En 2025, le piratage de compte est devenu la première menace signalée par les entreprises à Cybermalveillance.gouv.fr (21 % des demandes), devant l'hameçonnage (16 %) qui en est la porte d'entrée. Quand un salarié a cliqué sur un lien de phishing, la première heure décide si l'incident reste un clic ou devient une compromission. Voici l'ordre des gestes, minute par minute, et ce qu'une réinitialisation de mot de passe ne coupe pas.
Clic seul, mot de passe saisi ou fichier ouvert : quelle gravité ?
Demandez au salarié, sans jugement : a-t-il seulement ouvert la page, tapé un identifiant, exécuté un fichier ?
Situation Risque Gestes prioritaires Clic seul, page fermée Faible : repérage, éventuelle faille du navigateur 2 et 6 Identifiant et mot de passe saisis Élevé : compte pris en main sous quelques minutes 1 à 4, puis 6 Fichier ouvert, macro activée Critique : logiciel malveillant, rançongiciel 1 à 6, poste mis en quarantaine Coordonnées bancaires ou validation de virement Financier immédiat 5 en premier, puis 1 à 6Les 6 gestes de la première heure, minute par minute
1. Isoler le poste sans l'éteindre (minute 0)
Débranchez le câble réseau, coupez le Wi-Fi et les données mobiles. N'éteignez pas et ne redémarrez pas : Cybermalveillance.gouv.fr rappelle que les preuves stockées en mémoire vive, nécessaires à l'enquête, disparaissent à l'extinction.
2. Prévenir l'informatique, sans honte (minutes 1 à 5)
Appelez l'informatique ou le prestataire d'infogérance, par téléphone plutôt que par la messagerie touchée. Donnez l'heure du clic, l'expéditeur et ce qui a été saisi. Gardez le mail : il sert de preuve et à le purger chez les autres destinataires.
3. Changer le mot de passe depuis un autre appareil (minutes 5 à 15)
Le poste est suspect : la modification se fait depuis un smartphone ou un PC sain. Elle vaut pour le compte saisi et pour tous les services qui réutilisent le même mot de passe. L'administrateur ne transmet jamais le nouveau mot de passe par e-mail, la boîte pouvant être lue par l'attaquant.
4. Révoquer les sessions et contrôler la messagerie (minutes 15 à 30)
Un kit d'hameçonnage moderne (Tycoon 2FA, Evilginx) vole le jeton de session : l'attaquant reste connecté malgré la double authentification. Dans Microsoft 365 ou Google Workspace, l'administrateur révoque sessions et jetons d'actualisation. Il supprime les méthodes MFA inconnues, les applications consenties et les mots de passe d'application, qu'une réinitialisation ne révoque pas. Il traque enfin les transferts et règles masquées (Get-InboxRule -IncludeHidden) qui cachent les réponses dans « Flux RSS ».
5. Alerter la banque et la comptabilité (minutes 30 à 45)
Si une carte ou un accès bancaire a été saisi, faites opposition immédiatement. Prévenez la comptabilité : tout changement de RIB demandé dans les jours suivants se vérifie par rappel sur un numéro connu. Les faux ordres de virement représentent 13,5 % des demandes d'assistance des entreprises.
6. Signaler, porter plainte, notifier (minutes 45 à 60)
Signalez le mail sur Signal Spam, un SMS au 33700, le site frauduleux sur Phishing Initiative. 17Cyber (17cyber.gouv.fr), lancé le 17 décembre 2024, diagnostique 24 h/24 et met en relation avec un policier ou un gendarme. En cas de préjudice, portez plainte (commissariat, gendarmerie ou courrier au procureur). Si des données personnelles ont fuité, l'article 33 du RGPD impose une notification à la CNIL sous 72 heures. Prévenez aussi l'assureur cyber dans le délai prévu au contrat.
Les 3 erreurs qui transforment un clic en incident
Cacher le clic par peur d'une sanction coûte le plus cher : chaque heure de silence laisse l'attaquant installer ses transferts et lire les échanges clients. Éteindre le poste détruit les traces. Répondre à l'expéditeur confirme que l'adresse est active.
Notre conseil : écrivez noir sur blanc, dans la charte informatique, qu'un clic signalé dans les 15 minutes n'entraîne aucune sanction. Le salarié qui ne clique jamais n'existe pas ; celui qui prévient vite, si.4 gestes de base pour que le prochain clic n'aboutisse pas
Les demandes d'assistance des entreprises ont bondi de 73 % en 2025 (504 810 demandes tous publics).
Les techniques évoluent vite, du quishing par QR code aux voix clonées par IA : pour suivre ces nouveautés et leurs effets sur les organisations, voici cette fiche à lire.
Pour la procédure officielle, imprimez et affichez près des postes la fiche réflexe hameçonnage de Cybermalveillance.gouv.fr, avec Info Escroqueries (0 805 805 817).
