisseur inconnu, document demandant d'« activer les macros », extension douteuse (.zip, .html, .exe). |
Ajoutez à cela les fautes d'orthographe inhabituelles, une formule d'appel impersonnelle (« Cher client ») et toute demande de mot de passe par courriel aucune organisation légitime ne procède ainsi.
Comment réagir et signaler une tentative
Le bon réflexe tient en trois mots : ne rien faire, vérifier, signaler. Devant un message suspect, vos employés doivent savoir exactement quoi faire :
- Ne cliquez sur aucun lien et n'ouvrez aucune pièce jointe tant que le doute n'est pas levé.
- Ne répondez pas et ne fournissez jamais de mot de passe ni d'information bancaire par courriel ou par téléphone.
- Vérifiez par un autre canal : rappelez la personne au numéro officiel connu, pas à celui inscrit dans le message.
- Signalez le message à la personne responsable de l'informatique ou de la sécurité dans votre organisation, même en cas de simple doute.
- Si vous avez déjà cliqué ou saisi des informations : changez immédiatement le mot de passe concerné, prévenez votre responsable et conservez le message comme preuve.
L'objectif d'une culture de sécurité saine est qu'un employé qui a cliqué se sente encouragé à le signaler rapidement plutôt que de le cacher. Plus le signalement est rapide, plus on limite les dégâts. Établir un canal de signalement clair fait partie de la sensibilisation du personnel à la cybersécurité.
Comment fonctionne un programme de sensibilisation efficace contre le phishing?
Une présentation annuelle d'une heure ne change pas durablement les comportements. Un programme de sensibilisation qui fonctionne repose sur deux piliers : des mises en situation concrètes et des simulations répétées dans le temps. La formation devient alors continue plutôt que ponctuelle.
- Mises en situation réalistes on présente de vrais exemples de messages frauduleux et on apprend à repérer chaque signal d'alerte.
- Simulations d'hameçonnage des courriels d'entraînement, inoffensifs, sont envoyés aux employés pour mesurer qui clique et offrir une rétroaction immédiate, sans blâme.
- Micro-apprentissage des modules courts d'environ 30 minutes, plus faciles à intégrer qu'une longue session, avec des rappels réguliers.
- Suivi et certificats un tableau de bord montre qui a complété la sensibilisation et conserve des certificats nominatifs comme preuve.
- Répétition la vigilance s'entretient : des rappels périodiques par courriel, Slack ou Teams maintiennent le réflexe.
Vous pouvez approfondir le fonctionnement des simulations d'hameçonnage en entreprise et la manière dont elles s'intègrent à un programme de cybersécurité complet sur notre page pilier consacrée à la cybersécurité pour PME.
Hameçonnage et protection des renseignements personnels
Un seul clic peut transformer une tentative d'hameçonnage en incident de confidentialité. Si un fraudeur obtient l'accès à votre messagerie ou à vos systèmes, il peut consulter, copier ou voler des renseignements personnels de vos clients et de vos employés. Au sens de la Loi 25, un tel accès non autorisé peut constituer un incident de confidentialité que votre entreprise a l'obligation de gérer et, le cas échéant, de déclarer à la Commission d'accès à l'information du Québec et aux personnes concernées.
La Loi 25 exige de prendre des mesures de sécurité propres à assurer la protection des renseignements personnels. Elle n'impose pas nommément une sensibilisation à la cybersécurité, mais sensibiliser vos employés à reconnaître l'hameçonnage soutient concrètement cette obligation : c'est l'une des mesures raisonnables qui réduit le risque d'un accès non autorisé. La sensibilisation à la sécurité s'inscrit ainsi dans le même effort que la formation Loi 25 de vos employés.
Pour explorer plus en détail comment la sensibilisation à la cybersécurité s'articule avec vos obligations légales, consultez notre page sur le lien entre la cybersécurité et la Loi 25.