Phishing au Maroc : les 8 arnaques par mail qui ciblent les PME en 2026

La plupart des incidents de sécurité que nous traitons commencent par un mail. Pas par une faille technique sophistiquée : par un message crédible, reçu un mardi à 11 h, qui pousse quelqu’un à cliquer, à saisir un mot de passe ou à payer. Les fraudeurs connaissent les habitudes des PME marocaines : virements fournisseurs, colis en attente de dédouanement, échanges en français avec les partenaires. Voici les huit scénarios que nous rencontrons le plus souvent, comment les reconnaître, et ce qui les arrête.

1. Le changement de RIB fournisseur

Un mail, parfois depuis la vraie boîte compromise d’un fournisseur, annonce un nouveau compte bancaire pour les prochains règlements. Le ton est normal, la signature exacte, et le message arrive souvent au milieu d’un échange réel sur une facture. Le virement part vers le compte des fraudeurs. Réflexe : tout changement de coordonnées bancaires se confirme par téléphone, au numéro déjà connu, jamais à celui indiqué dans le mail.

2. La fraude au président

« Je suis en réunion confidentielle, fais un virement urgent, je t’explique après. » Le message imite le dirigeant, souvent avec son nom d’affichage exact, parfois depuis une adresse personnelle « parce que je suis en déplacement ». Il vise la comptabilité à un moment où le dirigeant est réellement absent. Réflexe : aucun virement ne se déclenche sur un simple mail, quelle que soit l’urgence, et le dirigeant lui-même applique la règle.

3. Le faux Microsoft 365

« Votre mot de passe expire aujourd’hui », « Vous avez des messages en quarantaine », « Un document vous a été partagé ». Le lien mène à une copie parfaite de la page de connexion Microsoft, qui récupère identifiant et mot de passe, et parfois le code MFA en temps réel. Le compte volé sert ensuite à envoyer d’autres mails piégés aux clients et fournisseurs. Réflexe : ne jamais se connecter depuis un lien reçu, toujours depuis l’application ou un favori. Et déployer une MFA résistante au phishing (clé de sécurité, Windows Hello, passkey), comme nous l’expliquons dans notre guide MFA.

4. Le colis en attente

Faux DHL, Amana ou Aramex : « frais de douane à régler pour libérer votre colis ». Le message arrive par mail ou par SMS, et la page demande une carte bancaire pour quelques dirhams. Le montant est faible, mais la carte est ensuite utilisée ailleurs. Réflexe : les transporteurs ne demandent jamais de paiement par lien SMS ou mail ; en cas de doute, suivre le colis depuis le site officiel du transporteur.

5. La facture en pièce jointe

Un PDF ou un fichier Office « Facture N°… » qui demande d’activer les macros, ou un lien vers un fichier compressé « trop volumineux pour être joint ». C’est le vecteur classique des ransomwares, dont nous détaillons les défenses dans ransomware : 7 mesures pour une PME. Réflexe : macros bloquées par stratégie pour les fichiers venant d’internet, EDR sur chaque poste, et aucune facture ouverte sans rapport avec une commande connue.

6. Le faux service RH ou paie

« Mettez à jour vos informations bancaires pour le virement de salaire », « Consultez votre bulletin de paie ». Le lien pointe vers un formulaire qui capture les données personnelles ou le mot de passe. Réflexe : les RH n’envoient jamais de formulaire externe, et le service informatique vérifie l’expéditeur. Les données personnelles des salariés sont aussi protégées par la loi 09-08, détaillée dans notre article sur les obligations CNDP.

7. L’appel d’offres ou le bon de commande trop beau

Un prétendu grand compte ou une administration envoie un bon de commande, demande un devis, puis un fichier « cahier des charges » piégé ou un lien de téléchargement qui exige de se connecter. Réflexe : vérifier l’existence du contact sur le site officiel de l’organisme, jamais via les coordonnées du mail, et se méfier de toute demande de connexion pour lire un document.

8. Le faux support informatique

Un appel ou un mail « de votre prestataire » ou « de Microsoft » demande une connexion à distance ou un mot de passe. Réflexe : votre infogérant a déjà ses propres accès et ne vous demandera jamais votre mot de passe. En cas de doute, raccrochez et rappelez le numéro qui figure au contrat.

Les signaux qui doivent alerter

Signal	Exemple	Réflexe
Urgence ou secret	« Avant 16 h », « n’en parle à personne »	Ralentir et vérifier par un autre canal
Changement de coordonnées	Nouveau RIB, nouveau numéro de téléphone	Rappeler au numéro déjà connu
Adresse proche mais différente	Une lettre changée, un domaine en .co au lieu de .ma	Afficher l’adresse complète de l’expéditeur
Lien vers une page de connexion	« Reconnectez-vous pour lire le document »	Passer par l’application ou un favori
Pièce jointe inhabituelle	Fichier compressé, macro à activer	Ne pas ouvrir, transférer au support
Demande de paiement par lien	Frais de douane, abonnement expiré	Vérifier sur le site officiel

Ce qui protège vraiment

Aucune mesure ne suffit seule. Ce sont trois leviers combinés qui arrêtent ces arnaques.

• La technique : filtrage des mails avec analyse des liens et des pièces jointes (Microsoft Defender pour Office 365 est inclus dans Business Premium), filtrage web et DNS sur le pare-feu FortiGate pour bloquer les sites malveillants connus, MFA partout, EDR sur les postes. Côté domaine, SPF, DKIM et DMARC, montés progressivement jusqu’au mode rejet, empêchent l’usurpation de votre adresse.
• Les procédures : double validation des virements, confirmation téléphonique des changements de RIB, règle écrite et connue de tous, y compris de la direction.
• La formation : une courte sensibilisation régulière et des simulations de phishing trimestrielles, avec un rappel bienveillant pour ceux qui cliquent. L’objectif n’est pas de sanctionner, mais que chacun signale le doute au lieu de le cacher.

Si quelqu’un a cliqué

La rapidité compte plus que tout. Le collaborateur doit pouvoir le dire sans crainte. Ensuite :

1. Prévenir immédiatement le service informatique ou le prestataire.
2. Changer le mot de passe depuis un poste sain et révoquer toutes les sessions ouvertes.
3. Vérifier la boîte mail : règles de transfert ou de suppression ajoutées par l’attaquant, messages envoyés en son nom.
4. Isoler le poste du réseau si une pièce jointe a été ouverte, et lancer une analyse par l’EDR.
5. Appeler la banque sans attendre si un virement est parti, pour tenter de le bloquer, puis déposer plainte.
6. Prévenir les contacts si le compte a servi à envoyer des mails piégés.

Au Maroc, les incidents peuvent aussi être signalés à maCERT, le centre de veille de la DGSSI.

Les erreurs les plus fréquentes

• Compter uniquement sur le filtre anti-spam, sans procédure de validation des virements.
• Laisser DMARC en mode observation pendant des années, sans jamais passer au rejet.
• Activer le MFA pour les salariés, mais pas pour la direction ni la comptabilité.
• Sanctionner ceux qui cliquent, ce qui pousse les suivants à se taire.
• Former une seule fois à l’arrivée, puis ne plus jamais en parler.

Comment nous le mettons en œuvre

Nous commençons par l’audit initial, offert : configuration de la messagerie et du domaine, filtrage, MFA, droits des comptes, procédures de paiement. Nous corrigeons ensuite la configuration technique, notamment sur Microsoft 365, rédigeons avec vous une règle de validation des virements d’une page, et organisons des simulations de phishing régulières avec un bilan pour la direction. La supervision 24/7 surveille les connexions suspectes et les règles de boîte mail anormales, et un incident critique est pris en charge en moins de 15 minutes. Des exemples de projets sont présentés sur notre page réalisations.

Checklist à vérifier cette semaine

• Une règle écrite interdit-elle tout virement sur simple demande par mail ?
• Les changements de RIB sont-ils confirmés par téléphone au numéro connu ?
• Le MFA est-il actif sur tous les comptes, direction et comptabilité comprises ?
• SPF, DKIM et DMARC sont-ils configurés sur votre domaine, et DMARC est-il en mode rejet ?
• Les macros des fichiers venant d’internet sont-elles bloquées ?
• Chaque collaborateur sait-il à qui signaler un mail suspect ?
• À quand remonte la dernière simulation de phishing ?

Passer à l’action

Nous incluons ces trois volets, technique, procédures et formation, dans notre offre cybersécurité entreprise. Pour savoir comment votre entreprise résisterait à ces huit scénarios, contactez-nous : nous répondons sous 24 h ouvrées.