Phishing par secteur : les leurres que reçoit chaque métier

BTP et construction

Entreprises générales, sous-traitants, artisans

Les leurres reçus

Le leurre qui coûte le plus cher arrive juste avant le règlement d'une situation de travaux : un sous-traitant ou un fournisseur annonce un changement de RIB. Cybermalveillance.gouv.fr décrit le mécanisme : l'escroc usurpe le fournisseur pour transmettre de nouvelles coordonnées bancaires, parfois depuis la messagerie piratée de ce fournisseur. Le message part alors de sa vraie adresse.

Les cas documentés

Le 30 janvier 2020, Bouygues Construction détecte un rançongiciel et arrête ses systèmes informatiques ; l'accès initial n'a pas été rendu public (base des incidents). Pour le faux RIB, la référence est judiciaire. Le 17 juin 2026, la Cour de cassation juge que « n'est pas créancier apparent [...] le tiers qui usurpe l'identité du créancier » : l'acheteur d'une livraison de gazole facturée 103 375,64 euros, payée sur le compte d'un escroc, reste redevable envers le vrai fournisseur (Cass. com., n° 24-13.306).

À entraîner en premier

Le contre-appel : un nouveau RIB se vérifie au téléphone, au numéro du contrat ou du dossier, jamais à celui du courriel. D'abord à la comptabilité et chez les conducteurs de travaux qui transmettent les factures.

Commerce et e-commerce

Enseignes, sites marchands, vendeurs sur marketplace

Les leurres reçus

Les équipes reçoivent des fausses factures et des changements de RIB de fournisseurs, puis des notifications imitées d'une marketplace ou d'un transporteur qui demandent de se reconnecter. Les comptes clients, eux, sont attaqués avec des mots de passe déjà volés sur d'autres sites.

Un cas documenté

Le 7 janvier 2025, environ 20 000 comptes du site de seconde main de Kiabi sont ouverts avec des identifiants issus d'autres fuites (credential stuffing), IBAN compris quand le client l'avait saisi. Picard avait subi la même technique en novembre 2024, sur des comptes de fidélité (Kiabi, Picard).

À entraîner en premier

Un mot de passe différent pour chaque outil, et le réflexe de taper soi-même l'adresse de la marketplace plutôt que de suivre le lien d'une notification. Le contre-appel sur les RIB fournisseurs vient juste après.

Réseaux de franchise et multi-sites

Têtes de réseau, franchisés, responsables de point de vente

Les leurres reçus

Le prétexte propre aux réseaux est le « message du siège » : une nouvelle procédure à appliquer ou un document à signer. Chaque point de vente a sa propre boîte mail, et un faux fournisseur référencé peut écrire à tous les magasins le même jour.

Un cas documenté

Le 23 novembre 2022, le rançongiciel Hive perturbe des magasins Intersport du Nord et du Pas-de-Calais en plein Black Friday. Les attaquants publient ensuite des bulletins de paie et des copies de passeports de salariés ; l'accès initial n'a pas été communiqué (base des incidents).

À entraîner en premier

Un canal de confirmation connu de chaque responsable de magasin, pour toute consigne « du siège » qui touche aux paiements ou aux accès. Avant d'agir, lire l'adresse réelle de l'expéditeur.

Restauration et hôtellerie

Hôtels, résidences, restaurants, groupes de restauration

Les leurres reçus

Les faux messages de plateformes de réservation dominent. Microsoft en a relevé quatre variantes dans une seule campagne : avis négatif d'un client, demande d'un client potentiel, offre de promotion, vérification du compte. Le lien mène à une fausse page qui demande une manipulation technique « pour continuer ».

Un cas documenté

Depuis décembre 2024, cette campagne usurpe Booking.com auprès d'établissements hôteliers, en Europe comme ailleurs. Un faux CAPTCHA demande d'ouvrir la fenêtre Exécuter de Windows et d'y coller une commande, qui installe des logiciels de vol d'identifiants (Microsoft Threat Intelligence, mars 2025).

À entraîner en premier

Ne jamais coller dans Windows une commande proposée par une page web, et ouvrir l'extranet de la plateforme depuis un favori. En priorité à la réception et chez les personnes qui gèrent les réservations.

Santé : hôpitaux et cliniques

Établissements de santé, groupements, laboratoires, tiers payant

Les leurres reçus

Selon le CERT-FR, un tiers des incidents observés par l'ANSSI en 2022 et 2023 dans les établissements de santé concernent des comptes de messagerie compromis, parfois utilisés ensuite pour envoyer des courriels d'hameçonnage. Les identifiants des portails de tiers payant sont récupérés par hameçonnage ou achetés sur des sites de revente (CERT-FR, novembre 2024).

Un cas documenté

En février 2024, l'attaque de l'opérateur de tiers payant Viamedis part d'un compte de professionnel de santé qui « a été hameçonné », selon son directeur général. Avec Almerys, attaqué quelques jours plus tard, plus de 33 millions de personnes sont concernées selon la CNIL (base des incidents, bilan des attaques contre les hôpitaux).

À entraîner en premier

Repérer une fausse page de connexion à la messagerie ou à un portail métier, et signaler tout de suite un identifiant saisi par erreur. Côté technique, la double authentification sur chacun de ces accès.

Professions libérales

Médecins, pharmaciens, kinésithérapeutes, architectes, cabinets indépendants

Les leurres reçus

Les faux messages de l'Assurance maladie, d'Ameli Pro ou de l'URSSAF visent les identifiants, comme ceux d'un faux éditeur de logiciel de cabinet qui demande de se reconnecter. Dans un cabinet sans service informatique, c'est le praticien qui trie ces messages, entre deux rendez-vous.

Deux cas documentés

En mars 2022, les comptes Amelipro d'au moins 19 professionnels de santé, en majorité des pharmaciens, servent à extraire les données de 510 000 assurés ; leurs adresses email avaient été compromises. Fin 2025, des requêtes anormales passent par les comptes de 1 500 médecins utilisateurs du logiciel MonLogicielMedical, et la ministre déléguée à la Santé évoque environ 15 millions de personnes concernées (Amelipro, Cegedim Santé).

À entraîner en premier

Taper soi-même l'adresse d'Ameli Pro ou du logiciel de cabinet avant de saisir ses identifiants, et activer la double authentification partout où elle est proposée.

Juridique : avocats et notaires

Cabinets d'avocats, études notariales

Les leurres reçus

Le CNB liste les identités usurpées auprès des avocats : un client, une juridiction, une CARPA, un fournisseur informatique, un barreau ou le CNB lui-même. Le but est le plus souvent d'obtenir des identifiants de connexion, ou de faire cliquer un lien ou ouvrir une pièce jointe (point du CNB, août 2026). Pour les études notariales, le risque principal est le faux RIB glissé dans une vente (voir immobilier).

Un cas documenté

En juin 2024, plusieurs avocats reçoivent un courriel envoyé depuis l'adresse contact@cnb-avocat.com, qui annonce une fausse campagne de vérification de la cybersécurité des cabinets (alerte du CNB).

À entraîner en premier

Lire le domaine exact de l'expéditeur avant tout lien : cnb-avocat.com imitait le domaine du CNB, cnb.avocat.fr. Et ne jamais appliquer un RIB de dossier reçu par simple courriel.

Immobilier

Agences, promoteurs, entreprises et particuliers qui achètent un bien

Les leurres reçus

Le faux RIB se glisse dans les échanges d'une vente, au moment de verser l'apport ou le solde du prix. En septembre 2024, les Notaires de France décrivent un faux conseiller bancaire qui capte les données d'un projet immobilier, fait signer de faux documents et détourne l'apport de l'acheteur avec un RIB falsifié, pourtant au nom du notaire (alerte des Notaires de France).

Un cas jugé

Fin octobre 2022, une société qui achète un bien à 320 000 euros reçoit, à la place du courriel de son notaire, un message avec un RIB falsifié. Elle vire 96 400 euros le 7 novembre ; seuls 27 792 euros sont récupérés. Le 25 mars 2026, le tribunal judiciaire de Paris retient la responsabilité du notaire à 70 %, pour un envoi par courriel non sécurisé et sans mise en garde ; la société garde 30 % pour ne pas avoir repéré la fausse adresse (commentaire de la décision).

À entraîner en premier

Un compte de notaire est forcément tenu à la Caisse des dépôts (code BIC CDCGFRPPXXX) : un RIB d'une autre banque arrête le virement. Aucun RIB reçu par courriel ne vaut sans confirmation orale au numéro de l'étude.

Finance et assurance

Banques, courtiers, assureurs, conseillers en gestion de patrimoine

Les leurres reçus

Les faux conseillers et les fausses autorités appellent ou écrivent par SMS pour faire valider une opération. En interne, c'est l'« arnaque au président » décrite par Cybermalveillance.gouv.fr : un virement « urgent et confidentiel » demandé au nom d'un dirigeant.

Un cas documenté

En mars 2025, la Banque de France alerte sur des appels et SMS qui l'usurpent, parfois avec son vrai numéro affiché : on demande à la victime d'« annuler » de prétendues opérations frauduleuses depuis son espace bancaire, ce qui revient à les valider au profit des escrocs (base des incidents).

À entraîner en premier

Une règle qui vaut pour les équipes comme pour les clients : raccrocher et rappeler le numéro officiel. La Banque de France rappelle qu'elle ne demande jamais de valider une opération.

Industrie

Sites de production, sous-traitants industriels, donneurs d'ordres

Les leurres reçus

Les fausses factures de fournisseurs côtoient les demandes de reconnexion à un ERP ou à un portail fournisseurs. Un identifiant volé sur ces portails donne accès aux données de toute une chaîne d'approvisionnement.

Un cas documenté

Le 11 septembre 2023, un pirate publie les coordonnées professionnelles de 3 200 fournisseurs d'Airbus. Il a utilisé le compte d'un employé de Turkish Airlines, client d'Airbus, dont les identifiants avaient été volés par un logiciel espion selon la société Hudson Rock (base des incidents).

À entraîner en premier

Traiter les comptes des portails clients et fournisseurs comme des accès sensibles, avec double authentification, et ne jamais s'y reconnecter depuis un lien reçu par courriel.

Transport et logistique

Transporteurs, commissionnaires, entrepôts, réseaux de livraison

Les leurres reçus

Faux avis de douane ou documents d'expédition en pièce jointe, demandes de payer un fret sur un nouveau compte. Une fuite chez un réseau de livraison fournit aussi aux escrocs les noms et adresses qui rendent crédibles les faux messages de colis en attente.

Un cas documenté

Entre mi-décembre 2025 et février 2026, Relais Colis subit deux incidents : une intrusion chez un prestataire technique, puis l'usage d'un identifiant utilisateur compromis. Noms, adresses, emails et téléphones de clients sont exposés (fiche de la base des incidents).

À entraîner en premier

Confirmer par un appel au contact connu tout changement de coordonnées de paiement d'un transitaire ou d'un client, et ne pas ouvrir un document d'expédition que personne n'attendait.

Tech, SaaS et ESN

Éditeurs, ESN, équipes de développement et de support

Les leurres reçus

Les équipes techniques reçoivent de fausses alertes de sécurité sur leurs outils et des demandes de consentement à une application inconnue (OAuth). Le support est visé parce qu'il a accès aux comptes des clients.

Un cas documenté

Début février 2021, l'éditeur Stormshield, filiale d'Airbus, détecte un accès non autorisé à son portail de support technique : comptes et échanges de clients consultables, une partie du code source de ses pare-feux volée. L'ANSSI place des qualifications « en observation » par précaution (base des incidents).

À entraîner en premier

Refuser tout consentement OAuth ou tout code de double authentification qu'on n'a pas demandé soi-même, et signaler une alerte « sécurité » reçue par courriel au lieu de suivre son lien.

Services, intérim et RH

Agences d'intérim, cabinets de recrutement, services RH et paie

Les leurres reçus

Les recruteurs ouvrent par métier les CV et les liens d'inconnus, et les services paie traitent des changements de RIB de salariés. Cybermalveillance.gouv.fr cite cette variante : l'escroc usurpe un salarié pour faire virer son salaire sur un autre compte.

Un cas documenté

En décembre 2023, Proofpoint décrit le groupe TA4557, qui se fait passer pour un candidat. Le premier courriel ne contient ni lien ni pièce jointe et demande seulement si le poste est toujours ouvert ; après la réponse du recruteur arrive un lien vers un faux site de CV, qui installe une porte dérobée (Proofpoint).

À entraîner en premier

Ouvrir un CV depuis l'outil de candidatures plutôt que depuis un lien envoyé par le candidat, et confirmer de vive voix avec le salarié tout changement de RIB de salaire.

Éducation et enseignement supérieur

Écoles, universités, rectorats, organismes de formation

Les leurres reçus

Les faux courriels du rectorat ou du ministère renvoient vers une fausse page de connexion à l'ENT ou à la messagerie académique. Les comptes ouverts à des personnes extérieures à l'institution sont une autre entrée.

Un cas documenté

Le 15 mars 2026, un compte externe usurpé donne accès à COMPAS, l'application de suivi des enseignants stagiaires. Noms, adresses et téléphones d'environ 243 000 agents sont exfiltrés, et le ministère ne détecte l'intrusion que le 19 mars (fiche de la base des incidents).

À entraîner en premier

Saisir ses identifiants uniquement sur l'adresse officielle de l'ENT ou de la messagerie, et signaler sans attendre un identifiant donné par erreur : chaque jour compte avant la détection.

Collectivités territoriales

Communes, intercommunalités, départements, régions

Les leurres reçus

Selon la DGFiP, le mode opératoire le plus répandu est le changement de RIB : l'escroc se fait passer pour un fournisseur, un pensionné ou un agent, ou monte un faux affacturage, puis transmet de nouvelles coordonnées bancaires, parfois avec une facture falsifiée. Cette fraude « touche toutes les collectivités, quelle que soit leur taille » (DGFiP, septembre 2025).

Un cas documenté

Dans la nuit du 9 au 10 novembre 2022, le département des Alpes-Maritimes subit un rançongiciel. Selon lui, les attaquants sont entrés par un accès privé en usurpant l'identité d'un agent ; le groupe Play publie ensuite 13 Go de documents, dont des copies de passeports (base des incidents).

À entraîner en premier

Les deux gestes que recommande la DGFiP : le contre-appel à partir de coordonnées fiables, jamais celles du courriel, et le passage par Chorus Pro pour les factures et les changements de RIB. Elle demande de sensibiliser le service financier, la comptabilité, les gestionnaires RH, le secrétariat et le standard.

Associations et fédérations

Associations loi 1901, clubs, fédérations sportives

Les leurres reçus

Le schéma le mieux documenté vient des fédérations sportives : le compte d'un club ouvre l'outil de gestion des licences, qui contient les données de tous les licenciés. Les trésoriers reçoivent aussi les mêmes changements de RIB de fournisseurs que les entreprises.

Un cas documenté

Fin février 2026, la Fédération française de gymnastique annonce une intrusion dans son outil FFGym Licence via « un compte club compromis probablement avec un procédé de phishing ». Environ 2,9 millions de licenciés et anciens licenciés depuis 2004 sont concernés (fiche de la base des incidents).

À entraîner en premier

Toutes les personnes qui accèdent à l'outil de licences, bénévoles compris : reconnaître une page de connexion piégée et garder un mot de passe propre à cet outil, avec la double authentification quand elle existe.

Experts-comptables

Un cabinet comptable détient les données financières de tous ses clients. Les leurres suivent : faux documents de clients, courriels qui usurpent l'administration fiscale, faux portails de logiciels comptables, changements de RIB demandés au nom d'un client. Ils sont détaillés dans cabinets comptables : pourquoi vous êtes une cible.