Comment protéger les courriels de votre PME contre l’hameçonnage

Un courriel qui semble venir de votre banque. Un message urgent de votre fournisseur habituel qui demande un virement. Une facture inattendue avec un lien pour « confirmer le paiement ». Ces situations, des milliers de PME au Québec les vivent chaque année, et beaucoup tombent dans le piège sans même s’en rendre compte. L’hameçonnage, aussi appelé phishing, est aujourd’hui la porte d’entrée la plus utilisée par les cybercriminels pour s’infiltrer dans les entreprises. Voici comment reconnaître ces attaques, protéger vos courriels et réduire drastiquement les risques pour votre PME.

Chiffre clé : en 2024, le Centre antifraude du Canada a recensé 67,3 millions de dollars de pertes déclarées au titre du harponnage, une fraude par courriel qui ne vise que les entreprises, soit 107 415 $ en moyenne par victime (Rapport statistique annuel 2024).

Qu’est-ce que l’hameçonnage et pourquoi les PME sont les premières cibles ?

L’hameçonnage est une technique de fraude où un cybercriminel envoie un courriel ou un message qui imite parfaitement une source de confiance, banque, gouvernement, fournisseur, Microsoft, Postes Canada, pour vous inciter à cliquer sur un lien malveillant, entrer vos identifiants ou effectuer un transfert d’argent.

Selon l’Évaluation des cybermenaces nationales 2025-2026 du Centre canadien pour la cybersécurité (CCCS), l’hameçonnage reste le vecteur d’attaque numéro un au Canada. Le Centre fait explicitement mention de la prolifération des trousses d’hameçonnage vendues en ligne et des agents conversationnels alimentés par l’IA, qui permettent aux criminels de créer des courriels trompeurs en quelques secondes, dans un français parfait, sans fautes d’orthographe.

Les PME sont particulièrement visées pour plusieurs raisons :

• Elles ont moins de ressources en cybersécurité que les grandes entreprises
• Elles traitent des données sensibles (clients, finances, fournisseurs)
• Elles font confiance à des courriels sans vérification systématique
• Elles servent souvent de point d’entrée vers de plus grandes organisations partenaires

En 2024, le Centre antifraude du Canada a recensé 67,3 millions de dollars de pertes déclarées au titre du harponnage, la fraude par courriel qui vise les entreprises (Rapport statistique annuel 2024). Ce chiffre ne couvre que les cas signalés : la réalité est plus élevée, puisque beaucoup d’entreprises ne portent jamais plainte.

Les types d’hameçonnage les plus courants en 2025-2026

Les attaques ont beaucoup évolué. Oubliez le courriel avec des fautes évidentes du « prince nigérian ». Aujourd’hui, les messages sont soignés, personnalisés et quasi indiscernables d’un vrai courriel professionnel.

• Hameçonnage générique : Envoyé en masse, imite une banque, Revenu Canada, Amazon, Microsoft ou Postes Canada. Contient un lien vers une fausse page de connexion.
• Harponnage (spear phishing) : Ciblé sur une personne précise dans l’entreprise, souvent en utilisant son nom, son titre et des informations publiques. Beaucoup plus convaincant.
• Fraude au PDG (BEC) : Le criminel se fait passer pour le directeur de l’entreprise et demande à un employé d’effectuer un virement urgent ou de fournir des identifiants.
• Hameçonnage par SMS (smishing) : Via message texte, souvent en imitant Postes Canada, une banque ou un service de livraison.
• Hameçonnage vocal (vishing) : Appel téléphonique d’un faux agent du gouvernement ou d’une banque.

En 2025, 82,6 % des courriels d’hameçonnage détectés montraient un usage de l’IA, selon le Phishing Threat Trends Report de KnowBe4. Microsoft, de son côté, mesure un taux de clic de 54 % pour l’hameçonnage automatisé par IA, contre 12 % pour l’hameçonnage classique. Cela signifie que la qualité rédactionnelle n’est plus un indicateur fiable. Un courriel bien écrit n’est pas nécessairement légitime.

Comment reconnaître un courriel d’hameçonnage ?

Même les messages bien construits laissent souvent des traces. Voici les éléments à vérifier avant de cliquer sur quoi que ce soit :

• L’adresse courriel de l’expéditeur : Le nom affiché peut sembler officiel, mais l’adresse réelle est souvent suspecte. Ex. : « Microsoft Support » avec l’adresse support@microsft-help.net.
• Les liens avant de cliquer : Survolez le lien avec votre souris sans cliquer. L’URL affichée dans le bas de l’écran doit correspondre exactement au vrai site.
• L’urgence artificielle : « Votre compte sera désactivé dans 24 heures », « Action requise immédiatement ». Les vrais organismes ne créent pas de panique par courriel.
• Les demandes inhabituelles : Un fournisseur qui change ses coordonnées bancaires par courriel, un collègue qui demande un accès urgent hors des procédures normales.
• Les pièces jointes non attendues : PDF, Word ou ZIP envoyés sans contexte préalable sont des vecteurs courants d’infection.

La règle d’or : En cas de doute, ne cliquez pas. Appelez directement la personne ou l’organisation par un numéro que vous connaissez déjà, jamais celui fourni dans le courriel suspect.

Les 6 mesures techniques pour protéger les courriels de votre PME

La sensibilisation des employés est essentielle, mais elle ne suffit pas seule. Des protections techniques robustes doivent être en place pour filtrer les menaces avant même qu’elles arrivent dans les boîtes de réception.

Authentification et filtrage des courriels

• SPF, DKIM et DMARC : Ces trois protocoles d’authentification des courriels empêchent les criminels d’envoyer des messages en usurpant votre nom de domaine. Si votre domaine ne les a pas configurés, n’importe qui peut envoyer un courriel en se faisant passer pour vous.
• Microsoft Defender for Office 365 : Inclus dans les licences Microsoft 365 Business Premium, il analyse chaque courriel en temps réel, bloque les liens malveillants et met en quarantaine les pièces jointes suspectes avant qu’elles atteignent l’utilisateur.

Contrôle des accès et protection des comptes

• Authentification multifacteur (MFA) : Même si un employé se fait voler ses identifiants via un phishing, la MFA empêche le criminel d’accéder au compte sans le deuxième facteur d’authentification. C’est la mesure de protection la plus efficace, selon le CCCS.
• Filtrage DNS : Bloque automatiquement l’accès aux sites web malveillants connus, même si l’employé clique sur le lien. Un filet de sécurité supplémentaire en cas d’erreur humaine.

Sensibilisation et formation de l’équipe

• Formation et simulations de phishing : Des tests réguliers envoient de faux courriels de phishing à vos employés pour mesurer leur vigilance et les former de manière concrète, sans risque réel.
• Politiques d’accès conditionnel : Limitent l’accès aux applications d’entreprise selon l’appareil, l’emplacement et le niveau de risque détecté, réduisant ainsi l’impact d’un compte compromis.

Que faire si un employé a cliqué sur un lien de phishing ?

Ça arrive, même dans les meilleures entreprises. L’important est d’agir vite et de ne pas paniquer. Voici les étapes à suivre immédiatement :

• Déconnectez l’appareil du réseau (Wi-Fi et câble Ethernet) pour stopper une éventuelle propagation.
• Ne redémarrez pas l’appareil : un redémarrage peut effacer des traces utiles pour l’analyse.
• Changez immédiatement les mots de passe du compte compromis depuis un autre appareil sain.
• Avisez votre équipe TI ou votre fournisseur informatique sans délai pour qu’une analyse soit faite.
• Vérifiez si des données ont été transmises : connexions récentes, courriels envoyés, fichiers téléchargés.
• Signalez l’incident au Centre antifraude du Canada si une fraude financière est impliquée.

Plus la réaction est rapide, plus les dégâts sont limités. Une intervention dans les premières heures peut faire la différence entre un incident mineur et une violation de données majeure avec des conséquences légales.

La formation des employés : votre meilleure ligne de défense

Les outils techniques filtrent beaucoup de menaces, mais un employé non formé peut toujours ouvrir une brèche. Selon le CCCS, la grande majorité des incidents de cybersécurité impliquent une erreur humaine comme point de départ.

Une bonne formation anti-phishing pour une PME devrait inclure :

• Sensibilisation aux différents types d’attaques (phishing, smishing, vishing, fraude au PDG)
• Exemples concrets de vrais courriels malveillants désamorcés
• Procédures claires à suivre en cas de doute ou d’incident
• Simulations périodiques pour maintenir la vigilance dans le temps
• Mise à jour annuelle selon les nouvelles tactiques utilisées par les cybercriminels

L’objectif n’est pas de pointer du doigt les employés qui tombent dans le piège, mais de créer une culture de vigilance où chacun se sent responsable de la sécurité de l’entreprise. Un employé qui signale un courriel suspect a rendu un service précieux à toute l’organisation.

Questions fréquentes sur la protection contre l’hameçonnage

Comment savoir si mon entreprise a déjà été victime d’hameçonnage ?

Les signes les plus courants : connexions inhabituelles à des comptes, courriels envoyés depuis votre adresse sans votre intervention, demandes de réinitialisation de mot de passe non sollicitées, ou transactions financières non autorisées. Un audit de sécurité permet de vérifier l’historique de vos connexions et de détecter des compromissions passées.

La MFA suffit-elle à protéger mon entreprise contre le phishing ?

La MFA est la mesure la plus efficace contre les comptes compromis, mais elle ne suffit pas seule. Un employé peut quand même cliquer sur un lien malveillant qui installe un logiciel espion ou déclenche un rançongiciel. La MFA se combine avec la formation des employés et un filtrage avancé des courriels pour une protection complète.

Les simulations de phishing sont-elles vraiment utiles ?

Oui, et les résultats sont mesurables. Les entreprises qui font des simulations régulières voient le taux de clics sur de vrais courriels malveillants diminuer significativement en quelques mois. L’objectif n’est pas de piéger les employés, mais de créer des réflexes de vigilance dans un contexte sans risque réel.

OKTO Solutions protège les courriels des PME de Trois-Rivières et du Québec

Chez OKTO Solutions, la protection des courriels fait partie de notre approche de cybersécurité intégrée pour PME. Nous configurons et maintenons les protections SPF, DKIM, DMARC, Microsoft Defender for Office 365, la MFA et les politiques d’accès conditionnel pour que vos courriels soient protégés de bout en bout.

Nous offrons aussi des formations anti-phishing adaptées aux réalités des PME québécoises, avec des simulations réelles pour tester et renforcer la vigilance de votre équipe sans créer de panique inutile.

Si vous n’êtes pas certain du niveau de protection actuel de vos courriels, un audit de cybersécurité permet de faire le point rapidement et d’identifier les lacunes à corriger en priorité. Mieux vaut le découvrir avant un incident qu’après.

Pour en savoir plus, consultez la protection contre l’hameçonnage Microsoft 365 disponible sur Microsoft Learn.

Sources : Centre canadien pour la cybersécurité : Évaluation des cybermenaces nationales 2025-2026 (cyber.gc.ca) | Centre antifraude du Canada : Rapport annuel 2024 (antifraudcentre-centreantifraude.ca) | Microsoft Digital Defense Report 2025 (microsoft.com)