Signaler un incident de sécurité : les informations à retenir

Pour signaler un incident de sécurité après un appel suspect, prévenez tout de suite la personne désignée en interne. Ce peut être le responsable sécurité, le support informatique ou votre hiérarchie. Donnez des faits notés à chaud : qui a appelé, ce qui a été demandé, ce qui a été donné, à quelle heure. Un signalement rapide et précis vaut mieux qu'un signalement parfait mais tardif.

Cet article explique à qui signaler, quand, et propose une grille réutilisable des informations à retenir pendant et après l'appel.

À qui signaler un incident de sécurité ?

Le premier destinataire est interne. Chaque organisation devrait avoir un point de contact unique, connu de tous, par exemple une adresse dédiée ou un numéro d'astreinte. Le salarié ne doit pas avoir à se demander à qui parler.

Si vous ne savez pas qui contacter, commencez par votre responsable et votre support informatique. Mieux vaut un mauvais destinataire rapide qu'une absence de signalement. Ils feront suivre.

En dehors de l'organisation, plusieurs dispositifs publics existent. Le service 17Cyber, porté par le ministère de l'Intérieur, s'adresse aux victimes d'infractions numériques. Il vise particuliers, entreprises et collectivités. Il donne des conseils personnalisés et, si besoin, un échange avec un gendarme ou un policier. Cybermalveillance.gouv.fr propose aussi des fiches réflexes et l'assistance aux victimes. Ces démarches relèvent en général de la décision du responsable sécurité ou de la direction, pas du salarié seul.

Quand faut-il le faire ?

Immédiatement, même si vous n'avez rien donné et même si vous n'êtes pas certain. Un appel raté d'un attaquant est une information précieuse : il va souvent essayer un collègue ensuite.

Le délai compte surtout dans trois cas :

• vous avez communiqué un mot de passe, un code ou une information interne ;
• vous avez validé une opération (virement, réinitialisation, ouverture de session) ;
• vous avez cliqué sur un lien pendant l'appel.

Dans ces cas, signalez avant toute autre démarche. Chaque minute peut permettre de bloquer un virement ou de révoquer un accès.

Que retenir pendant l'appel ?

Pendant la conversation, la priorité reste de ne rien donner. Mais on peut déjà noter, sur un papier ou un bloc-notes, l'essentiel : l'heure, le nom annoncé, le numéro affiché, ce qu'il demande. Noter donne aussi une contenance : cela ralentit l'appelant et vous remet en position d'enquêteur plutôt que de cible.

Une phrase simple le permet : « Pouvez-vous répéter votre nom et votre service ? Je note, pour le suivi de votre demande. » Un fraudeur est gêné d'être consigné. Un interlocuteur légitime trouve cela normal.

Quelle grille utiliser après la tentative ?

Voici une grille à copier dans un modèle de mail ou dans le formulaire de signalement. Elle tient en neuf rubriques. Remplissez ce que vous savez, écrivez « inconnu » pour le reste, sans rien inventer.

1. Heure et durée : date, heure du début, durée approximative de l'appel.
2. Identité annoncée : nom et prénom donnés, fonction, organisation ou service d'appartenance.
3. Numéro appelant : celui qui s'affichait, tel quel (il peut être usurpé).
4. Numéro de rappel donné : celui que l'appelant a demandé de composer, s'il y en a un.
5. Référence de dossier : numéro de ticket, de dossier ou de client cité, même s'il paraît inventé.
6. Ce qui était demandé, et dans quel ordre : l'enchaînement des demandes révèle souvent la méthode.
7. Leviers de pression utilisés : urgence, autorité, menace, culpabilisation, flatterie, demande de discrétion.
8. Détail incohérent : ce qui sonnait faux (vocabulaire inhabituel pour la fonction, ignorance d'un détail interne).
9. Ce qui a été donné : information, code, accès, opération effectuée, avec les mots exacts si possible. Si rien, l'écrire.

L'ordre des demandes (rubrique 6) est souvent plus parlant que le contenu. Il montre comment l'appelant a construit sa pression, étape par étape. C'est ce que les équipes sécurité cherchent à reconnaître d'un appel à l'autre.

Pourquoi noter les leviers de pression ?

Les leviers sont la signature de l'appelant. Un même groupe réutilise les mêmes ressorts : l'urgence liée à un événement, l'autorité d'un dirigeant, la menace de conséquences, la demande de ne rien dire. Les consigner permet de relier plusieurs appels entre eux.

C'est aussi un exercice de lucidité pour la personne qui a reçu l'appel. Nommer le levier (« il a joué l'urgence, puis l'autorité ») aide à comprendre sur quoi elle a failli céder. Cette lecture est détaillée dans l'article sur les leviers psychologiques de l'ingénierie sociale.

À quoi ressemble une grille remplie, sur un exemple type ?

Imaginons un appel reçu par une assistante comptable. Voici ce que son signalement pourrait contenir, en quelques lignes :

Heure : jeudi, 11 h 05, environ six minutes. Identité annoncée : « Marc », « service sécurité de la banque ». Numéro affiché : un numéro à dix chiffres, noté tel quel. Numéro de rappel donné : un numéro différent, demandé « pour sécuriser la ligne ». Référence de dossier : aucune. Demandes, dans l'ordre : confirmer mon identité, citer le dernier virement, lire le code reçu par SMS. Leviers : urgence (« des opérations en cours »), autorité. Détail incohérent : il ne connaissait pas le nom de ma conseillère. Donné : mon identité et le montant du dernier virement, pas de code.

Ce message se lit en trente secondes et permet d'agir : prévenir la banque, alerter les collègues de la comptabilité, vérifier le virement cité. C'est la différence avec « j'ai reçu un appel bizarre ».

Comment l'utiliser concrètement au quotidien ?

Une grille n'a de valeur que si elle est à portée de main. Quelques réflexes la rendent utilisable le jour venu.

• L'imprimer ou l'épingler près du poste de travail, notamment au support, à la comptabilité et à l'accueil.
• La transformer en modèle de mail prêt à envoyer au canal de signalement.
• La relire en équipe tous les trimestres, avec un cas réel anonymisé.
• La mettre à jour avec les rubriques utiles à votre métier, par exemple le nom du client cité pour une banque.

Les équipes de service desk et de comptabilité y trouvent un langage commun. Voir aussi le cas du support informatique face aux demandes de réinitialisation, et la méthode pour dire non sous pression pendant que l'on note.

Quelles erreurs rendent un signalement inutilisable ?

• Attendre d'être sûr. Le doute suffit à signaler.
• Résumer en une phrase. « Un appel bizarre » ne permet aucune action. Les rubriques de la grille évitent ce flou.
• Corriger de mémoire. Écrivez ce que vous avez entendu, pas ce que vous pensez qu'il voulait dire.
• Omettre ce qu'on a donné. La honte retarde le signalement, et l'organisation en paie le prix. Un salarié qui dit tout vite protège les autres.
• Rappeler l'appelant pour « vérifier ». Si vous rappelez, utilisez le canal indépendant décrit dans la procédure de rappel.

Pour la fraude bancaire, la fiche réflexe de Cybermalveillance.gouv.fr recommande de conserver les preuves (numéros, messages, ordres de virement). Elle conseille aussi d'alerter sa banque et de déposer plainte. La même logique de conservation vaut en entreprise.

Comment créer une culture du signalement ?

Un signalement se fait si l'on sait comment, si c'est simple, et si l'on ne risque pas de reproche. Trois leviers organisationnels y contribuent.

• Un canal unique, annoncé régulièrement, avec un modèle de message prêt à remplir.
• Un retour systématique : remercier, dire ce qui a été fait. Un signalement sans réponse décourage le suivant.
• Une règle sans blâme : on félicite celui qui signale, y compris quand il s'est fait piéger.

La pratique orale aide aussi. Dans un jeu de rôle avec Face Up, l'apprenant reçoit l'appel d'un persona qui presse. À la sortie, il remplit sa grille de signalement de mémoire. Le débriefing compare ses notes à ce qui s'est réellement dit, avec les citations de la session. Le formateur écrit le scénario à partir des appels que son organisation a réellement reçus.

L'ensemble de la démarche est décrit dans le guide de la sensibilisation cybersécurité et du vishing.

Questions fréquentes

Dois-je signaler un appel si je n'ai rien donné ?

Oui. L'appel est une information pour l'équipe sécurité, et d'autres collègues sont peut-être appelés. Cela prend deux minutes avec la grille.

Faut-il enregistrer l'appel ?

Pas sans cadre. L'enregistrement d'une conversation obéit à des règles précises. Demandez à votre responsable sécurité ou au délégué à la protection des données ce que votre organisation autorise. Les notes écrites suffisent le plus souvent.

Que faire si je ne retrouve plus les détails ?

Signalez quand même, avec ce que vous avez, et notez ce que vous ne savez plus. Un souvenir partiel, daté de quelques minutes, vaut mieux que rien. Notez les détails dans l'heure qui suit.

Pour entraîner vos équipes à repérer, refuser puis signaler, réservez une démonstration de Face Up et voyez comment un formateur construit son scénario.