Phishing au cabinet : reconnaître la demande anormale et réagir sans perdre de temps

Repérer la combinaison confiance, urgence et action inhabituelle

Cybermalveillance.gouv.fr décrit l’hameçonnage comme une usurpation destinée à obtenir des informations ou des accès. La vérification doit passer par le site habituel ou un contact direct connu, plutôt que par le lien ou le numéro fourni dans le message suspect.

Dans notre analyse de scénario, trois questions suffisent pour interrompre l’automatisme : attendais-je cette demande, m’oblige-t-elle à sortir du circuit habituel, et puis-je la confirmer indépendamment ? Un délai très court ne supprime pas le besoin de vérifier.

Références : Cybermalveillance.gouv.fr — réagir à l’hameçonnage.

S’entraîner avec des situations crédibles du quotidien

Les exemples ci-dessous sont fictifs. Ils servent à préparer les équipes, pas à décrire des attaques constatées contre Doclineo.

Sur petit écran, faites défiler le tableau horizontalement pour voir toutes les colonnes.

Ne pas laisser une fausse alerte choisir votre dépanneur

Cybermalveillance.gouv.fr décrit aussi les pages anxiogènes et appels de faux techniciens qui cherchent à obtenir une prise en main à distance ou un paiement. Il recommande de ne pas appeler le numéro affiché et d’alerter le service informatique en entreprise.

Notre règle proposée est de garder les coordonnées du support légitime dans un endroit accessible même en cas de panne. Un technicien doit pouvoir être identifié et son intervention rattachée à une demande connue. Ne transmettez pas de code de connexion et n’installez pas d’outil sur la seule base d’un appel entrant.

Références : Cybermalveillance.gouv.fr — faux support technique, mise à jour septembre 2026.

Après un clic, décrire exactement ce qui s’est passé

Pour faciliter la réponse, nous proposons de distinguer quatre événements : lien ouvert, identifiant saisi, fichier exécuté, accès à distance accordé. Ils ne conduisent pas aux mêmes vérifications techniques ; aucun ne doit être dissimulé par gêne.

Arrêtez l’échange suspect et prévenez immédiatement le référent. Notez l’heure, le compte utilisé et les actions réalisées, sans recopier de secret dans le compte rendu. Préservez le message pour l’équipe compétente. Si un programme a été lancé ou un accès distant accordé, faites traiter le poste comme potentiellement compromis et suivez les consignes de confinement du support.

Un changement de mot de passe n’est pas toujours toute la réponse

Cybermalveillance.gouv.fr recommande de changer le mot de passe compromis, de vérifier les coordonnées de récupération et, pour une messagerie, les règles de transfert. Il faut aussi rechercher les sessions inconnues : certaines peuvent rester ouvertes après un changement de mot de passe.

Avec le prestataire, effectuez ces actions depuis un environnement de confiance, examinez les connexions et révoquez les accès suspects. Si le secret était réutilisé ailleurs, ces comptes sont également à traiter. L’authentification supplémentaire renforce la protection, sans remplacer l’analyse de l’incident.

Notre point de contrôle organisationnel est de ne pas déclarer « résolu » simplement parce que la connexion fonctionne de nouveau. Qui a vérifié l’absence de transfert de courrier, d’export inhabituel et de modification des droits ? Gardez les résultats et les limites de la vérification.

Références : Cybermalveillance.gouv.fr — piratage de compte.

Évaluer aussi les conséquences pour les patients

La CNIL impose de documenter les violations et d’évaluer les risques. Une notification à l’autorité peut être nécessaire dans les 72 heures après connaissance de la violation ; les personnes doivent aussi être informées dans certaines situations de risque élevé.

Faites donc remonter l’incident au responsable des données, pas uniquement à celui qui répare l’ordinateur. Une boîte mail rétablie peut avoir exposé des documents pendant plusieurs jours. Distinguez ce qui est établi, ce qui est suspecté et ce qui reste à examiner, sans annoncer une absence de fuite non démontrée.

Références : CNIL — violations de données personnelles.

Former sans humilier et préparer le mode dégradé

Notre exercice proposé utilise une fausse demande sans lien actif, puis demande à l’équipe de montrer où vérifier et qui appeler. Le succès n’est pas seulement l’absence de clic : c’est aussi la rapidité d’un signalement utile.

Prévoyez comment maintenir les tâches indispensables si un poste ou une messagerie devient indisponible. Une procédure courte, connue des remplaçants et révisée après chaque incident est plus exploitable qu’une consigne générale de « vigilance ».

Questions complémentaires