Introduction

Dans un contexte professionnel où les cybermenaces représentent un risque croissant pour les entreprises, la sensibilisation et la réactivité face aux tentatives de phishing constituent des enjeux majeurs. Ce mémo pratique vise à accompagner les collaborateurs victimes ou témoins d'une tentative d'arnaque par mail indésirable, en leur fournissant une procédure claire et efficace de signalement.

1. Identification et premiers réflexes

1.1 Reconnaître un mail frauduleux

Avant tout signalement, il convient d'identifier correctement une tentative de phishing. Les signaux d'alerte incluent :

• Expéditeur inconnu ou adresse mail suspecte
• Fautes d'orthographe ou de grammaire
• Demande urgente d'informations confidentielles
• Liens suspects ou pièces jointes non sollicitées

1.2 Mesures immédiates

Ne jamais :

• Cliquer sur les liens contenus dans le message
• Ouvrir les pièces jointes
• Répondre au mail ou communiquer des informations personnelles

Toujours :

• Conserver le message comme preuve
• Informer le service informatique de votre entreprise

2. Procédures de signalement

2.1 Signalement via Signal Spam

Signal Spam constitue la plateforme de référence pour le signalement des mails frauduleux en France. Cette organisation, partenaire de la CNIL, centralise les signalements pour agir contre les cybercriminels.

Procédure :

1. Créer un compte gratuit sur www.signal-spam.fr
2. Choisir l'une des deux méthodes :
   • Avec module : Installer l'extension pour votre logiciel de messagerie (Outlook, Thunderbird, Mac Mail)
   • Sans module : Copier le code source complet du mail (en-têtes + corps du message)
3. Transmettre les informations via la plateforme

2.2 Signalement à l'entité usurpée

Les entreprises dont l'identité est usurpée disposent généralement d'adresses dédiées au signalement :

2.3 Signalement sur Phishing Initiative

Pour signaler l'URL d'un site frauduleux mentionné dans le mail :

1. Accéder à phishing-initiative.fr
2. Copier l'adresse du site suspect (sans cliquer sur le lien)
3. Coller l'URL dans le formulaire de vérification
4. Le service vérifiera et bloquera le site si nécessaire

2.4 Autres canaux de signalement

• PHAROS : www.internet-signalement.gouv.fr pour les escroqueries caractérisées
• SMS/MMS frauduleux : Signaler au 33700 (service gratuit)
• Messagerie interne : Utiliser les fonctionnalités de signalement de votre boîte mail professionnelle

3. En cas de compromission

Si des informations ont été divulguées ou des actions effectuées suite au mail frauduleux :

3.1 Actions immédiates

1. Informer immédiatement le service informatique et la direction
2. Modifier tous les mots de passe potentiellement compromis
3. Surveiller les comptes bancaires et professionnels
4. Documenter l'incident (captures d'écran, historique des actions)

3.2 Démarches légales

• Porter plainte au commissariat ou à la gendarmerie
• Contacter le procureur de la République par écrit si nécessaire
• Solliciter l'assistance d'Info Escroqueries : 0 805 805 817 (service gratuit)

4. Prévention et sensibilisation

4.1 Formation continue

L'entreprise doit mettre en place :

• Des sessions de sensibilisation régulières
• Des tests de phishing simulés
• Une communication sur les nouvelles menaces

4.2 Outils et ressources

• Documentation Cybermalveillance.gouv.fr
• Modules de formation internes
• Procédures de signalement affichées

Conclusion

Le signalement rapide et systématique des tentatives de phishing constitue un maillon essentiel de la cybersécurité en entreprise. Chaque collaborateur, en adoptant les bons réflexes et en utilisant les canaux appropriés, contribue à la protection collective contre ces menaces. La vigilance et la réactivité demeurent nos meilleures défenses face à l'évolution constante des techniques d'hameçonnage.

Glossaire

Code source : Ensemble des informations techniques d'un email, comprenant les en-têtes (données techniques invisibles) et le corps du message.

En-têtes : Partie technique d'un email contenant les informations de routage et d'authentification permettant d'identifier l'émetteur réel.

Hameçonnage (Phishing) : Technique frauduleuse visant à obtenir des informations confidentielles en se faisant passer pour une entité de confiance.

PHAROS : Plateforme d'Harmonisation, d'Analyse, de Recoupement et d'Orientation des Signalements du ministère de l'Intérieur.

Signal Spam : Organisation française spécialisée dans la lutte contre le spam et le phishing, partenaire de la CNIL.

Usurpation d'identité : Utilisation frauduleuse de l'identité d'une personne ou d'une organisation à des fins malveillantes.

Références bibliographiques

1. Cybermalveillance.gouv.fr (2023). Comment signaler un mail de phishing ou d'hameçonnage ? [En ligne]. Disponible sur : https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/comment-signaler-un-mail-de-phishing

2. CNIL (2023). Phishing : comment signaler un mail frauduleux. Commission Nationale de l'Informatique et des Libertés.

3. Signal Spam (2023). Guide de signalement des messages frauduleux. [En ligne]. Disponible sur : https://www.signal-spam.fr

4. ANSSI (2023). Guide d'hygiène informatique. Agence Nationale de la Sécurité des Systèmes d'Information.

5. Orange Cyberdéfense (2023). Phishing Initiative : plateforme collaborative de lutte contre le phishing. [En ligne]. Disponible sur : https://phishing-initiative.fr

Document rédigé à des fins de sensibilisation et de formation professionnelle. Pour toute question spécifique à votre organisation, consultez votre service informatique ou votre responsable sécurité.