Qu’est-ce qu’une cyberattaque ? Les 5 types les plus fréquents et comment les reconnaître

Un lundi matin, la technicienne comptable d’un distributeur de Laval reçoit un courriel de son président : « Urgent, je suis en réunion, fais le virement de 48 000 $ au fournisseur ci-joint avant midi. » Le ton est juste, la signature aussi. Seul détail : le président n’a jamais écrit ce courriel. C’est une cyberattaque, et elle ne ressemble en rien à un film de pirates.

Les chiffres cités proviennent de rapports publics (Verizon, Statistique Canada, Centre antifraude du Canada) et décrivent des tendances, pas votre exposition particulière.

Selon le rapport Data Breach Investigations 2026 de Verizon, qui analyse plus de 22 000 brèches confirmées dans 145 pays, le facteur humain est présent dans 62 % des brèches, et les rançongiciels sont impliqués dans 48 % d’entre elles.

Qu’est-ce qu’une cyberattaque et pourquoi vise-t-elle votre entreprise ?

Une cyberattaque est une action menée par des pirates informatiques pour endommager un système, accéder à des informations confidentielles ou obtenir de l’argent, et elle vise les entreprises pour deux raisons : leurs données et leurs comptes bancaires. Elle prend des formes variées, souvent subtiles, et la victime met parfois des semaines à s’en rendre compte.

Le piratage moderne exploite rarement une faille technique spectaculaire. Il exploite une personne pressée, un mot de passe réutilisé ou une procédure de paiement sans double vérification. C’est pourquoi un environnement de travail sécuritaire, y compris pour la cybersécurité des entreprises en télétravail, commence par les habitudes des employés.

Les repères chiffrés à garder en tête :

• Selon Statistique Canada, 16 % des entreprises canadiennes ont été touchées par un incident de cybersécurité en 2023, et 30 % des grandes entreprises.
• Toujours selon Statistique Canada, les dépenses de rétablissement après incident ont doublé, de 600 millions $ en 2021 à 1,2 milliard $ en 2023, et 13 % des entreprises touchées ont subi un rançongiciel.
• Selon Verizon (2026), la rançon médiane payée s’élevait à 139 875 $ US, et 69 % des victimes n’ont pas payé.
• Selon le Centre antifraude du Canada, plus de 112 000 signalements et 704 millions $ de pertes ont été enregistrés en 2025, dont 67,9 millions $ pour le harponnage.

Comment reconnaître un logiciel malveillant caché dans un document ?

Un logiciel malveillant de type « macro » est un microprogramme inséré dans un document, envoyé à la victime, qui s’active quand celle-ci clique sur un bouton pour « afficher le contenu ». L’attaque repose sur la curiosité ou l’inquiétude : une facture impayée, un avis de livraison, un document « illisible » qu’il faudrait déverrouiller.

Deux règles simples. Vous ne connaissez pas l’expéditeur ? N’ouvrez pas le document. Le document est illisible et la seule façon de le lire est d’appuyer sur un bouton ? N’appuyez pas. Un fournisseur légitime trouvera un autre moyen de vous joindre.

Comment repérer l’hameçonnage par courriel et la fraude du président (BEC) ?

L’hameçonnage par courriel prend deux formes : le courriel frauduleux de masse (réinitialisation de mot de passe, suivi de colis) et la compromission de courriel d’affaires (BEC), une attaque patiente qui vise les personnes autorisées à faire des paiements. La première se reconnaît en quelques secondes. La seconde peut mûrir pendant des mois.

Pour le courriel de masse, vérifiez les salutations : une entreprise chez qui vous avez acheté connaît votre nom, un fraudeur rarement. Méfiez-vous d’un expéditeur inconnu qui semble vous connaître. Glissez la souris sur le lien pour voir la vraie destination, souvent camouflée par un raccourcisseur d’adresse. Les fautes d’orthographe restent un indice, mais Verizon note que l’IA générative a rendu les courriels frauduleux beaucoup plus propres.

Pour le BEC, le scénario est rodé. Les pirates ciblent la comptabilité ou la finance, infiltrent un logiciel qui observe les échanges pendant des semaines (qui parle à qui, avec quels mots, qui approuve quoi), puis attendent le bon moment : le patron en voyage, en réunion, injoignable. Le faux courriel arrive alors, marqué « Urgent », demandant un virement important vers l’étranger.

La parade tient en une phrase : tout virement d’envergure exige une confirmation de vive voix, par téléphone, au numéro déjà connu. La plupart du temps, votre patron n’aura aucune idée de quoi vous parlez. Vous aurez déjoué l’attaque, et c’est le moment de revoir le contrôle interne et les risques applicatifs de l’entreprise.

Quelle est la différence entre le smishing et le vishing ?

Le smishing est l’hameçonnage par message texte et le vishing, l’hameçonnage par appel téléphonique ; les deux visent à obtenir vos données personnelles et bancaires, l’un par un lien à cliquer, l’autre par la pression d’une voix humaine. Ils fonctionnent parce que le téléphone est toujours dans notre poche et que son petit écran invite à cliquer pour « voir en plus grand ».

Le smishing emprunte des noms connus : iCloud, votre banque, Postes Canada, un faux virement Interac à « accepter ». La bonne réponse est de ne rien faire : ni cliquer, ni répondre, ni engager la conversation. Bloquez le numéro, mais restez aux aguets, les fraudeurs en ont d’autres.

Verizon (2026) observe d’ailleurs que le taux de clic sur les vecteurs mobiles (texto, voix) est 40 % plus élevé que par courriel dans les simulations d’hameçonnage.

Le vishing, ce sont les fausses accusations de fraude de Revenu Québec ou de l’Agence du revenu du Canada, la croisière gagnée chaque mois, le faux technicien Microsoft. Raccrochez. Puis appelez l’organisme au numéro officiel pour le prévenir : d’autres personnes moins averties recevront le même appel.

Un virement urgent demandé par courriel n’est pas une urgence : c’est un signal d’alarme.

Qu’est-ce qu’un rançongiciel et comment s’en protéger ?

Un rançongiciel est un logiciel malveillant qui bloque l’accès au système et chiffre les données, puis exige une rançon, souvent en cryptomonnaie, contre la promesse de tout déverrouiller. Il arrive par une pièce jointe téléchargée ou un site infecté, et il joue sur l’angoisse, parfois en accusant la victime d’actes illégaux.

Payer ne garantit rien. Le logiciel reste souvent en place, ce qui annonce une prochaine attaque. Statistique Canada rapporte que 88 % des entreprises canadiennes victimes d’un rançongiciel n’ont pas payé en 2023. Verizon note que la rançon médiane recule, mais que la part des brèches impliquant un rançongiciel a grimpé à 48 %.

La protection est peu glamour et très efficace : tout mettre à jour (système d’exploitation, logiciels, antivirus, pare-feu), et faire des sauvegardes périodiques stockées hors ligne ou dans le nuage, testées au moins une fois par année. Une sauvegarde qu’on n’a jamais restaurée n’est qu’une hypothèse. Si des renseignements personnels sont touchés, la Loi 25 impose des obligations de notification qu’il vaut mieux connaître avant l’incident.

Comment réduire le risque de cyberattaque au quotidien ?

Réduire le risque de cyberattaque repose sur trois réflexes : ne jamais cliquer sur un lien ou une pièce jointe non sollicités, confirmer tout paiement inhabituel par un second canal, et maintenir les mises à jour et les sauvegardes. La technologie protège l’environnement de travail ; la vigilance protège tout le reste. Apprendre à détecter une attaque reste le moyen le plus économique de l’éviter.

Questions fréquentes

Quels sont les types de cyberattaques les plus fréquents en entreprise ?

Les cinq formes les plus courantes sont le logiciel malveillant caché dans un document, l’hameçonnage par courriel (incluant la fraude du président ou BEC), l’hameçonnage par message texte (smishing), l’hameçonnage par téléphone (vishing) et le rançongiciel. Selon Verizon (2026), le facteur humain est présent dans 62 % des brèches, ce qui explique pourquoi ces attaques ciblent d’abord les employés.

Comment savoir si un courriel est frauduleux ?

Vérifiez quatre points : des salutations génériques alors que l’expéditeur devrait connaître votre nom, un expéditeur inconnu qui semble vous connaître, un lien dont la vraie destination (visible en survolant) ne correspond pas au texte, et un sentiment d’urgence. Les fautes d’orthographe sont un indice de moins en moins fiable, l’IA générative ayant rendu les courriels frauduleux plus soignés.

Qu’est-ce que la fraude du président (BEC) ?

La compromission de courriel d’affaires est une attaque patiente : les pirates observent les échanges d’une personne autorisée à payer, puis envoient un faux courriel du patron, injoignable, exigeant un virement urgent vers l’étranger. Au Canada, le harponnage a causé 67,9 millions $ de pertes signalées en 2025 selon le Centre antifraude. La parade : confirmer de vive voix.

Faut-il payer la rançon lors d’une attaque par rançongiciel ?

Non, dans la grande majorité des cas. Payer ne garantit ni la récupération des données ni le retrait du logiciel malveillant, qui prépare souvent une attaque suivante. Selon Statistique Canada, 88 % des entreprises canadiennes victimes n’ont pas payé en 2023. La vraie défense est une sauvegarde récente, hors ligne, dont la restauration a été testée.

Que faire immédiatement après une cyberattaque ?

Isolez les appareils touchés du réseau, changez les mots de passe compromis et activez l’authentification multifacteur, puis prévenez votre équipe TI ou votre fournisseur de services. Documentez ce qui s’est passé et signalez l’incident à la police et au Centre antifraude du Canada. Si des renseignements personnels sont en cause, la Loi 25 exige d’aviser la Commission d’accès à l’information.