Faux emails et fraude : former ses équipes en Martinique et en Guadeloupe

Imaginez quelqu'un qui sonne à votre porte en disant qu'il vient pour la plomberie. Il connaît votre prénom, il sait que vous avez eu une fuite, il a l'air pressé. Vous lui ouvrez. La serrure n'a pas été forcée : c'est vous qui avez ouvert.

Les faux emails fonctionnent exactement ainsi. On les appelle du hameçonnage, « phishing » en anglais : un message qui imite un fournisseur, une banque ou un collègue pour vous pousser à livrer un mot de passe, à cliquer sur un lien piégé ou à faire un virement. Aucune faille technique n'est nécessaire. Il suffit qu'une personne, un matin chargé, fasse confiance.

Pourquoi les petites entreprises sont dans le viseur

On imagine souvent que ces attaques visent les grands groupes. Ce n'est pas vraiment le cas : un faux email coûte quasiment rien à envoyer, et les entreprises plus petites ont en général moins de protections et moins de personnes pour vérifier un doute. Dans une PME (petite ou moyenne entreprise) de Martinique ou de Guadeloupe, où l'on se connaît presque tous, le piège est même plus efficace : un message qui appelle votre collègue par son prénom, ou qui cite le nom d'un fournisseur local, inspire d'emblée confiance. Ces informations se trouvent facilement sur les réseaux sociaux et les sites des entreprises.

La fraude la plus coûteuse pour une PME s'appelle la fraude au faux virement, ou « fraude au président ». Quelqu'un se fait passer pour le dirigeant, ou pour un fournisseur, et demande en urgence un paiement ou un changement de coordonnées bancaires. Le message est poli, plausible, et insiste sur la discrétion. L'argent part, et il est très difficile à récupérer.

Quelques réflexes à apprendre à toute l'équipe

La bonne nouvelle, c'est que quelques réflexes simples suffisent à arrêter la plupart de ces messages.

Vérifier l'adresse de l'expéditeur, pas seulement son nom. Le nom affiché peut être celui de votre directeur. L'adresse derrière, elle, est souvent étrange : une lettre changée, un domaine inattendu.

Ne jamais se connecter via un lien reçu par email. Si un message vous dit que votre compte est bloqué, ouvrez vous-même le site habituel, depuis vos favoris, comme vous le faites chaque jour.

Confirmer par téléphone toute demande d'argent ou de changement de coordonnées bancaires. En appelant un numéro que vous avez déjà, jamais celui écrit dans le message. Cette règle seule bloquerait la grande majorité des fraudes au faux virement.

Ne jamais communiquer un code reçu par SMS. Un code de ce type sert à prouver que c'est bien vous. Le donner à quelqu'un revient à lui remettre la clé.

Et le réflexe le plus important : douter dès que le message est pressant. Un message qui crée l'urgence, menace ou demande la discrétion vise précisément à vous empêcher de réfléchir.

Une heure par trimestre, pas une grande formation

Inutile de bloquer une journée. Une heure par trimestre, avec toute l'équipe, donne de meilleurs résultats qu'une grande formation oubliée au bout d'un mois. On y montre un vrai faux email reçu récemment (en masquant ce qui doit l'être), on repère ensemble ce qui aurait dû alerter, puis chacun pose ses questions. On peut aussi envoyer à l'équipe un faux email d'entraînement, sans conséquence, pour voir qui hésite, et en parler ensuite sans pointer personne.

Cette dernière précision compte. Dans les entreprises où celui qui a cliqué craint d'être réprimandé, il se tait, et l'incident s'aggrave pendant des heures. Dans celles où l'on peut dire « je crois que j'ai fait une bêtise » sans conséquence, l'alerte est donnée tout de suite. Quand l'aide extérieure met plusieurs jours à arriver, comme c'est souvent le cas aux Antilles, ces premières minutes valent beaucoup.

Ce que le dirigeant peut décider dès cette semaine

Une règle écrite, valable pour tous, y compris pour vous : aucun virement ni aucun changement de coordonnées bancaires ne se fait sur la seule foi d'un email. Il faut une confirmation orale, et pour les montants importants, la validation d'une deuxième personne. Cette règle est gratuite, elle prend dix minutes à rédiger, et elle protège plus que bien des logiciels.