Pièces jointes suspectes : les vérifications à faire avant de les ouvrir

Une facture attendue, un dossier partagé par un collègue, un avis de livraison : une pièce jointe dangereuse peut ressembler à un document ordinaire. Son nom, son icône et même l’identité apparente de l’expéditeur ne suffisent pas à établir sa fiabilité. Avant de l’ouvrir, quelques vérifications permettent de repérer les incohérences et d’éviter un réflexe risqué : faire confiance au fichier parce que la messagerie l’a laissé passer.

Vérifier si le message était attendu

La première vérification concerne le contexte. Attendiez-vous ce document ? Le contenu correspond-il à vos échanges habituels avec cette personne ? Une facture sans commande, un dossier de recrutement reçu au mauvais service ou une demande urgente inhabituelle doivent éveiller votre attention.

Examinez l’adresse complète de l’expéditeur, au-delà du nom affiché. Une lettre modifiée dans le domaine ou une adresse sans rapport avec l’organisme annoncé constituent des signaux d’alerte. Toutefois, une adresse correcte ne garantit rien : un compte légitime peut avoir été compromis.

Soyez également attentif aux demandes qui poussent à agir sans réfléchir :

• ouvrir immédiatement un document pour éviter une pénalité ;
• installer un logiciel pour consulter une facture ;
• désactiver une protection présentée comme un obstacle ;
• saisir un mot de passe après avoir suivi les instructions du fichier.

Un message soigné, sans faute et intégré à une conversation existante peut aussi être malveillant. En cas de doute, confirmez l’envoi par un autre canal, avec un numéro ou des coordonnées déjà connus. Répondre au courriel suspect ne permet pas de vérifier l’identité de son auteur.

Regarder le nom complet et le type de fichier

L’icône d’un document peut être trompeuse. Affichez les extensions dans votre explorateur de fichiers pour voir le nom complet.

Par exemple, facture.pdf.exe n’est pas un PDF : son extension finale indique un programme exécutable. Une double extension n’est pas toujours malveillante, mais ce type de déguisement mérite un arrêt immédiat.

Certaines extensions demandent une vigilance particulière :

Un format courant n’est pas une garantie de sécurité. Un PDF peut notamment contenir un lien vers une fausse page de connexion. Le risque ne se limite donc pas au virus par e-mail : une pièce jointe peut aussi servir à voler des identifiants.

Redoubler de prudence avec les archives et les macros

Une archive masque plusieurs fichiers derrière une seule pièce jointe

Un fichier ZIP, RAR ou 7z est un conteneur. Son nom ne dit pas quels fichiers il renferme. Une archive présentée comme un ensemble de justificatifs peut contenir un programme, un script ou d’autres archives imbriquées.

Les archives chiffrées posent une difficulté supplémentaire : sans le mot de passe, les outils de protection ne peuvent pas inspecter leur contenu. Selon la solution utilisée, elles peuvent être bloquées, mises en quarantaine ou transmises sans analyse complète.

Un mot de passe fourni dans le même courriel ne prouve pas que l’envoi est sûr. Si l’archive est inattendue, ne l’extrayez pas pour découvrir son contenu. Faites d’abord confirmer l’envoi. Pour un échange légitime, respectez la procédure de transfert et de contrôle prévue par votre organisation.

Une demande d’activation des macros doit interrompre la consultation

Les macros automatisent des tâches dans certains documents bureautiques. Elles peuvent avoir un usage professionnel légitime, mais aussi exécuter des instructions malveillantes.

Un document qui demande d’« activer le contenu » pour afficher une facture ou déchiffrer un texte constitue un signal d’alerte. Fermez-le sans autoriser cette action. Ne modifiez pas les paramètres de sécurité et ne débloquez pas le fichier sur la seule demande de son auteur.

Les extensions .docm et .xlsm signalent des formats compatibles avec les macros ; certains anciens formats, comme .doc et .xls, peuvent également en contenir. Si une macro est nécessaire au travail, son usage doit être validé selon les règles de l’organisation.

Utiliser l’analyse antivirus sans lui accorder une confiance absolue

Pour un fichier attendu dont la provenance a été confirmée, une analyse antivirus constitue une précaution supplémentaire avant l’ouverture. Vérifiez que la protection est active et à jour. Si vous enregistrez le fichier pour l’analyser, faites-le sans l’ouvrir ni autoriser son lancement automatique.

Lisez le résultat avec attention : « aucune menace détectée », « analyse impossible » et « fichier ignoré » ne signifient pas la même chose. Un fichier chiffré ou un format non pris en charge peut échapper à l’inspection.

Même une analyse terminée sans alerte ne certifie pas l’innocuité du document. Une menace nouvelle peut ne pas être reconnue, et un contenu frauduleux peut chercher à vous tromper sans contenir de programme malveillant. Comme le rappellent les conseils de Cybermalveillance.gouv.fr sur les antivirus, aucune solution n’apporte une protection efficace à 100 %.

N’envoyez pas de document confidentiel à un service public d’analyse en ligne sans autorisation : les fichiers soumis peuvent être conservés ou partagés. En entreprise, utilisez les outils approuvés.

Que faire si le doute persiste ou si le fichier a déjà été ouvert ?

Une pièce jointe suspecte n’a pas besoin d’être ouverte pour être signalée. Utilisez la fonction de signalement de votre messagerie ou la procédure interne. Les administrateurs pourront examiner le message et décider du traitement adapté. Ne contournez pas une mise en quarantaine pour récupérer le document.

Si vous avez déjà ouvert le fichier, cessez toute interaction : n’activez pas les macros, n’installez rien et ne saisissez aucun identifiant. Prévenez rapidement le service informatique en précisant ce que vous avez fait.

Si vous avez exécuté un programme, activé des macros ou constaté des signes d’infection, déconnectez l’appareil du réseau, y compris du Wi-Fi, et demandez une assistance. Conservez le courriel pour permettre l’analyse. Un écran qui semble fonctionner normalement ne suffit pas à écarter une compromission.