Phishing : le coût réel d'un clic pour une PME belge

Un lundi matin, un collaborateur reçoit un e-mail « urgent » : une facture impayée, un colis en attente, un mot de passe qui expire. Il clique, saisit ses identifiants sur une page qui ressemble à s'y méprendre à celle de Microsoft 365 — et la machine est lancée. Pour une PME belge, ce simple geste de quelques secondes peut se transformer en semaines de désorganisation. Voici ce que coûte réellement un clic, et surtout comment l'éviter.

Une menace qui ne ralentit pas

Les chiffres du Centre pour la Cybersécurité Belgique (CCB) parlent d'eux-mêmes : plus de 3,6 millions de signalements de hameçonnage ont été reçus durant le premier trimestre 2026, soit plus de 40 000 par jour en moyenne — une hausse de plus de 50 % par rapport à la moyenne quotidienne de 2025. Et le CCB estime que la réalité est encore au-dessus, car tout le monde ne signale pas les messages suspects. Les PME ne sont pas épargnées : les attaquants ciblent moins une entreprise en particulier qu'une faille humaine, présente partout.

Ce qu'un seul clic peut déclencher

Un e-mail de phishing réussi ouvre rarement une seule porte. Selon le scénario, il peut conduire à :

• un vol d'identifiants : l'attaquant accède à la boîte mail, au cloud ou aux outils métiers d'un collaborateur ;
• une fraude au virement : de fausses factures ou de faux changements de coordonnées bancaires envoyés depuis une vraie boîte mail, à vos clients ou à vos fournisseurs ;
• un ransomware : un fichier piégé chiffre vos données et bloque l'activité jusqu'à restauration ;
• une fuite de données personnelles, avec à la clé une obligation de notification à l'Autorité de protection des données dans les 72 heures au titre du RGPD.

À l'échelle mondiale, l'étude « Cost of a Data Breach 2025 » d'IBM chiffre le coût moyen d'une violation de données à 4,44 millions de dollars, et classe le phishing parmi les premiers vecteurs d'intrusion. Cette moyenne concerne surtout de grandes organisations et reste bien au-dessus de ce que subira une PME — mais elle illustre l'ordre de grandeur d'un incident mal maîtrisé.

Le coût réel pour une PME

Le montant d'une éventuelle rançon ou d'un virement détourné n'est que la partie visible. Le coût réel se compose aussi de :

• l'activité à l'arrêt : postes inutilisables, facturation bloquée, équipes qui attendent ;
• le temps de remise en état : analyse, changement de tous les mots de passe, restauration des sauvegardes ;
• la confiance entamée : un client dont les données ont fuité, un fournisseur à qui l'on a envoyé une fausse facture ;
• les obligations légales et contractuelles : notification RGPD, mais aussi exigences de cybersécurité imposées par des clients soumis à NIS2.

Pour une petite structure sans service IT interne, quelques jours d'arrêt suffisent à peser lourdement sur l'exercice.

Pourquoi la technique seule ne suffit pas

Filtres anti-spam, authentification multifacteur et sauvegardes isolées sont indispensables : ils réduisent fortement le nombre de messages qui atteignent vos équipes et limitent les dégâts quand l'un d'eux passe quand même. Mais les messages de phishing deviennent plus soignés, plus personnalisés et plus crédibles d'année en année. Aucun filtre n'arrête tout — et c'est une personne, pas un logiciel, qui prend la décision finale de cliquer.

Sensibiliser, c'est l'investissement le plus rentable

Une équipe formée et à l'aise pour signaler un doute reste la meilleure défense. Concrètement :

• organisez une simulation de phishing : un faux message inoffensif permet de mesurer le taux de clic réel, sans sanction, et de cibler la sensibilisation ;
• formez par courtes sessions régulières plutôt qu'une grande formation annuelle vite oubliée ;
• installez des réflexes simples : vérifier l'adresse réelle de l'expéditeur, se méfier de l'urgence et de la pression, ne jamais saisir de mot de passe après un clic sur un lien, confirmer toute demande de paiement inhabituelle par un second canal (un appel, par exemple) ;
• faites du signalement un réflexe sans honte : plus vite l'équipe IT est prévenue, plus les dégâts sont limités. Les messages suspects peuvent aussi être transmis à suspect@safeonweb.be, la plateforme du CCB.

Chez Gigaweb, nous accompagnons les PME sur leur sécurité informatique et l'ensemble de leur infrastructure : filtrage des e-mails, authentification multifacteur, sauvegardes et sensibilisation des équipes, pour qu'un clic malheureux reste un incident sans conséquence.