Vous attendez le brief d’un client. Un message vous annonce qu’un document est disponible, puis une page vous demande d’autoriser une application à lire votre messagerie. Avant d’accepter, posez une question : pourquoi faudrait-il ouvrir votre boîte mail à une application pour consulter ce fichier ?
Le FBI a alerté le 1er septembre 2026 sur des campagnes observées depuis fin 2025 : de fausses invitations de partage utilisent une véritable page d’autorisation. Cette alerte concerne des cibles connues, pas une mesure du risque chez les freelances.
Le piège arrive au milieu d’une tâche crédible
Prenons un scénario fictif : vous préparez une brochure, et votre interlocuteur doit envoyer les photos. Le message « voici les visuels » correspond exactement à ce que vous attendez. Vous êtes donc tenté de terminer la connexion sans lire les permissions.
Pour votre travail, le signal utile est le décalage entre la tâche et les droits demandés. Consulter une photo et autoriser une application à lire ou envoyer vos e-mails sont deux décisions différentes. Même si vous reconnaissez le fournisseur de connexion, vérifiez le nom de l’application et ce qu’elle demande.
Si la demande surprend, fermez la page. Contactez le client par un moyen que vous connaissiez avant ce message, par exemple son numéro enregistré. Demandez-lui quel fichier il souhaitait transmettre et par quel service. Répondre dans la conversation suspecte ne fournit pas cette vérification indépendante.
Un bon mot de passe ne règle pas toutes les autorisations
Gardez un mot de passe unique pour votre messagerie et activez l’authentification multifacteur. L’autorité australienne de cybersécurité rappelle que la réutilisation de mots de passe et le hameçonnage peuvent conduire à une compromission, et recommande le MFA.
Lorsque votre fournisseur le propose, examinez aussi les passkeys. Google les présente comme plus résistantes au hameçonnage que les mots de passe. Cela protège la connexion ; cela ne justifie pas d’accepter une demande d’accès que vous ne comprenez pas.
Concrètement, séparez vos vérifications : « Suis-je sur le service attendu ? », puis « Est-ce bien l’application à laquelle je veux donner ces droits ? ». Ne transformez pas l’habitude de valider une connexion en accord automatique sur les permissions.
Donner aux clients un parcours qu’ils peuvent reconnaître
Au début d’une mission, indiquez où vous déposerez les fichiers et comment vous annoncerez une nouvelle version. Votre client sait alors à quoi s’attendre. S’il reçoit soudain une demande de connexion inhabituelle, il dispose d’un point de comparaison.
Un dossier DocBunker peut servir de lieu convenu pour les pièces et les retours : le client utilise le lien du dossier sans créer de compte. Vous pouvez conserver l’e-mail pour les messages courts. Notre page sur le portail client pour agences illustre cette organisation.
Ce repère ne garantit pas l’authenticité d’un message. Un lien actif peut être utilisé par toute personne qui le possède. Si votre messagerie est compromise, les liens qui s’y trouvent peuvent aussi être exposés. DocBunker ne protège pas votre compte mail contre le piratage et ne récupère pas les copies déjà téléchargées.
Vous avez accepté : vérifiez aussi les applications connectées
Dans ce cas, le FBI précise qu’il faut révoquer l’accès de l’application : changer le mot de passe ne suffit pas.
Suivez la procédure officielle de votre fournisseur. Pour Gmail, Google recommande de contrôler l’activité, les appareils, les applications autorisées et les règles de transfert. Si votre organisation gère le compte, prévenez la personne chargée de sa sécurité. Conservez les éléments du message pour lui permettre d’examiner l’incident.
Pour votre prochaine mission, convenez d’un canal de partage et d’une consigne simple : une demande inhabituelle d’accès à la messagerie mérite une vérification avant de cliquer sur « Autoriser ». Pour organiser les retours sans multiplier les invitations, consultez aussi notre article sur les commentaires dans un dossier et les retours par e-mail.
