Guide pratique · MaFormationImmo
Face à un message suspect, suspendez l’action et vérifiez la demande par un canal indépendant. Si quelqu’un a déjà cliqué, la réaction dépend ensuite de ce qui a été fait : consultation d’une page, saisie d’un mot de passe, téléchargement ou paiement. Dire « j’ai cliqué » ne décrit pas suffisamment l’incident.
Cette fiche propose une organisation pratique pour une agence immobilière. Elle complète les consignes de votre prestataire informatique et vos procédures de sécurité.
Trois réflexes pour l’équipe
- Ne pas ouvrir une pièce jointe ou suivre un lien pour vérifier si le message est vrai.
- Signaler rapidement les faits, sans chercher à masquer une erreur.
- Conserver les éléments utiles et faire qualifier l’incident.
Reconnaître les demandes à vérifier
Les dossiers immobiliers impliquent de nombreux échanges : accès à un portail, facture d’un prestataire, documents d’un candidat, signature ou notification administrative. Un message frauduleux peut reprendre ce vocabulaire. Le nom affiché et le contexte plausible ne suffisent pas à authentifier son expéditeur.
L’urgence inhabituelle, une demande d’identifiants, une pièce jointe inattendue ou un lien dont la destination est incohérente doivent faire interrompre le traitement. L’absence de faute d’orthographe ne prouve rien. Le bon contrôle porte sur l’origine de la demande et le service réellement attendu.
Cybermalveillance.gouv.fr recommande de ne pas communiquer d’informations ni d’ouvrir les liens ou pièces jointes suspects. Pour vérifier un service, ouvrez votre accès habituel ou utilisez un contact déjà connu. Ne réutilisez pas les coordonnées proposées dans le message douteux.
Qualifier ce qui s’est passé après le clic
| Fait rapporté | Action d’organisation | Information à transmettre au support |
|---|---|---|
| Message reçu, aucune action | Signaler et suivre le circuit de traitement prévu | Date, expéditeur apparent, objet |
| Lien ouvert | Fermer la page suspecte et faire évaluer l’exposition | Heure, appareil, action effectuée |
| Mot de passe saisi | Prévenir immédiatement le support et sécuriser le compte par un accès sûr | Service concerné et éventuelle réutilisation du secret, sans divulguer le secret |
| Fichier téléchargé ou exécuté | Faire prendre en charge l’appareil selon les consignes informatiques | Nom du fichier, étapes effectuées, symptômes |
| Paiement ou données bancaires transmis | Contacter sans attendre l’établissement financier et déclencher le suivi de fraude | Opération, heure, destinataire et références dans le circuit sécurisé |
Le support pourra demander d’autres mesures selon les outils utilisés. Ne supprimez pas des journaux, ne réinstallez pas un appareil et ne multipliez pas les manipulations improvisées avant d’avoir reçu les consignes utiles. Le but est de limiter les conséquences tout en conservant les éléments nécessaires à l’analyse.
La fiche officielle sur l’hameçonnage recommande notamment de changer un mot de passe communiqué et de sécuriser les autres comptes où il était réutilisé. La protection du compte doit être organisée avec le support, depuis un accès fiable, et complétée selon la situation par la vérification des sessions et des paramètres de messagerie.
Cas fictif : un faux avis de suspension de portail
Une collaboratrice reçoit un message annonçant la suspension prochaine du compte de diffusion. Elle suit le lien et saisit son identifiant et son mot de passe. L’écran affiche ensuite une erreur. Elle prévient immédiatement le responsable et décrit précisément les étapes.
L’équipe contacte son support par le canal habituel. Elle identifie le compte concerné, l’heure de l’action et l’appareil utilisé. Les mesures de sécurisation sont engagées sans attendre une preuve de détournement. Le responsable vérifie ensuite si d’autres accès ou données ont pu être affectés.
La collaboratrice n’est pas chargée de retourner sur le faux site pour « faire une capture plus propre ». Les preuves déjà disponibles sont conservées selon les consignes reçues. Un message interne ciblé informe les collègues de la tentative sans leur transférer un lien cliquable comme s’il s’agissait d’une tâche à effectuer.
Après traitement, l’équipe examine le processus : comment signaler, qui appeler et que faire en dehors des horaires habituels ? Ce retour doit permettre de raccourcir le délai de réaction au prochain incident, sans transformer le débriefing en recherche d’un coupable.
Vérifier les conséquences sur les dossiers clients
Un compte compromis peut contenir des coordonnées, des pièces ou des échanges relatifs aux clients. Le responsable doit faire analyser ce qui a été accessible et les conséquences possibles. La présence de données personnelles impose d’examiner le cadre RGPD avec les personnes compétentes.
Toute tentative de phishing ne constitue pas automatiquement une violation de données à notifier. À l’inverse, il ne faut pas attendre une plainte d’un client pour évaluer une exposition. Les articles 33 et 34 du RGPD encadrent la notification à l’autorité de contrôle et l’information des personnes selon les conditions et niveaux de risque prévus. Le délai de 72 heures de l’article 33, lorsqu’il s’applique, court à compter de la connaissance de la violation.
Un registre de suivi interne conserve les faits, les décisions et les actions. Son accès est limité aux personnes qui en ont besoin. Ne diffusez pas les pièces d’identité ou les mots de passe dans un courriel collectif pour expliquer l’incident.
Préparer l’équipe avant la prochaine tentative
Définissez un contact de signalement, un relais en cas d’absence et un moyen de joindre le support lorsque la messagerie ne peut plus être utilisée. Vérifiez que chacun connaît ce circuit. Une procédure inaccessible dans le compte compromis ne rend pas le service attendu.
Travaillez avec des situations fictives : message d’un portail, document à signer ou facture inattendue. Demandez aux collaborateurs de décrire leur décision et leur canal de vérification. L’objectif est d’exercer le réflexe d’arrêt, pas de leur apprendre une liste de fautes d’orthographe supposées caractéristiques des fraudeurs.
Pour les demandes de paiement, complétez cette méthode avec nos cinq contrôles avant de modifier un RIB. Les deux procédures répondent à des questions différentes : protéger les accès et authentifier une instruction de paiement.
Questions fréquentes après un message suspect
Un clic signifie-t-il que tout le système est compromis ?
Le clic seul ne suffit pas à établir l’étendue de l’incident. Décrivez les actions effectuées et faites qualifier l’exposition par le support. Ne concluez ni à une absence de risque ni à une compromission générale sans analyse.
Faut-il retourner sur la page pour récupérer une preuve ?
Ne vous exposez pas davantage. Conservez les éléments déjà disponibles et demandez les consignes de collecte au support.
Qui doit recevoir le premier signalement interne ?
Utilisez le contact et le relais prévus dans votre procédure. Préparez un canal indépendant de la messagerie concernée pour pouvoir signaler un incident même si ce compte devient inaccessible.
Sources et périmètre
Sources consultées les 30 et 31 octobre 2026. Les cas chiffrés et situations présentés sont fictifs. Les méthodes d’organisation sont des propositions à adapter à votre structure.
