Un faux compte à votre nom. Un message envoyé à vos clients depuis une adresse qui ressemble à la vôtre. Une commande passée avec vos informations personnelles. L’usurpation d’identité en ligne ne concerne plus uniquement les célébrités ou les grandes entreprises. Elle peut toucher un indépendant, une boutique e-commerce, un dirigeant ou un particulier.
Le problème est simple : quelques informations publiques suffisent parfois pour construire une identité numérique crédible. Nom, photo, fonction, adresse e-mail, numéro de téléphone, site web… Les escrocs n’ont pas toujours besoin de pirater un compte. Ils peuvent simplement exploiter ce que vous avez déjà publié.
La bonne nouvelle ? Quelques précautions réduisent fortement les risques. Encore faut-il adopter une méthode. Voici les réflexes à mettre en place pour protéger votre identité, celle de votre entreprise et celle de vos clients.
Qu’est-ce que l’usurpation d’identité en ligne ?
L’usurpation d’identité consiste à utiliser les données d’une personne ou d’une organisation sans son autorisation, afin de se faire passer pour elle. L’objectif peut être financier, commercial, réputationnel ou simplement malveillant.
Dans un contexte professionnel, l’attaquant peut chercher à :
- demander un virement à un client ou à un fournisseur ;
- récupérer des identifiants ou des informations confidentielles ;
- publier des contenus nuisibles à votre réputation ;
- créer un faux service client sur les réseaux sociaux ;
- commander des produits ou souscrire à des services en votre nom ;
- arnaquer votre communauté en utilisant votre image et votre crédibilité.
Il faut distinguer deux situations. Dans le premier cas, l’escroc crée un faux profil ou un faux site en copiant votre identité. Dans le second, il prend réellement le contrôle de votre compte. Les conséquences ne sont pas les mêmes, mais les deux scénarios peuvent se combiner.
Pourquoi les entrepreneurs sont particulièrement exposés
Un entrepreneur communique beaucoup. Il présente son parcours, son expertise, ses clients, ses offres et ses coordonnées. Cette visibilité est indispensable pour développer son activité. Elle constitue aussi une matière première pour les fraudeurs.
Un profil LinkedIn bien renseigné, une page « À propos » détaillée et une signature e-mail publique peuvent permettre à un escroc de reproduire votre identité en quelques heures. Il lui suffit ensuite de contacter vos relations avec un message crédible.
Les petites structures sont souvent ciblées parce qu’elles disposent de moins de procédures internes. Dans une entreprise de trois personnes, une demande urgente envoyée par le dirigeant peut être exécutée sans vérification supplémentaire. C’est exactement ce que recherchent les fraudeurs.
Un exemple classique : vous recevez un e-mail apparemment envoyé par votre fournisseur. Le message indique que ses coordonnées bancaires ont changé. Le logo est correct, le ton est professionnel et la facture semble réelle. Pourtant, l’adresse de l’expéditeur contient une légère variation : fournisseurr.com au lieu de fournisseur.com. Un seul caractère peut coûter plusieurs milliers d’euros.
Les informations à protéger en priorité
Toutes les données ne présentent pas le même niveau de risque. Commencez par identifier celles qui peuvent permettre d’accéder à vos comptes ou de convaincre un tiers de votre identité.
- Vos mots de passe et codes de récupération.
- Votre adresse e-mail principale et votre numéro de téléphone.
- Les copies de pièces d’identité.
- Vos coordonnées bancaires et documents administratifs.
- Les réponses aux questions de sécurité.
- Les informations sur vos clients, fournisseurs et partenaires.
- Les noms de domaine associés à votre activité.
- Vos photos, logos, signatures et éléments de marque.
Un point souvent oublié : une photo de pièce d’identité envoyée par e-mail ou stockée dans un espace mal protégé peut être réutilisée pour ouvrir un compte, souscrire un crédit ou tromper un service client.
Lorsque vous devez transmettre un justificatif, ajoutez un filigrane précisant le destinataire, la date et le motif. Par exemple : « Document transmis à la banque X pour ouverture de compte, le 12 mars 2025 ». Cela ne rend pas le document inviolable, mais complique sa réutilisation.
Sécurisez vos comptes avant de communiquer davantage
La première étape est de protéger les comptes qui donnent accès aux autres. Votre messagerie principale est prioritaire. Si un attaquant y accède, il peut réinitialiser vos comptes sociaux, vos outils marketing, votre hébergement et parfois vos services bancaires.
Appliquez ces règles :
- utilisez un mot de passe différent pour chaque service ;
- choisissez des mots de passe longs, idéalement générés par un gestionnaire ;
- activez l’authentification à deux facteurs ;
- conservez les codes de récupération dans un emplacement sécurisé ;
- supprimez les anciens comptes que vous n’utilisez plus ;
- vérifiez régulièrement les sessions et appareils connectés.
L’authentification à deux facteurs, ou 2FA, ajoute une seconde preuve après le mot de passe. Il peut s’agir d’une application dédiée, d’une clé de sécurité ou, dans certains cas, d’un code reçu par SMS. Une application ou une clé physique offre généralement une meilleure protection contre le phishing que le SMS.
Ne faites pas l’erreur de réserver cette sécurité aux comptes « importants ». Votre compte Instagram peut sembler secondaire. Pourtant, s’il sert à communiquer avec vos clients, il représente un actif commercial. Un compte compromis peut être utilisé pour diffuser une fausse promotion ou demander de l’argent à votre communauté.
Adoptez une politique de mots de passe réaliste
Changer son mot de passe tous les mois n’est pas forcément la meilleure stratégie si vous utilisez des mots de passe faibles ou réutilisés. L’objectif est plutôt de disposer de mots de passe uniques, longs et difficiles à deviner.
Un gestionnaire de mots de passe permet de générer et de stocker ces accès. Vous ne retenez alors qu’un seul mot de passe maître, qui doit être particulièrement robuste et protégé par une authentification renforcée.
Évitez les informations faciles à trouver sur vous : nom de votre entreprise, date de création, prénom d’un enfant, nom du chien ou slogan affiché sur votre site. Les fraudeurs commencent souvent par les réseaux sociaux. Votre passion pour le surf n’est pas un secret si vous publiez chaque week-end des photos à Hossegor.
Limitez les informations disponibles publiquement
La visibilité est utile en marketing. La surexposition, beaucoup moins. Faites régulièrement l’inventaire de ce que l’on peut trouver sur vous en quelques minutes.
Recherchez votre nom, celui de votre entreprise, votre numéro de téléphone et vos adresses e-mail dans un moteur de recherche. Consultez aussi les images associées. Cette démarche peut révéler un faux profil, une ancienne annonce ou un document publié par erreur.
Sur les réseaux sociaux, vérifiez :
- qui peut voir vos coordonnées ;
- qui peut vous identifier sur une publication ;
- qui peut vous envoyer un message ;
- quelles informations sont visibles sur votre parcours ;
- quels anciens contenus sont encore publics.
Pour une entreprise, il est utile de réserver les noms de domaine correspondant à sa marque et à ses principales variantes. Cela ne bloque pas toutes les fraudes, mais réduit le risque qu’un tiers crée un site trompeur avec une adresse très proche de la vôtre.
Apprenez à repérer les tentatives de phishing
Le phishing, ou hameçonnage, consiste à vous inciter à transmettre une information ou à effectuer une action sous un faux prétexte. Le message peut prétendre venir de votre banque, d’un fournisseur, d’un réseau social ou d’un collègue.
Les signaux d’alerte les plus fréquents sont les suivants :
- une demande urgente ou inhabituelle ;
- une pression pour éviter toute vérification ;
- une adresse e-mail légèrement modifiée ;
- un lien qui ne correspond pas au site officiel ;
- une pièce jointe inattendue ;
- des fautes ou un ton inhabituel ;
- une demande de mot de passe, de code ou de virement.
Attention : un message parfaitement écrit peut aussi être frauduleux. Les outils d’intelligence artificielle rendent les textes d’arnaque plus crédibles. Ne vous fiez donc pas uniquement à l’orthographe.
En cas de doute, ne répondez pas au message et n’utilisez pas son lien. Ouvrez vous-même le site officiel depuis votre navigateur ou contactez votre interlocuteur avec un numéro déjà enregistré. Une règle simple peut être appliquée en entreprise : toute modification bancaire doit être confirmée par un autre canal.
Protégez votre entreprise contre la fraude au président
La fraude au président repose sur l’usurpation de l’identité d’un dirigeant. L’escroc demande à un salarié d’effectuer un virement urgent et confidentiel. Il peut utiliser une adresse piratée ou créer une adresse très similaire.
La parade n’est pas uniquement technique. Elle repose aussi sur une procédure claire :
- définir qui peut demander un paiement ;
- imposer une validation à deux personnes au-delà d’un certain montant ;
- confirmer oralement tout changement de coordonnées bancaires ;
- ne jamais accepter la notion de « confidentialité » comme excuse à l’absence de contrôle ;
- former les équipes avec des exemples concrets.
Une procédure écrite ne ralentit pas nécessairement l’entreprise. Elle évite surtout de prendre une décision irréversible dans la précipitation. Le virement part en quelques secondes. La récupération des fonds, elle, est loin d’être garantie.
Surveillez votre identité numérique
La prévention ne s’arrête pas à la configuration de vos comptes. Mettez en place une veille simple. Programmez une alerte sur votre nom, votre marque et votre nom de domaine. Surveillez aussi les nouveaux profils qui utilisent votre logo ou votre identité visuelle.
Pour les réseaux sociaux, effectuez une recherche régulière avec :
- le nom exact de votre entreprise ;
- les variantes avec et sans accent ;
- les fautes de frappe fréquentes ;
- votre nom accompagné de « service client » ou « assistance » ;
- les noms de domaine proches de votre marque.
Conservez des captures d’écran en cas de faux compte. Notez l’URL, la date, le contenu publié et les personnes contactées. Ces éléments seront utiles pour effectuer un signalement ou déposer plainte.
Que faire si vous êtes victime ?
La vitesse de réaction compte. Si vous pensez qu’un compte a été compromis, changez immédiatement son mot de passe depuis un appareil de confiance. Déconnectez les sessions actives, révoquez les applications tierces et activez la double authentification.
Si votre messagerie est concernée, vérifiez les règles de transfert automatique. Un attaquant peut créer une règle qui copie vos e-mails vers une adresse externe, même après le changement de mot de passe.
Prévenez ensuite les personnes susceptibles d’être ciblées : clients, fournisseurs, collaborateurs et partenaires. Un message court suffit : « Notre compte a été compromis. Ne tenez pas compte des demandes de paiement ou de changement de coordonnées reçues entre telle date et telle date. »
Selon la situation :
- signalez le faux profil à la plateforme concernée ;
- contactez votre banque immédiatement en cas de mouvement financier ;
- déposez plainte auprès des autorités compétentes ;
- utilisez les dispositifs officiels comme 17Cyber pour être orienté ;
- signalez les contenus illicites sur les plateformes adaptées ;
- faites-vous accompagner par un professionnel en cybersécurité si nécessaire.
En France, la CNIL recommande également de limiter la diffusion des données personnelles et de réagir rapidement en cas de compromission. Pour les entreprises, prévoyez un registre des incidents et identifiez à l’avance les personnes à contacter : banque, hébergeur, prestataire informatique, assureur et conseil juridique.
Les erreurs à éviter
Première erreur : penser que personne ne s’intéresse à votre activité. Les attaques sont souvent automatisées. Vous n’avez pas besoin d’être célèbre pour être ciblé.
Deuxième erreur : publier une capture d’écran contenant une adresse e-mail, un numéro de commande ou une information client. Même un détail anodin peut compléter le puzzle.
Troisième erreur : cliquer sur un lien pour vérifier s’il est fiable. Un lien malveillant peut déclencher une redirection, télécharger un fichier ou collecter des informations. Accédez toujours au service depuis son adresse officielle.
Quatrième erreur : croire qu’un antivirus suffit. Il protège une partie de votre environnement, mais ne vous empêchera pas de communiquer volontairement un code à un escroc convaincant. La sécurité repose sur un ensemble : outils, procédures et vigilance.
La checklist à appliquer cette semaine
Vous pouvez améliorer rapidement votre niveau de protection avec ce plan d’action :
- activez la double authentification sur votre messagerie et vos comptes professionnels ;
- remplacez les mots de passe réutilisés ;
- installez un gestionnaire de mots de passe ;
- réduisez les informations personnelles visibles publiquement ;
- recherchez les faux profils et domaines proches de votre marque ;
- mettez en place une validation orale des changements bancaires ;
- informez votre équipe des principales techniques de phishing ;
- préparez un message d’alerte à envoyer en cas de compromission ;
- conservez les preuves de toute tentative d’usurpation.
L’objectif n’est pas de disparaître d’Internet. Une entreprise invisible a rarement une bonne stratégie commerciale. Il s’agit plutôt de choisir ce que vous exposez, de protéger ce qui doit l’être et de prévoir une réaction avant que l’incident ne survienne.
L’usurpation d’identité fonctionne souvent grâce à un mélange de technologie et de précipitation. En ralentissant les demandes inhabituelles, en vérifiant les interlocuteurs et en sécurisant vos comptes essentiels, vous rendez la tâche beaucoup plus difficile aux fraudeurs. En cybersécurité comme en business, les bonnes procédures sont rarement spectaculaires. Mais elles évitent des problèmes très concrets.