Pare-feu, antivirus, filtrage des e-mails : les protections techniques sont indispensables, mais elles ne remplacent pas le bon sens de vos collaborateurs. La plupart des attaques passent par une action humaine, un clic, une pièce jointe ouverte ou une clé USB branchée. Bonne nouvelle : quelques réflexes simples suffisent à éviter l’essentiel des pièges.
L’humain, cible préférée des attaquants
Selon le rapport Verizon DBIR 2025, environ 60 % des violations de données impliquent une erreur ou une manipulation humaine (Verizon DBIR 2025, via Mimecast). Les attaquants le savent et misent sur la curiosité, l’urgence ou la routine. Ce n’est pas une question d’intelligence : c’est une question d’habitude.
La clé USB trouvée sur le parking
Une clé USB trouvée sur un parking, oubliée dans une salle de réunion ou reçue par la poste sans raison est un cheval de Troie idéal. Le réflexe naturel est de la brancher pour retrouver son propriétaire, et c’est exactement ce que l’attaquant espère. Lors d’une expérience menée en 2016 sur un campus universitaire américain, près de 300 clés ont été abandonnées : 48 % ont été branchées et au moins un fichier a été ouvert (étude présentée à l’IEEE Security and Privacy).
Une clé piégée peut installer un logiciel malveillant à l’ouverture d’un fichier, ou même se faire passer pour un clavier et taper des commandes à votre place en quelques secondes.
Le bon réflexe : ne branchez jamais un support inconnu sur un ordinateur de l’entreprise. Remettez-le à votre responsable informatique, qui décidera quoi en faire.
Les e-mails piégés : ne jamais cliquer dans l’urgence
L’hameçonnage reste la menace la plus courante : l’OFCS a reçu 6’299 signalements d’hameçonnage au second semestre 2025, soit 17 % de plus qu’un an plus tôt (KMU.admin.ch). Trois réflexes couvrent la grande majorité des cas :
- vérifiez l’adresse réelle de l’expéditeur, pas seulement le nom affiché ;
- survolez les liens avec la souris avant de cliquer pour voir où ils mènent ;
- en cas de doute, appelez l’expéditeur à un numéro que vous connaissez déjà, jamais à celui indiqué dans le message.
Nous détaillons les 8 signes qui doivent alerter dans notre article Comment reconnaître un e-mail frauduleux.
Signaler tout de suite : pourquoi chaque minute compte
Si vous avez cliqué sur un lien suspect, saisi un mot de passe sur une page douteuse ou si votre ordinateur se comporte bizarrement (lenteurs inhabituelles, fenêtres qui s’ouvrent, fichiers renommés), prévenez immédiatement votre responsable informatique. Plus le signalement est rapide, plus il est facile de limiter les dégâts : couper un poste du réseau à temps peut éviter que tout le serveur soit touché.
Pour que cela fonctionne, vos collaborateurs doivent pouvoir signaler une erreur sans crainte d’être blâmés. Un collaborateur qui a peur de la réaction se taira, et c’est le silence qui coûte cher.
En cas d’incident : les premiers gestes
- Débranchez l’ordinateur du réseau (câble et Wi-Fi), sans l’éteindre.
- Changez depuis un autre appareil les mots de passe qui ont pu être saisis.
- Prévenez votre responsable informatique ou votre prestataire.
- Si des données bancaires sont concernées, appelez votre banque sans attendre.
Le guide complet à partager avec votre équipe
Cet article reprend l’un des 9 réflexes de notre guide gratuit des bonnes pratiques de sécurité informatique. Recevez-le par e-mail en version PDF imprimable : de quoi sensibiliser tous vos collaborateurs en quelques minutes, ou le garder sous la main dans vos dossiers.