Pour réduire les pourriels et les courriels frauduleux, une PME doit combiner la configuration de sa messagerie, la protection des comptes et des habitudes de vérification. Aucun filtre n’arrête tout. Le but est de réduire ce qui arrive aux employés et de limiter les conséquences lorsqu’un message trompeur passe quand même.

Les PME peuvent être visées parce qu’elles échangent des factures, des documents et des demandes urgentes avec de nombreux interlocuteurs. Une attaque peut être automatisée ou reprendre une conversation réelle. La taille de l’entreprise ne suffit pas à la protéger.

Pourriel et hameçonnage : quelle différence?

Le pourriel est un message non sollicité, souvent commercial ou envoyé en masse. L’hameçonnage cherche à tromper une personne pour obtenir un mot de passe, un paiement ou des informations. Un courriel frauduleux peut sembler provenir d’un client, d’un collègue ou d’un fournisseur connu.

Un domaine ressemblant, une fausse page de connexion ou une pièce jointe peuvent soutenir la fraude. Un message envoyé depuis un vrai compte compromis peut aussi paraître crédible. Ne vérifiez donc pas seulement le nom affiché de l’expéditeur.

Quelles protections activer dans la messagerie?

Microsoft 365 et Google Workspace disposent de protections, mais les fonctions et réglages disponibles dépendent de l’offre et de la configuration. Revoyez le filtrage, les pièces jointes, les liens, la quarantaine et les mécanismes de signalement avec la personne qui administre votre environnement.

Une liste d’expéditeurs autorisés trop large peut contourner des contrôles utiles. Une quarantaine sans responsable peut aussi bloquer des messages légitimes sans que personne ne le remarque. La gestion Microsoft 365 et Google Workspace doit inclure ces réglages et leur suivi, pas seulement la création des comptes.

À quoi servent SPF, DKIM et DMARC?

SPF indique quels serveurs sont autorisés à envoyer pour un domaine utilisé dans la vérification. DKIM ajoute une signature que le destinataire peut vérifier. DMARC relie les résultats d’authentification au domaine visible dans l’adresse d’expédition, selon des règles d’alignement, et permet de publier une politique.

Ces mécanismes aident à lutter contre certaines usurpations de votre domaine. Ils ne garantissent pas qu’un message est honnête, ne bloquent pas tous les domaines ressemblants et ne rendent pas inoffensif un compte compromis. Notre guide SPF, DKIM et DMARC pour les courriels d’entreprise explique les distinctions.

Inventoriez d’abord les sources légitimes : messagerie, facturation, formulaires et outils commerciaux. Déployer une politique restrictive sans les vérifier peut empêcher de vrais courriels d’arriver. Analysez les résultats, puis ajustez progressivement la politique.

Comment protéger les comptes et les demandes de paiement?

Activez le MFA et utilisez, lorsque c’est possible, des méthodes résistantes à l’hameçonnage. Le MFA améliore la protection, mais certaines attaques peuvent encore contourner une mauvaise configuration ou voler une session. Prévoyez des méthodes de récupération et examinez les connexions inhabituelles.

Pour un changement de coordonnées bancaires, confirmez par un canal indépendant déjà connu, par exemple le numéro conservé au dossier. Ne vous fiez pas au numéro inclus dans le courriel suspect. Une règle de double validation des paiements peut être plus utile qu’un nouvel outil si le processus actuel accepte toute demande urgente.

Que faire lorsqu’un employé reçoit un message suspect?

Offrez une procédure simple et un point de contact. Encouragez le signalement rapide sans blâme, y compris si la personne a déjà cliqué. Elle doit pouvoir expliquer ce qu’elle a fait et à quel moment, sans transférer le message dangereux à toute l’équipe.

Sensibilisez les employés aux demandes inhabituelles, aux liens et aux fausses urgences. Une courte simulation ou un exemple discuté peut aider, mais la formation ne remplace pas les protections techniques. Documentez qui évalue le signalement et décide des actions.

Et si un compte est compromis?

Faites intervenir rapidement le responsable TI : il peut examiner les sessions, révoquer les accès suspects, revoir les méthodes MFA et contrôler les règles de transfert, les délégations et les applications autorisées. Changer le mot de passe seul ne règle pas nécessairement tout.

Vérifiez les messages envoyés, les données exposées et les paiements concernés. Coordonnez les communications avec les personnes responsables de l’entreprise et de la protection des renseignements. Les obligations dépendent de la situation; ce guide ne constitue pas un avis juridique.

Comment préparer une protection durable?

Les postes des employés doivent aussi être maintenus et sécurisés. Prévoyez des sauvegardes testées et une procédure de continuité : elles aident à reprendre les activités, mais n’annulent pas une divulgation de données ou un paiement frauduleux.

Les services TI de NetBLB peuvent aider à revoir les réglages, les accès et les procédures avec votre fournisseur existant. Commencez par les écarts concrets : comptes sans MFA, transferts inattendus, sources d’envoi inconnues et absence de validation des paiements.