Le phishing (ou hameçonnage en français) est une technique de cyberattaque : un individu malveillant se fait passer pour une entité de confiance — banque, fournisseur SaaS, administration. Son objectif est de tromper sa victime pour lui soutirer des informations sensibles : mots de passe, numéros de carte bancaire ou accès à des systèmes d’information.

Comment fonctionne une attaque de phishing ?

Une attaque de phishing consiste à usurper l’identité d’une entité de confiance pour tromper une victime et voler ses données d’accès.

Elle suit généralement un schéma en trois étapes.

1. L’appât. L’attaquant envoie un message frauduleux (email, SMS, message sur réseau social) qui imite visuellement une communication légitime. L’attaquant copie la mise en page, le logo et le ton de l’organisation usurpée.

2. L’hameçon. Le message contient un lien vers un faux site Web conçu pour ressembler au site officiel, ou une pièce jointe infectée. La victime saisit ses identifiants ou ses coordonnées bancaires, ou télécharge un fichier infecté.

3. La récolte. Les attaquants récupèrent immédiatement les données saisies. Ils exploitent ensuite l’accès obtenu directement ou le revendent sur des forums clandestins.

Les variantes du phishing sont nombreuses : le spear phishing cible une personne précise, le whaling vise les dirigeants, le smishing passe par SMS et le vishing opère par appel vocal.

Pourquoi le phishing est-il critique pour les PME ?

Les PME sont des cibles privilégiées du phishing. Elles disposent rarement de la maturité cybersécurité des grands groupes : pas de RSSI à temps plein, pas de SOC, budgets limités. Pourtant, elles manipulent des données sensibles (clients, fournisseurs, comptabilité) et s’appuient sur un nombre croissant de logiciels SaaS.

Un compte SaaS compromis (CRM, ERP, outil de paie) peut entraîner une fuite de données clients, une fraude au virement bancaire ou une paralysie de l’activité par ransomware.

Par ailleurs, la conformité RGPD impose aux entreprises de notifier la CNIL en cas de violation de données personnelles dans les 72 heures. Une attaque de phishing réussie peut donc entraîner des sanctions financières en plus du préjudice opérationnel.

Les outils SaaS modernes intègrent désormais des mécanismes de protection : authentification à deux facteurs, Single Sign-On (SSO), journaux d’accès, alertes de connexion suspecte.

Exemples concrets d’attaques de phishing en entreprise

À retenir : selon l’ANSSI, plus de 60 % des cyberincidents signalés par des TPE/PME françaises débutent par un email de phishing.

Email usurpant un fournisseur SaaS. Un email semblant provenir d’une solution de facturation en ligne demande à la comptable de « reconfirmer ses accès ». Le lien mène vers un faux portail qui enregistre le mot de passe saisi.

Fraude au président. Un dirigeant reçoit un email prétendument envoyé par son expert-comptable, lui demandant de valider un virement urgent avant clôture. L’adresse email diffère d’un seul caractère de celle de l’expéditeur légitime.

Phishing sur interface API. Des attaquants envoient un faux email de notification d’une API tierce pour récupérer des clés d’authentification et accéder au système d’information cible.

Dans tous ces cas, la vigilance humaine reste la première ligne de défense, complétée par des filtres antispam, l’authentification multi-facteurs et la formation régulière des équipes.

Termes liés

  • RGPD — le cadre réglementaire européen de protection des données personnelles
  • SaaS — modèle logiciel en ligne particulièrement ciblé par le phishing
  • API — interface technique dont les clés peuvent être volées par hameçonnage
  • CRM — outil contenant des données clients sensibles, cible fréquente
  • RGPD — obligations de notification en cas de violation de données