Fiche de cours

Sécuriser l'environnement numérique : mots de passe, hameçonnage, mises à jour

10 min de lectureAu programme du concours d’agent administratif, du concours de contrôleur et du concours d’inspecteur des Finances publiques

Testez-vous · sans compte

Vrai ou faux ?

Utiliser le même mot de passe sur plusieurs sites est acceptable s'il est long et complexe.

Un agent des finances publiques travaille sur des applications qui contiennent les données de millions de personnes : la sécurité numérique fait partie du métier avant même d'être une rubrique du QCM. Le programme reprend le domaine « protection et sécurité » du cadre de référence des compétences numériques : mots de passe, hameçonnage, mises à jour, sauvegardes, réflexes face à un incident.

À retenir

Un bon mot de passe est long, imprévisible, unique pour chaque service et non partagé. Le repère de douze caractères combine majuscules, minuscules, chiffres et caractères spéciaux ; les exigences varient selon les protections complémentaires.
L'authentification à deux facteurs (code par application, clé physique) ajoute une preuve que le mot de passe seul ne donne pas.
L'hameçonnage (phishing) est un message qui imite un organisme de confiance pour obtenir identifiants ou paiement : vérifier l'expéditeur, ne pas cliquer, aller soi-même sur le site officiel.
Les mises à jour corrigent des failles de sécurité : les installer sans délai sur le système, le navigateur et les applications.
Les logiciels malveillants (virus, rançongiciels, chevaux de Troie) se propagent par pièces jointes, téléchargements et clés USB ; un antivirus à jour et la prudence limitent le risque.
Des sauvegardes régulières, testées et protégées du système attaqué permettent de restaurer les données après une panne ou un rançongiciel. Un support distinct resté connecté peut être touché lui aussi.
En cas d'incident : ne pas payer, conserver les preuves, signaler (cybermalveillance.gouv.fr, plateforme 17Cyber, Pharos pour les contenus illicites) et, dans un service, prévenir immédiatement le responsable informatique.

Protéger ses accès

La robustesse d'un mot de passe tient à sa longueur et à son imprévisibilité : une phrase de passe de plusieurs mots vaut mieux qu'un mot court compliqué. La règle décisive est l'unicité : un mot de passe réutilisé sur plusieurs sites tombe avec le premier site piraté. Les gestionnaires de mots de passe génèrent et stockent des mots de passe uniques derrière un seul mot de passe maître. L'authentification à deux facteurs, par application, SMS ou clé physique, réduit le risque d’accès après vol du mot de passe, sans empêcher toutes les attaques (par exemple le hameçonnage d’un code temporaire).

Une phrase de passe gagne en robustesse si ses mots sont choisis de façon imprévisible. Éviter les exemples publiés et les éléments liés au service ou à la personne ; un gestionnaire peut générer des secrets uniques.

Confusions fréquentes

Aucun service légitime ne demande un mot de passe par courriel ou par téléphone: Ni la DGFiP, ni une banque, ni un fournisseur d'accès. Une demande de ce type est par définition une tentative d'escroquerie, même si le numéro ou l'adresse semblent authentiques.
Verrouiller sa session: Dans un service, quitter son poste sans verrouiller l'écran expose des données couvertes par le secret fiscal : c'est un manquement, pas une distraction.

Reconnaître les menaces

Les attaques les plus courantes

Menace	Comment elle se présente	Réflexe
Hameçonnage (phishing)	Courriel, SMS ou appel imitant un organisme : impôts, banque, livraison, CAF ; lien vers un faux site	Ne pas cliquer, vérifier l'adresse de l'expéditeur, se connecter par le site officiel, signaler
Rançongiciel (ransomware)	Logiciel qui chiffre les fichiers et exige une rançon, souvent après ouverture d'une pièce jointe	Ne pas payer, isoler la machine, restaurer une sauvegarde, porter plainte
Arnaque au faux conseiller	Appel se présentant comme la banque ou l'administration pour faire valider une opération	Raccrocher et rappeler le numéro officiel
Cheval de Troie, logiciel espion	Programme d'apparence utile qui ouvre un accès ou capte les frappes au clavier	N'installer que depuis des sources officielles, antivirus à jour
Faux Wi-Fi public	Réseau ouvert qui intercepte les échanges	Éviter les opérations sensibles hors réseau de confiance ; privilégier les sites en https

Les indices d'un hameçonnage sont récurrents : adresse d'expédition approximative, urgence artificielle (« votre compte sera suspendu »), demande d'identifiants ou de paiement, lien dont l'adresse réelle diffère du texte affiché, fautes et mise en page grossière, pièce jointe inattendue. Le cadenas et le préfixe https garantissent le chiffrement de la connexion, pas l'honnêteté du site.

L'hygiène numérique au quotidien

Mettre à jour le système, le navigateur et les applications dès qu'une mise à jour est proposée ; conserver un antivirus actif ; utiliser un pare-feu, qui filtre les connexions réseau entrantes et sortantes selon des règles ; sauvegarder régulièrement sur un support déconnecté ou un service distinct (règle dite 3-2-1 : trois copies, deux supports, une hors site) ; séparer usages personnels et professionnels ; ne pas brancher une clé USB inconnue ; se déconnecter des services après usage sur un poste partagé.

En cas d'attaque, les interlocuteurs sont connus : cybermalveillance.gouv.fr assiste particuliers et organisations, la plateforme 17Cyber oriente vers la police ou la gendarmerie, Pharos reçoit les signalements de contenus illicites, Signal Spam ceux des courriels indésirables, et l'ANSSI protège les administrations et les opérateurs vitaux. Un agent public signale tout incident à son service informatique sans tenter de le régler seul.

Pour une question de sécurité, identifier la menace puis le rôle précis de chaque protection : antivirus pour les logiciels malveillants, pare-feu pour les connexions, sauvegarde pour la restauration et second facteur pour les accès.

Se tester : vrai ou faux ?

Décidez si l’affirmation est vraie ou fausse, puis ouvrez le corrigé.

1.Utiliser le même mot de passe sur plusieurs sites est acceptable s'il est long et complexe.Voir le corrigé
Faux
La réutilisation expose plusieurs comptes : dès qu'un site est piraté, tous les comptes partageant ce mot de passe sont exposés.
2.Le second facteur d'authentification peut être un code temporaire ou une clé physique.Voir le corrigé
Vrai
Ce facteur ajoute une preuve distincte du mot de passe. Il réduit le risque de piratage ; selon la méthode, un code peut encore être intercepté ou dérobé par hameçonnage.
3.Le cadenas affiché dans le navigateur garantit que le site est honnête.Voir le corrigé
Faux
Il garantit seulement que la connexion est chiffrée ; un site frauduleux peut parfaitement afficher un cadenas.
4.Face à un rançongiciel, payer la rançon est la solution recommandée pour récupérer ses fichiers.Voir le corrigé
Faux
Les autorités recommandent de ne pas payer : le paiement ne garantit rien et finance les attaquants. La sauvegarde est la parade.
5.Les mises à jour de sécurité complètent l'antivirus sans le remplacer.Voir le corrigé
Vrai
Elles corrigent des failles connues, alors que l'antivirus à jour limite le risque lié aux logiciels malveillants : les deux protections s'ajoutent.
6.Les faux messages de remboursement d'impôts relèvent classiquement du rançongiciel.Voir le corrigé
Faux
Ce sont des hameçonnages : le message imite un organisme de confiance pour obtenir identifiants ou paiement.

Textes de référence

Accès DGFiP est un service indépendant : il n’est ni affilié ni validé par la Direction générale des Finances publiques. En cas de doute, le texte officiel fait foi.