Presque toutes les cyberattaques qui touchent une PME commencent de la même façon : un e-mail. Pas une intrusion spectaculaire dans le serveur, pas une faille technique obscure. Un message ordinaire, ouvert un mardi matin par une personne pressée.
C’est ce qui rend le phishing, ou hameçonnage, à la fois si banal et si dangereux. Il ne vise pas vos machines, il vise vos collaborateurs. Et la bonne nouvelle, c’est qu’il se reconnaît, à condition de savoir quoi regarder.
Qu’est-ce que le phishing, exactement ?
Le principe tient en une phrase : un attaquant se fait passer pour quelqu’un en qui vous avez confiance, afin de vous faire faire quelque chose que vous ne feriez jamais autrement.
Ce « quelque chose » prend trois formes principales. Saisir vos identifiants sur un faux site qui ressemble trait pour trait au vrai. Ouvrir une pièce jointe qui installe un logiciel malveillant. Effectuer un paiement ou transmettre des informations à une personne qui n’est pas celle qu’elle prétend être.
En Suisse, le phénomène est massif. L’Office fédéral de la cybersécurité (OFCS) a reçu 64 733 déclarations volontaires de cyberincidents en 2025, contre 62 954 l’année précédente. Sur le seul second semestre 2025, l’hameçonnage représente 6 299 annonces, et la fraude au sens large 15 090 annonces, soit 52 % du total.
Ces chiffres ne comptent que les cas signalés. La plupart des tentatives ne sont jamais déclarées. Notre page sur la cybercriminalité en Suisse en chiffres détaille ce que ces annonces recouvrent et quelles sont leurs limites.
Les six signaux d’alerte à connaître
Aucun signal pris isolément ne prouve qu’un message est frauduleux. C’est l’accumulation qui doit vous alerter.
| Signal | Ce que ça donne concrètement |
|---|---|
| L’urgence | « Votre compte sera bloqué dans 24 heures », « dernier rappel avant suspension » |
| La demande inhabituelle | On vous demande un mot de passe, un paiement urgent, un numéro de carte |
| Le lien qui ne correspond pas | Le texte affiche un nom connu, mais l’adresse réelle pointe ailleurs |
| L’adresse d’expéditeur approximative | Un domaine presque juste, avec une lettre en plus ou une extension différente |
| Une pièce jointe inattendue | Une facture, un bon de livraison ou un devis que vous n’attendiez pas |
| Le contournement des règles | « N’en parlez à personne », « traitez ça directement avec moi » |
Le signal le plus fiable reste la combinaison de l’urgence et d’une demande inhabituelle. Un attaquant a besoin que vous agissiez sans réfléchir. Toute pression sur le temps doit donc déclencher exactement l’inverse : une pause.
Pour vérifier un lien sans risque, posez simplement le curseur dessus sans cliquer. L’adresse réelle s’affiche en bas de la fenêtre, ou dans une bulle sur téléphone. Lisez-la de droite à gauche jusqu’au premier slash : c’est là que se trouve le vrai domaine.
Quatre exemples que vous verrez en Suisse romande
Les campagnes qui fonctionnent chez nous imitent des acteurs que tout le monde connaît. Voici les quatre scénarios les plus courants.
Le faux avis de colis de la Poste. Un message annonce qu’un envoi n’a pas pu être livré et qu’il faut régler des frais de dédouanement de quelques francs. La somme est volontairement dérisoire, pour ne pas éveiller les soupçons. Le formulaire demande ensuite le numéro de carte complet. Le point de bascule : un transporteur ne réclame jamais de données de carte par e-mail pour un colis que vous n’attendiez pas.
La fausse facture Swisscom ou d’un opérateur. Le courriel imite la mise en page réelle, avec logo, numéro de client et montant plausible. Il annonce un impayé et menace d’une coupure de ligne. Le lien mène à une copie du portail client. Le point de bascule : ouvrez votre espace client en tapant vous-même l’adresse dans le navigateur, jamais depuis le lien du message.
Le faux message bancaire. Il évoque une opération suspecte à confirmer, ou une nouvelle procédure d’authentification à activer. Certaines variantes sont suivies d’un appel téléphonique d’un prétendu conseiller, qui rassure et guide la victime. Le point de bascule : aucune banque suisse ne demande vos codes d’accès, ni ne vous fait valider une transaction que vous n’avez pas initiée.
Le faux service informatique interne. C’est le plus efficace en entreprise. Un message signé « Support IT » annonce une migration de la messagerie et invite à se reconnecter pour éviter la perte des e-mails. La page ressemble à votre webmail habituel. Le point de bascule : votre informaticien ne vous demandera jamais votre mot de passe, ni par e-mail ni par téléphone.
Le nom qui apparaît dans votre boîte de réception est un libellé libre, que l'expéditeur choisit lui-même. Un attaquant peut y écrire « La Poste Suisse » ou le nom de votre directeur. Pire, le message peut réellement provenir de la boîte d'un partenaire dont le compte a été piraté : dans ce cas, toutes les vérifications techniques passent au vert. Seule une vérification par un autre canal apporte une certitude.
Le réflexe qui neutralise presque tout
Une seule habitude suffit à désamorcer la majorité des attaques : la vérification par un second canal.
Le message vous demande un virement ? Appelez la personne. Il annonce un problème sur votre compte ? Connectez-vous en tapant l’adresse vous-même. Le support informatique vous écrit ? Passez la tête dans son bureau, ou téléphonez-lui.
La règle absolue tient en une nuance qui change tout : utilisez un numéro que vous connaissez déjà, jamais celui indiqué dans le message. Les faux e-mails contiennent souvent un numéro de contact, et au bout du fil se trouve l’attaquant.
Ce réflexe protège aussi contre les variantes plus élaborées, comme la fraude au président, où un faux dirigeant réclame un paiement urgent et confidentiel, ou plus largement contre l’ingénierie sociale.
Que faire si quelqu’un a déjà cliqué ?
Cela arrive, y compris à des gens attentifs. Ce qui compte est la rapidité de la réaction.
Dans les minutes qui suivent. Déconnectez le poste du réseau, en débranchant le câble ou en coupant le wifi, sans éteindre la machine. Prévenez immédiatement votre responsable informatique.
Dans l’heure. Changez le mot de passe concerné depuis un autre appareil, ainsi que celui de tous les comptes où il était réutilisé. Activez la double authentification là où elle ne l’est pas.
Dans la journée. Vérifiez les paramètres de la messagerie : les attaquants créent souvent une règle de transfert automatique pour continuer à lire les messages après le changement de mot de passe. Si un paiement a été effectué, contactez la banque sans attendre, car un virement récent peut parfois encore être rappelé. Signalez enfin l’incident à l’OFCS.
Si des données personnelles de clients ou de collaborateurs sont concernées, une annonce au Préposé fédéral peut être requise. En règle générale, cette évaluation doit être faite rapidement : le détail des obligations est traité dans notre article sur vos obligations nLPD. Pour la chronologie complète d’une réaction à incident, voyez les premières heures.
Le pire scénario pour une PME n'est pas qu'un collaborateur clique, c'est qu'il n'ose pas le dire. Quelques heures de silence suffisent à transformer un incident maîtrisable en catastrophe. Dites-le explicitement à vos équipes : signaler une erreur ne sera jamais sanctionné, tarder à la signaler est le seul vrai problème.
Comment réduire le risque durablement ?
La vigilance individuelle est indispensable, mais elle a une limite : elle dépend de l’attention d’une personne à un instant donné. Quelques mesures techniques rattrapent les moments de fatigue.
Activez la double authentification sur la messagerie et les accès à distance. C’est la mesure qui offre le meilleur rapport entre effort et protection : même volé, un mot de passe ne suffit plus.
Configurez correctement les protections de votre messagerie professionnelle, notamment les mécanismes qui empêchent l’usurpation de votre propre nom de domaine.
Maintenez des sauvegardes conformes à la règle 3-2-1 des sauvegardes, car un clic malheureux peut aussi déclencher un rançongiciel.
Enfin, entretenez le réflexe collectif, en installant un programme de sensibilisation court et régulier plutôt qu’une séance annuelle. Des simulations de phishing bien menées mesurent le niveau réel de votre équipe et donnent des occasions concrètes d’en parler. Elles ne produisent toutefois leur effet que dans une entreprise où signaler une erreur n’expose à rien, ce qui se construit comme l’explique notre article sur la culture de sécurité sans culpabilisation.
Selon l'étude PME Cybersécurité 2025, 42 % des PME suisses estiment leur protection suffisante, contre 55 % un an plus tôt. Cette baisse n'est pas une mauvaise nouvelle : elle traduit une prise de conscience. Reste à la transformer en mesures concrètes.
Pour situer votre entreprise, le check-up cyber consacre plusieurs questions à la messagerie et aux réflexes de vérification. Les autres attaques qui visent les PME romandes sont détaillées dans le pilier Menaces.