Phishing et ransomware : reconnaître, éviter, réagir

Le phishing (hameçonnage) est la porte d'entrée ; le ransomware (rançongiciel) est la catastrophe qui suit. Dans plus de neuf incidents sur dix, tout commence par un simple clic. Savoir le repérer — sur tous les canaux, y compris ceux dopés par l'IA — change tout.

1. La chaîne d'attaque, du clic au chiffrement

Comprendre la mécanique aide à couper la chaîne au bon endroit. Elle se déroule presque toujours en quatre temps : un e-mail d'hameçonnage incite à cliquer ou à saisir des identifiants ; l'attaquant obtient un accès (identifiants volés ou logiciel malveillant installé) ; il se déplace discrètement dans le système, souvent pendant des jours voire des semaines, en repérant les données et les sauvegardes ; puis il chiffre les données et exige une rançon, parfois après les avoir exfiltrées pour faire chanter (voir §6). Chaque étape est une occasion d'arrêter l'attaque — la plus efficace restant la première : ne pas mordre à l'hameçon.

2. Reconnaître un e-mail piégé

• Urgence ou menace : « votre compte va être suspendu », « action requise immédiatement ». La pression est une arme psychologique classique qui vise à court-circuiter votre réflexion.
• Expéditeur légèrement faux : une lettre qui change, un domaine inhabituel, un nom d'affichage crédible masquant une adresse douteuse.
• Lien trompeur : au survol (sans cliquer), l'adresse réelle ne correspond pas au texte affiché.
• Pièce jointe inattendue : facture, « scan », document à activer — surtout si vous ne l'attendiez pas.
• Demande sensible : identifiants, mot de passe, virement, changement de coordonnées bancaires d'un « fournisseur ».

Les attaques les plus dangereuses sont ciblées (spear phishing) : elles reprennent votre contexte (nom d'un confrère, d'un logiciel, d'un organisme) pour paraître légitimes. La vigilance ne doit pas baisser sous prétexte qu'un message « connaît » votre environnement.

3. La fraude au faux fournisseur (BEC)

Une variante particulièrement coûteuse ne cherche pas à installer un virus, mais à détourner un paiement. C'est la « fraude au président » ou au faux fournisseur (BEC, business email compromise) : un e-mail, parfois envoyé depuis une boîte réellement piratée, demande de régler une facture sur un nouveau compte, ou de modifier les coordonnées bancaires d'un prestataire habituel. Le message est crédible, sans lien ni pièce jointe suspecte — d'où sa dangerosité. La parade est organisationnelle : toute modification de coordonnées bancaires se vérifie par un appel au contact connu, jamais au numéro indiqué dans le message.

4. Quand l'IA rend l'attaque plus crédible

L'IA générative a fait disparaître deux signaux d'alerte historiques : les fautes d'orthographe et la maladresse de ton. Les messages frauduleux sont désormais impeccables, personnalisés et rédigés dans un français parfait. Pire, le clonage de voix permet des appels (vishing) imitant un confrère, un responsable ou un fournisseur ; des tentatives de deepfake vidéo apparaissent aussi. La conséquence pratique est claire : on ne peut plus se fier à « ça a l'air sérieux » ni même à « c'est bien sa voix ». Seule la vérification hors canal reste fiable.

5. Le bon réflexe : vérifier hors canal

Dans le doute, ne cliquez pas et ne répondez pas. Vérifiez par un moyen indépendant : rappelez l'organisme au numéro officiel (jamais celui fourni dans le message), tapez vous-même l'adresse du site plutôt que de suivre un lien, confirmez une demande inhabituelle auprès de la personne par un canal connu. Retenez une règle absolue : aucune administration, aucune banque ne demande vos identifiants par e-mail ou par téléphone. Et une règle d'équipe : un doute se partage, un message suspect se signale, sans crainte du jugement.

6. Ransomware et double extorsion

Le rançongiciel chiffre vos données et réclame une rançon pour les déchiffrer. Depuis quelques années, la plupart des groupes pratiquent la double extorsion : avant de chiffrer, ils volent les données et menacent de les publier si vous ne payez pas — ce qui, en santé, transforme une panne en fuite massive de données sensibles. C'est pourquoi une bonne sauvegarde ne suffit pas à elle seule : elle vous permet de repartir, mais pas d'empêcher la divulgation. La prévention (guide « Cybersécurité d'un cabinet ») reste la meilleure protection. Face à l'attaque : ne pas payer — aucune garantie, financement du crime, et souvent nouvelle extorsion.

7. Un plan de réponse en 6 étapes

1. Isoler immédiatement la machine touchée : débranchez le câble réseau, coupez le Wi-Fi. Objectif : stopper la propagation avant qu'elle n'atteigne le serveur et les sauvegardes.
2. Ne pas éteindre brutalement si possible, mais conserver les preuves (journaux, message de rançon) pour l'enquête.
3. Alerter votre support informatique, votre DPO, et le cas échéant votre assureur cyber.
4. Restaurer depuis une sauvegarde hors ligne saine, après s'être assuré que la menace est éliminée.
5. Notifier la violation à l'autorité de protection des données, en général sous 72 heures, et informer les patients concernés si le risque pour eux est élevé.
6. Déposer plainte et solliciter les dispositifs publics d'assistance aux victimes de cyberattaques.

8. Installer une culture de vigilance

La technique ne suffit pas si l'humain reste vulnérable. Une brève sensibilisation régulière — reconnaître un message piégé, savoir qui alerter — protège mieux que n'importe quel filtre. Certaines structures organisent des simulations d'hameçonnage pour entraîner les équipes ; utiles si elles restent bienveillantes et pédagogiques, pas punitives. Instaurez un réflexe collectif : on félicite celui qui alerte plutôt que de blâmer celui qui a failli cliquer. La sécurité est une pratique d'équipe, pas une affaire individuelle — et c'est aussi, depuis l'AI Act, une obligation de « culture de l'IA » quand des outils d'IA sont en jeu.

Questions fréquentes

Comment reconnaître un e-mail de phishing ?

Urgence, expéditeur légèrement faux, lien trompeur, pièce jointe inattendue, demande d'identifiants ou de virement. Dans le doute, ne cliquez pas et vérifiez autrement.

Faut-il payer la rançon ?

Non : aucune garantie, risque de récidive, financement du crime. Isolez, restaurez, notifiez.

Que faire immédiatement en cas d'attaque ?

Isoler la machine (déconnexion réseau), conserver les preuves, prévenir support et DPO, restaurer depuis une sauvegarde saine, puis notifier la violation sous 72 h et informer les patients si le risque est élevé.