Ce guide ne parle pas de cybersécurité. Il parle de ce qu'une personne peut apprendre sur vous, votre organisation ou vos projets sans rien faire d'illégal — et de ce que vous pouvez y changer.
La plupart des atteintes qui touchent un dirigeant ne commencent pas par une intrusion. Elles commencent par une information laissée accessible : une adresse électronique retrouvée dans une fuite ancienne, une photographie datée qui révèle un lieu, un compte oublié qui porte encore votre nom, une réponse automatique qui indique qui vous remplace pendant votre absence.
Aucune des douze actions qui suivent ne demande de compétence technique. Aucune ne demande d'acheter un outil. La plus longue prend trente minutes. Prises ensemble, elles retirent l'essentiel de ce qui rend une personne facile à cibler.
Vos accès
C'est le domaine où l'effort est le plus faible et le gain le plus élevé. Si vous ne faites que trois choses de ce guide, faites celles-ci.
Vérifiez ce qui a déjà fuité vous concernant
Vos adresses électroniques figurent probablement dans une ou plusieurs fuites de données anciennes. Ce n'est pas une hypothèse : c'est le cas de la majorité des adresses créées il y a plus de cinq ans.
Rendez-vous sur haveibeenpwned.com, un service tenu par un chercheur en sécurité reconnu, et saisissez chacune de vos adresses — professionnelle, personnelle, anciennes. Le service vous indique dans quelles fuites elles apparaissent, et ce qui a été exposé.
Vous saurez quels mots de passe considérer comme compromis, et lesquels changer en priorité. Sans cette vérification, vous protégez au hasard.
Activez la double authentification là où elle compte
Un mot de passe seul ne protège plus rien. La double authentification ajoute une seconde vérification — un code généré sur votre téléphone — sans laquelle un mot de passe volé ne sert à rien.
Activez-la sur quatre comptes en priorité : votre messagerie principale, votre messagerie professionnelle, votre banque, et le compte associé à votre nom de domaine si vous en gérez un.
Préférez une application — Authy, Aegis, ou celle intégrée à votre gestionnaire de mots de passe — plutôt que les codes envoyés par message. Un numéro de téléphone peut être détourné ; une application, non.
La messagerie est la clé de tout le reste : c'est par elle que se réinitialisent tous les autres mots de passe. La protéger protège l'ensemble.
Cessez de réutiliser vos mots de passe
Le problème n'est pas qu'un mot de passe soit court. C'est qu'il serve sur plusieurs comptes : une seule fuite ouvre alors toutes les portes.
Installez un gestionnaire de mots de passe — Bitwarden est gratuit et solide, 1Password et Proton Pass sont d'excellentes alternatives. Il en génère un différent par site et les retient à votre place.
Ne migrez pas tout d'un coup. Commencez par les comptes identifiés à l'action 1, puis changez chaque mot de passe au fil de vos connexions.
Une fuite cesse d'être un événement : elle ne concerne plus qu'un seul service. C'est la différence entre un incident et une crise.
Votre exposition publique
Ce que n'importe qui peut apprendre sur vous en une heure, sans rien faire d'illégal. C'est le point de départ de la quasi-totalité des tentatives de fraude ciblée.
Faites sur vous-même la recherche qu'un autre ferait
Ouvrez une fenêtre de navigation privée et cherchez votre nom, puis votre nom associé à votre organisation, puis votre adresse électronique. Consultez les trois premières pages de résultats, pas seulement la première. Cherchez aussi dans l'onglet images.
Notez ce qui vous surprend : un ancien profil, une adresse personnelle, un numéro de téléphone, une photographie que vous pensiez privée, un document qui n'aurait pas dû être indexé.
Vous ne pouvez pas protéger ce que vous ignorez exposer. Cette recherche est le point de départ de tout le reste — et la plupart des gens ne l'ont jamais faite sérieusement.
Fermez les comptes que vous n'utilisez plus
Chaque compte oublié reste une porte : il porte votre nom, une adresse, parfois une photographie et des informations qui n'ont plus cours. Il figure dans les fuites futures, et personne ne surveille son mot de passe.
Listez les services auxquels vous vous êtes inscrit et que vous n'ouvrez plus. Cherchez « ancien réseau social », « ancien service de stockage », « ancienne plateforme professionnelle ». Supprimez le compte plutôt que de le laisser dormir.
Un compte dormant portant votre identité est le support idéal d'une usurpation : il est crédible, ancien, et vous ne le surveillez pas.
Relisez vos publications professionnelles avec l'œil d'un tiers
Vos publications sur les réseaux professionnels contiennent souvent plus qu'il n'y paraît : un organigramme reconstituable, un calendrier de déplacements, le nom d'un partenaire non encore annoncé, une photographie de bureau où un écran est lisible.
Relisez vos douze derniers messages en vous demandant, pour chacun : qu'est-ce que cela apprend à quelqu'un qui voudrait me viser ? Retirez ou modifiez ce qui vous gêne.
Vérifiez également vos réponses automatiques d'absence : beaucoup indiquent la durée de l'absence, le nom du remplaçant et son adresse directe. C'est un scénario complet offert à qui veut se faire passer pour vous.
Les fraudes ciblées sur les dirigeants reposent sur cette matière. Retirer le détail qui rend le scénario crédible suffit souvent à le faire échouer.
Vos communications
Là où circulent les informations qui engagent — et où une erreur se paie immédiatement.
Séparez vos usages professionnels et personnels
Une seule adresse électronique pour tout signifie qu'une compromission touche tout. Une seule application de messagerie signifie qu'un message professionnel sensible côtoie une conversation familiale.
Distinguez au minimum trois usages : professionnel, personnel, et inscriptions — cette dernière adresse servant aux services dont vous vous méfiez ou qui ne méritent pas votre adresse réelle.
Une compromission reste circonscrite. Et l'adresse d'inscription absorbe l'essentiel du démarchage et des fuites, sans conséquence.
Vérifiez l'expéditeur, pas le nom affiché
Le nom affiché dans un courriel se falsifie en une seconde. L'adresse réelle, non. Prenez l'habitude de l'afficher entièrement avant toute action engageante — répondre, cliquer, virer, transmettre un document.
Regardez le domaine, après l'arobase, caractère par caractère. Les usurpations jouent sur des différences d'un signe : une lettre doublée, un tiret ajouté, une extension changée, un chiffre substitué à une lettre.
C'est le geste unique qui arrête la majorité des tentatives de fraude au virement. Il prend trois secondes.
Établissez une règle de rappel pour tout ce qui engage de l'argent
Une règle simple, écrite, connue de votre équipe : toute demande de virement, de changement de coordonnées bancaires ou de transmission de document sensible est confirmée par un appel, sur un numéro déjà connu — jamais celui figurant dans le message.
Cette règle doit valoir aussi lorsque la demande semble venir de vous. C'est précisément votre autorité que la fraude au dirigeant exploite.
Une fraude au virement repose entièrement sur l'urgence et sur l'absence de vérification croisée. Un appel de trente secondes la rend inopérante.
Votre vigilance
Aucun outil ne remplace ces trois réflexes. Ce sont eux qui font la différence quand tout le reste a été contourné.
Traitez l'urgence comme un signal, pas comme une contrainte
Presque toutes les tentatives de manipulation reposent sur la pression temporelle : il faut répondre maintenant, avant la fin de la journée, avant que l'occasion ne passe, sans en parler à personne.
Installez le réflexe inverse : plus une demande est urgente, plus elle mérite une vérification. L'urgence n'est pas une raison d'aller vite — c'est une raison de ralentir.
Une demande légitime supporte toujours un délai de vérification. Une demande frauduleuse, presque jamais. C'est un test qui coûte dix minutes et qui trie.
Remontez à la source avant de croire
Une information reprise dix fois n'est pas confirmée dix fois. Elle l'est une seule, et souvent mal. Avant de fonder une décision sur un élément, posez-vous quatre questions.
D'où vient cette information, et à qui profite sa diffusion ? De quand date-t-elle, et est-elle encore valable ? Combien de sources réellement indépendantes la confirment — en vérifiant qu'elles ne se citent pas les unes les autres ? Peut-on remonter jusqu'à un document, un registre, une source primaire ?
Ces quatre questions constituent le cadre CAMO, que nous publions et appliquons à chacune de nos analyses.
Vous cessez de confondre ce qui est établi avec ce qui circule. C'est la distinction la plus utile qu'un décideur puisse acquérir.
Décidez à l'avance qui vous appelez en cas de problème
Le moment de chercher un interlocuteur n'est pas celui où l'incident survient. Écrivez, sur une page, quatre informations : qui prévenir en interne, qui contacter à la banque et sur quel numéro direct, qui peut intervenir techniquement, et quelles preuves conserver — captures d'écran, en-têtes de messages, horodatages.
Gardez cette page hors de vos systèmes : imprimée, ou sur un support distinct. Un incident touche souvent en premier ce qui contient les instructions.
Les premières heures déterminent l'essentiel des conséquences. Savoir quoi faire, sans réfléchir, y change tout.
À imprimer, ou pas
Douze actions, environ trois heures au total. Rien n'oblige à tout faire le même jour — mais faites les trois premières en premier.
Ce que ce guide ne fait pas
Nous écrivons dans chacun de nos livrables ce qu'il n'établit pas. Ce guide ne fait pas exception.
- Il ne traite pas la sécurité des systèmes d'information d'une organisation — serveurs, réseaux, postes de travail, sauvegardes
- Il ne remplace ni un audit, ni une politique de sécurité, ni une réponse à incident
- Il ne protège pas contre un adversaire disposant de moyens importants et vous ciblant spécifiquement
- Il ne dit rien de la conformité réglementaire de votre organisation
- Il ne couvre pas la sécurité physique, qui reste souvent le maillon le plus faible
Ce qu'il fait : retirer l'essentiel de ce qui rend une personne facile à cibler, avec des moyens dont chacun dispose. Dans la plupart des cas, cela suffit — parce que la plupart des tentatives ne visent pas quelqu'un en particulier : elles visent quelqu'un de facile.
Si vous voulez savoir ce que vous exposez réellement
Ce guide vous permet d'agir seul. Un audit d'hygiène numérique établit ce qui est réellement visible de votre organisation ou de vous-même — trente contrôles, cinq domaines, et un plan d'action hiérarchisé.
Le cadrage dure trente minutes, n'engage à rien, et vous en repartez avec une note écrite qui vous appartient.
Demander un cadrage — 30 min