Points clés
- Associez les variantes à des contrôles : reliez directement chaque type de phishing à des garde-fous applicables comme DMARC, la MFA (authentification forte) et la protection des URL.
- Créez des réflexes qui évitent les clics : organisez des sessions de sensibilisation régulières pour enseigner la vérification, la prudence et le signalement en un clic afin de faire évoluer les comportements.
- Standardisez votre playbook de réponse : appliquez les mêmes étapes de tri, de confinement et de notification à chaque incident, pour une résolution plus rapide et plus nette.
- Mesurez les résultats, pas les efforts : suivez chaque mois les taux d’échec, les taux de signalement, les taux de réussite DMARC et les délais de remédiation pour démontrer l’efficacité du programme.
- Automatisez la prévention du phishing et le reporting : utilisez NinjaOne pour diffuser des politiques, détecter les modifications à risque, créer automatiquement des tickets et générer des tableaux de bord par client.
Aucun mot du secteur informatique ne suscite autant de crainte, ou de colère, que « phishing ». Et ce n’est guère surprenant. Le phishing a en effet largement dépassé le stade des e-mails suspects annonçant un gain à la loterie ou du prince étranger en quête d’aide financière.
Les techniques de phishing actuelles passent par l’e-mail, les SMS, la voix, les réseaux sociaux, le spear phishing et même les QR codes. Malheureusement, elles deviennent de plus en plus difficiles à repérer, tant pour les utilisateurs que pour les filtres. Pour les fournisseurs de services gérés (MSP), l’enjeu ne consiste pas seulement à savoir quels types de phishing existent, mais à transformer ces connaissances en défenses reproductibles et mesurables, applicables à l’ensemble de leurs clients.
La question est donc la suivante : que faire concrètement pour la prévention des attaques de phishing ? En bref : associez chaque type d’attaque à des contrôles précis d’authentification des e-mails, d’identité et de protection des terminaux, formez les utilisateurs à vérifier et à signaler, puis standardisez un runbook de réponse réutilisable chez chaque client. Dans ce guide, nous vous aidons à transformer la connaissance du phishing en plan d’action tactique pour la prévention.
Prérequis :
Avant de déployer des contrôles, assurez-vous que vos clients respectent ces exigences techniques et procédurales minimales :
- Alignement DMARC, SPF et DKIM : ces mécanismes authentifient les expéditeurs légitimes et empêchent l’usurpation directe du domaine. Visez p=reject une fois les enregistrements correctement alignés.
Ce que signifie « p=reject » dans DMARC
DMARC (Domain-based Message Authentication, Reporting & Conformance) permet aux serveurs de messagerie de vérifier si les messages prétendant provenir de votre domaine sont légitimes.
Il comprend une balise de politique (p) qui indique aux destinataires quelle action entreprendre en cas d’échec de l’authentification :
- p=none : les messages sont livrés, mais des rapports sont envoyés pour analyse.
- p=quarantine : les messages qui échouent au contrôle DMARC sont placés dans les dossiers spam ou quarantaine.
- p=reject : les messages qui échouent au contrôle DMARC sont entièrement bloqués et ne sont jamais livrés.
Autres éléments à mettre en place :
- Fonctionnalités de sécurité de la messagerie : mettez en place la réécriture d’URL ou la protection au moment du clic, l’analyse des pièces jointes en sandbox et le blocage des macros par défaut dans les documents Office.
- MFA (authentification forte) et accès conditionnel : imposez l’authentification multifacteur sur tous les comptes et appliquez un accès conditionnel plus strict pour les dirigeants et les utilisateurs du service financier.
- Plateforme de sensibilisation et de simulation : organisez régulièrement des formations de sensibilisation à la sécurité ou des simulations de phishing mensuelles, et facilitez le signalement grâce à un bouton ou un module de messagerie accessible en un clic.
- Modèles de tickets pour les investigations : une collecte de preuves standardisée (en-têtes, URL, notes de suivi des messages) permet à votre équipe de travailler plus vite et de façon plus cohérente.
- Surveillance des règles de boîte aux lettres et des autorisations OAuth : créez des alertes ou scriptez une remédiation automatisée pour les consentements d’applications malveillantes.
Petit rappel : les types d’attaques de phishing
Avant d’aborder les défenses, revoyons rapidement à quoi vous avez affaire. Voici un aperçu des types de phishing les plus courants que les MSP doivent savoir reconnaître :
| Type de phishing | Description |
| Spear phishing/whaling | Messages ciblés visant des personnes ou des dirigeants précis, en s’appuyant sur un contexte personnel ou interne à l’entreprise. |
| Clone phishing | Un e-mail légitime est copié puis renvoyé avec un lien ou une pièce jointe malveillants. |
| Business Email Compromise (BEC)/fraude au fournisseur | Demandes de paiement ou de modification de coordonnées bancaires. |
| Smishing/vishing | Arnaques par SMS ou par téléphone qui créent un sentiment d’urgence, se font passer pour le support ou poussent les utilisateurs à divulguer leurs identifiants. |
| Phishing par QR code (quishing) | QR codes malveillants qui redirigent vers des sites de collecte d’identifiants ou de détournement de session. |
| Angler phishing/phishing social | De faux comptes de marque ou de support sur les réseaux sociaux servent à pousser les utilisateurs à partager des informations. |
| Pharming/collecte d’identifiants | Empoisonnement du cache DNS ou manipulation du fichier hosts qui redirige silencieusement les utilisateurs vers des sites contrefaits, même lorsqu’ils saisissent la bonne adresse. |
Rendre la prévention du phishing opérationnelle
Étape 1 : associer chaque variante à des contrôles précis
Chaque type de phishing exploite une faiblesse différente : la confiance, l’identité ou les processus. En associant chaque variante à des garde-fous techniques et humains clairs, les MSP réduisent nettement le risque et rendent la prévention plus reproductible.
Spear phishing et whaling
Les messages ciblant les dirigeants ou les collaborateurs stratégiques paraissent souvent parfaitement légitimes, à un détail crucial près.
Comment prévenir le spear phishing et le whaling :
- Imposez DMARC, SPF et DKIM sur les domaines de vos clients pour bloquer l’usurpation directe.
- Activez les marqueurs d’expéditeur externe et la détection d’usurpation d’identité des VIP.
- Exigez une MFA (authentification forte) résistante au phishing et appliquez des politiques d’accès conditionnel pour signaler les connexions ou les localisations inhabituelles.
- Auditez les règles de boîte aux lettres chaque semaine et déclenchez une alerte à la moindre modification nouvelle ou suspecte.
- Ajoutez une étape de vérification par rappel téléphonique pour les demandes sensibles.
Important : méfiez-vous des e-mails de « dirigeants » envoyés en dehors des heures de bureau, des demandes de confidentialité ou des instructions de paiement soudaines qui contournent le processus habituel.
Conseil : les comptes de direction nécessitent une MFA (authentification forte) plus stricte, des restrictions de localisation et des analyses régulières des règles de boîte aux lettres.
Clone phishing et collecte d’identifiants
Les attaquants copient un e-mail réel, comme une facture ou une note interne, et remplacent les liens ou les pièces jointes par des versions malveillantes.
Comment prévenir le clone phishing et la collecte d’identifiants :
- Utilisez l’analyse des URL au moment du clic et l’analyse des pièces jointes en sandbox pour intercepter les charges utiles à déclenchement différé.
- Bloquez les fichiers Office contenant des macros et les extensions à haut risque (.js, .exe, etc.).
- Apprenez aux utilisateurs à ouvrir les liens importants depuis des portails mis en favoris, et non depuis les e-mails.
- Appliquez des politiques de fichiers sûrs et des scripts de blocage des macros via votre RMM ou votre plateforme de gestion des terminaux.
Important : méfiez-vous des e-mails identiques à des messages légitimes mais comportant de subtiles modifications du domaine expéditeur ou des pièces jointes inattendues.
Conseil : ajoutez une règle de flux de messagerie qui signale tout message reproduisant un e-mail légitime récemment envoyé mais provenant de l’extérieur du tenant. Vous interceptez ainsi les tentatives de clonage avant même que les utilisateurs ne les voient.
Business Email Compromise (BEC) et fraude au fournisseur
Ces arnaques poussent les équipes financières à effectuer des virements ou à modifier des coordonnées bancaires.
Comment prévenir le BEC et la fraude au fournisseur :
- Exigez une double validation et un rappel téléphonique vérifié pour tout paiement ou toute mise à jour bancaire.
- Tenez à jour des listes de fournisseurs autorisés et signalez pour examen tout enregistrement de fournisseur nouveau ou modifié.
- Mettez en quarantaine les messages recourant à l’usurpation du nom d’affichage ou à un domaine sosie.
- Déclenchez des alertes sur les règles de boîte aux lettres qui masquent ou transfèrent les communications financières.
Important : méfiez-vous des demandes de « mise à jour immédiate des coordonnées bancaires », surtout lorsqu’elles proviennent de nouvelles adresses ou de domaines sosies.
Conseil pour les MSP : élaborez une check-list simple de « vérification vocale » pour les équipes financières.
Smishing et vishing
Les attaquants utilisent les SMS ou les appels téléphoniques pour créer un sentiment d’urgence et récolter des identifiants.
Comment prévenir le smishing et le vishing :
- Apprenez aux utilisateurs à ignorer les coordonnées indiquées dans les SMS ou lors des appels et à utiliser plutôt les numéros officiels de l’entreprise.
- Déployez une MFA (authentification forte) avec correspondance de chiffres (par exemple Microsoft Authenticator) pour éviter les validations par lassitude.
- Mettez à disposition un canal de signalement ou une ligne dédiée clairement identifiée pour les appels et SMS suspects.
- Menez chaque trimestre des simulations par téléphone et par SMS.
Important : méfiez-vous des appels du « support » se présentant comme le service informatique ou un fournisseur et demandant aux utilisateurs de confirmer des codes MFA.
Conseil : déployez des politiques de gestion des appareils mobiles (MDM) qui bloquent les applications de messagerie installées hors magasin officiel et journalisent les liens reçus par SMS ouverts sur les appareils gérés. Vous obtenez ainsi une visibilité sur les comportements à risque et un moyen rapide d’alerter ou d’isoler les terminaux compromis.
Phishing par QR code (quishing)
Les QR codes présents sur des affiches, des factures ou dans des e-mails peuvent dissimuler des liens de vol d’identifiants.
Comment prévenir le quishing :
- Traitez chaque QR code comme une URL inconnue.
- Désactivez les connexions automatiques par QR code sur les appareils partagés ou en libre-service.
- Exigez une nouvelle authentification MFA pour les actions à haut risque lancées depuis un scan de QR code.
- Bloquez les pages de destination de QR codes malveillants connues et alertez sur les parcours de connexion inhabituels.
- Intégrez des simulations de phishing par QR code à vos formations de sensibilisation.
Important : méfiez-vous des QR codes apparaissant dans des factures, e-mails ou documents imprimés inattendus et menant à des pages de connexion.
Conseil : incitez les collaborateurs à survoler ou à prévisualiser la destination d’un QR code avant de le scanner.
Angler phishing et phishing social
De faux comptes de service client ou de marque sur les réseaux sociaux se font passer pour des entreprises légitimes afin de collecter des informations.
Comment prévenir l’angler phishing et le phishing social :
- Faites appel à des services de surveillance de marque et de retrait des comptes usurpateurs pour détecter les profils sosies.
- Limitez l’usage des identifiants d’entreprise pour les connexions par authentification unique (SSO) aux réseaux sociaux.
- Formez les collaborateurs à vérifier les comptes officiels et les badges de certification avant toute interaction.
- Appliquez des contrôles DLP aux comptes de gestion des réseaux sociaux.
- Protégez les équipes en contact avec le public par une MFA (authentification forte) solide et des politiques de session strictes.
Important : méfiez-vous des messages privés d’assistance provenant de comptes « d’apparence certifiée » qui évitent systématiquement l’e-mail professionnel.
Conseil : mettez en place des alertes de surveillance de marque sur les réseaux sociaux et automatisez les demandes de retrait via votre processus de réponse aux incidents. Intégrez ces alertes à votre Helpdesk (service d’assistance) ou à votre SIEM, afin que votre équipe réagisse rapidement dès l’apparition de faux comptes et évite que les clients n’interagissent avec des usurpateurs.
Conseils de mise en place pour les MSP
- Standardisez d’abord : définissez une référence de configuration (application de DMARC, MFA, filtrage des URL) valable pour tous les clients.
- Superposez progressivement : une fois cette base homogène, ajoutez la détection d’usurpation d’identité et la surveillance des règles de boîte aux lettres.
- Automatisez les vérifications : utilisez NinjaOne ou votre RMM pour détecter les nouvelles règles de boîte aux lettres, les autorisations OAuth à risque ou les paramètres de macros non approuvés.
- Révisez chaque trimestre : mettez à jour votre matrice de contrôles à mesure que de nouvelles tendances de phishing apparaissent.
Étape 2 : former aux comportements qui changent la donne
Entre une frayeur passagère et une violation majeure, tout se joue généralement sur le comportement des utilisateurs, ou plus simplement sur ce qui se passe quand quelqu’un repère (ou clique sur) un message suspect.
Vérifier par un autre canal
Apprenez aux utilisateurs une règle simple : « Vérifiez avant d’obéir. » Si un message implique de l’argent, des identifiants ou des données sensibles, il faut le confirmer par un autre canal, comme un appel direct ou un portail connu, avant d’agir.
- Organisez des exercices basés sur des scénarios (fausse facture, réinitialisation d’identifiants, etc.).
- Fournissez des listes de référence rapide de numéros de rappel vérifiés.
- Rappelez qu’aucun e-mail « urgent » ne dispense de la règle du rappel téléphonique.
Examiner avant de cliquer
Encouragez les utilisateurs à ralentir et à remettre en question ce qu’ils voient. Les attaquants comptent sur la vitesse et la distraction.
- Apprenez-leur à survoler (ou à appuyer longuement) pour prévisualiser une URL avant de cliquer.
- Expliquez à quoi ressemble un domaine suspect, en insistant sur la vigilance face aux fautes de frappe ou aux extensions inhabituelles.
- Abordez aussi les QR codes : incitez les utilisateurs à ne scanner que des supports de confiance, jamais des e-mails ou des affiches aléatoires.
Proposez de courtes « micro-leçons » hebdomadaires ou mensuelles mettant en avant un exemple visuel à la fois.
Signaler et ne pas interagir
Rendez le signalement simple et instinctif. Plus les utilisateurs signalent vite, plus vous contenez la menace rapidement.
- Ajoutez un bouton « Signaler un phishing » dans les clients de messagerie.
- Répétez le principe « signaler puis supprimer ». Ne transférez jamais un message suspect.
- Valorisez les collaborateurs qui signalent de vraies menaces afin d’ancrer cette habitude.
Protéger les prompts MFA
Les attaquants ciblent désormais la MFA elle-même, par des attaques par lassitude ou de faux appels du support.
- Apprenez aux utilisateurs à refuser tout prompt MFA qu’ils n’ont pas eux-mêmes déclenché.
- Expliquez qu’une équipe informatique légitime ne demandera jamais de codes MFA par téléphone ou par chat.
- Faites une démonstration de la MFA avec correspondance de chiffres pour que les utilisateurs sachent à quoi ressemble un prompt légitime.
Encouragez vos clients à adopter une MFA (authentification forte) résistante au phishing (comme les clés FIDO2) pour les comptes à privilèges et les comptes financiers.
Utiliser les portails et les favoris
Encouragez les utilisateurs à accéder aux systèmes critiques, par exemple la paie, via des favoris ou des portails officiels plutôt que par des liens contenus dans des e-mails.
- Rappelez qu’un service légitime n’exige jamais de cliquer sur un lien pour se connecter.
- Ancrez ce comportement par des rappels mensuels ou des exercices simulés.
- Associez cette habitude à des politiques de saisie automatique du navigateur et de gestionnaire de mots de passe pour plus de confort.
Étape 3 : standardiser un runbook de réponse qui passe à l’échelle
Un runbook clair et reproductible supprime les approximations et l’improvisation : il ne reste qu’un confinement rapide et une documentation précise.
Votre réponse au phishing en un coup d’œil
| Phase | Objectif | Actions clés |
| Tri | Collecter et classer les preuves | Conserver les en-têtes des messages, les URL et les pièces jointes, puis étiqueter l’incident. |
| Confinement | Couper l’accès de l’attaquant | Révoquer les sessions, réinitialiser les mots de passe, supprimer les règles de transfert et mettre en quarantaine les e-mails associés. |
| Recherche | Identifier les expositions liées | Retracer les messages similaires, vérifier les journaux à la recherche de connexions inhabituelles, purger les menaces restantes. |
| Notification | Communiquer clairement | Informer les utilisateurs et la direction, escalader si les finances ou les données sont touchées. |
| Amélioration | Apprendre et renforcer | Bloquer les nouveaux domaines, mettre à jour les simulations, consigner les indicateurs et affiner les contrôles. |
Tri : collecter les preuves en priorité
À la réception d’un signalement de phishing, conservez tout avant de supprimer quoi que ce soit. Enregistrez les en-têtes complets, les URL et les pièces jointes, puis classez la variante (spear, clone, BEC, etc.). Une collecte de preuves cohérente accélère l’investigation et le reporting sur l’ensemble des tenants et contribue à entraîner vos outils de détection.
Confinement : couper les accès
Révoquez immédiatement les sessions ou jetons actifs, réinitialisez les mots de passe, supprimez les règles de boîte aux lettres malveillantes et désactivez les autorisations d’applications OAuth à risque. Mettez en quarantaine les e-mails similaires encore présents dans les boîtes des utilisateurs afin d’endiguer la propagation avant que d’autres ne cliquent.
Recherche : traquer les menaces associées
Utilisez le suivi des messages pour retrouver d’autres copies ou des objets similaires, vérifiez les journaux de connexion et d’audit à la recherche d’activités inhabituelles, et purgez tous les messages ou fichiers restants liés à l’incident. Cette phase confirme si la menace est contenue ou toujours active.
Notification : communiquer clairement
Informez les utilisateurs concernés et la direction de ce qui s’est passé, des mesures prises et des suites à donner. En cas de soupçon d’exposition financière ou de données, escaladez immédiatement auprès du responsable financier ou du contact juridique du client. Gardez une communication courte et factuelle au sein de votre équipe MSP.
Amélioration : réinjecter les enseignements dans la prévention
Bloquez les domaines malveillants nouvellement identifiés, ajoutez les règles actualisées à vos filtres et reprenez le type d’appât dans vos futures simulations de phishing. Consignez des indicateurs tels que le délai de signalement, le délai de confinement et le délai de remédiation pour démontrer les progrès lors des revues clients.
Étape 4 : suivre les bons indicateurs
Mesurer les résultats transforme la défense contre le phishing en un programme quantifiable plutôt qu’en une suite d’intuitions.
Pour les MSP, les indicateurs prouvent que les efforts de prévention et de réponse portent leurs fruits. C’est une ressource précieuse qui vous permet de présenter en un coup d’œil votre dispositif de défense contre le phishing à vos clients.
Indicateurs de résultats : comportements des utilisateurs et des processus
Concentrez-vous sur la façon dont les personnes et les processus réagissent face aux tentatives de phishing.
| Indicateur | Objectif |
| Taux d’échec aux tests de phishing | Moins de clics ou de saisies d’identifiants = sensibilisation plus solide |
| Taux de signalement | Davantage d’utilisateurs qui signalent = culture de sécurité plus saine |
| Délai de signalement | Des signalements plus rapides raccourcissent les fenêtres de confinement. |
| Délai de remédiation | Un nettoyage plus rapide = réponse plus efficace |
| Nombre de BEC évités de justesse | Moins d’incidents évités de justesse = vérification des paiements plus rigoureuse |
Indicateurs de contrôle : santé technique
Ils montrent l’efficacité réelle de vos contrôles préventifs en coulisses.
| Indicateur | Objectif |
| Taux de réussite DMARC | Proche de 100 % = protection renforcée contre l’usurpation |
| Domaines sosies bloqués | Davantage de détections = meilleure couverture de la surveillance de marque |
| Règles de boîte aux lettres malveillantes supprimées | Tendance à la baisse = moins d’intrusions réussies |
| Autorisations OAuth à risque révoquées | Chiffres en baisse = meilleure hygiène des identités |
Fréquence et revues de programme
Passez ces indicateurs en revue chaque mois avec chaque client et organisez un exercice sur table trimestriel pour répéter le runbook de réponse. Des tendances montrant une baisse des taux d’échec et une hausse des taux de signalement prouvent que les comportements et les contrôles fonctionnent de concert.
Conseil (pour les MSP) : automatisez la collecte de données partout où c’est possible. Les scripts NinjaOne peuvent journaliser automatiquement les modifications de règles de boîte aux lettres, les révocations d’autorisations OAuth ou les statistiques d’alignement DMARC, alimentant les tableaux de bord en données en temps réel et faisant gagner des heures chaque mois à vos analystes.
Comment NinjaOne aide à prévenir les attaques de phishing
NinjaOne permet aux MSP de traduire ce dispositif de prévention du phishing en opérations quotidiennes grâce à l’automatisation.
- Déploiement de politiques et de scripts : déployez les vérifications de règles de boîte aux lettres, les paramètres de liens sûrs et de macros ainsi que les modules de signalement pour les utilisateurs sur l’ensemble des tenants clients depuis une seule console.
- Détection et gestion des tickets : déclenchez automatiquement des alertes sur les règles de boîte aux lettres suspectes ou les autorisations OAuth à risque, puis ouvrez des tickets accompagnés des preuves collectées pour un tri plus rapide.
- Prise en charge des simulations et de la sensibilisation : planifiez des rappels de simulations de phishing en continu et suivez les taux de signalement par groupe d’utilisateurs ou d’appareils pour évaluer l’efficacité des formations.
- Reporting et tableaux de bord : générez des tableaux de bord par client présentant les tendances des taux d’échec et de signalement, la progression de l’alignement DMARC et les délais de remédiation.
Guide de démarrage rapide
NinjaOne peut vous aider à vous défendre contre différents types d’attaques de phishing grâce à ses fonctionnalités de sécurité complètes. Voici ce que NinjaOne propose en matière de protection contre le phishing :
1. Une approche de sécurité multicouche
NinjaOne fournit un cadre solide qui va au-delà des simples listes de types de phishing, en transformant des défenses génériques en contrôles déployables assortis d’étapes reproductibles pour les MSP.
2. Mesures de défense clés
a. Durcissement de la sécurité de la messagerie :
- Filtrage antispam avancé et détection des malwares
- Analyse des menaces en temps réel pour les e-mails suspects
- Mise en quarantaine automatique des contenus malveillants
b. Protection des terminaux :
- Analyse comportementale pour détecter les activités suspectes
- Surveillance et protection des identifiants
- Remédiation automatique des systèmes compromis
c. Formation et sensibilisation des utilisateurs :
- Formation par simulation de phishing
- Programmes de sensibilisation à la sécurité
- Informations régulières sur les nouvelles techniques de phishing
- Détection et réponse rapides aux tentatives de phishing
- Capacités d’analyse forensique
- Workflows de remédiation automatisés
3. Une couverture de tous les types d’attaques de phishing. NinjaOne contribue à protéger contre :
- le spear phishing (attaques ciblées)
- le whale phishing (attaques visant les dirigeants)
- le smishing (attaques par SMS)
- le vishing (attaques par téléphone)
- le pharming (redirections malveillantes)
- le clone phishing (e-mails d’apparence légitime renvoyés)
4. Un plan d’action opérationnel
NinjaOne offre aux MSP un plan d’action opérationnel qui transforme les listes génériques de « types de phishing » en contrôles concrets et déployables, assortis d’étapes reproductibles.
Se défendre contre tous les types d’attaques de phishing
Ce guide vous aide à bâtir un dispositif de défense solide contre le phishing, mais toute sa valeur repose sur une mise en œuvre cohérente. Nous vous recommandons vivement d’associer chaque type de phishing à des contrôles précis et de renforcer les réflexes des utilisateurs par des formations régulières. La prévention devient ainsi partie intégrante de votre culture de la sécurité.
Sujets connexes :
