Un agent ouvre sa boîte mail professionnelle et tombe sur une notification l’invitant à confirmer ses identifiants GTM Extranet. La page reproduit le logo du groupe La Poste, le champ d’identifiant RH, la charte graphique habituelle. Tout semble normal, sauf l’URL. Depuis que la convergence entre MaBoxRH, GTM Extranet et le Portail malin a multiplié les parcours de connexion, les repères se brouillent, et les tentatives de phishing ciblent précisément cette confusion.
Vérifier le nom de domaine GTM Extranet avant toute saisie
On a tous le réflexe de chercher « GTM Extranet La Poste » dans un moteur de recherche pour accéder à son espace RH. C’est exactement le comportement qu’exploitent les pages frauduleuses : elles apparaissent en résultat sponsorisé ou dans les premiers liens, avec une URL qui ressemble à l’officielle sans l’être.
La première vérification concrète porte sur le nom de domaine complet dans la barre d’adresse. Un site légitime du groupe La Poste utilise un domaine en laposte.fr ou laposte.net. Toute variation (laposte-rh.com, gtm-extranet.org, maboxrh-connexion.fr) signale une copie. On regarde le domaine, pas le logo affiché sur la page.
Le cadenas HTTPS, souvent perçu comme un gage de confiance, ne prouve pas que la page appartient à La Poste. Il indique uniquement que la connexion entre le navigateur et le serveur est chiffrée. Un site frauduleux peut parfaitement disposer d’un certificat HTTPS valide. La seule donnée fiable reste le domaine lui-même.
Pour ceux qui doivent régulièrement se connecter à gtm extranet La Poste, la méthode la plus sûre consiste à enregistrer l’adresse officielle en favori dans le navigateur et à ne jamais passer par un moteur de recherche. Ce geste simple coupe la principale voie d’accès utilisée par les faux sites.
Anatomie d’un mail de phishing visant les agents La Poste
Les campagnes de phishing qui ciblent GTM Extranet ne sont pas des spams génériques. Elles reprennent le vocabulaire interne du groupe : identifiant RH, MaBoxRH, espace personnel, validation de compte. Le message arrive souvent sous la forme d’une alerte de sécurité ou d’une demande de reconfirmation après une supposée mise à jour.
Les éléments qui trahissent un faux message
- L’adresse d’expédition utilise un domaine générique (gmail.com, outlook.com) ou un domaine qui imite laposte.fr avec une lettre modifiée (lapost3.fr, la-poste-rh.net)
- Le lien dans le corps du mail pointe vers une URL différente de celle affichée : en survolant le lien sans cliquer, on voit apparaître la vraie destination dans la barre d’état du navigateur
- Le message crée une urgence artificielle (« votre accès sera désactivé sous 24 heures ») pour pousser à agir sans réfléchir
- Le texte contient des fautes inhabituelles dans un courrier officiel, ou des formulations approximatives qui ne correspondent pas au ton des communications internes
La Poste ne demande jamais de confirmer un mot de passe par mail. Cette règle vaut pour GTM Extranet comme pour tout autre service du groupe. Si un message demande une saisie d’identifiants via un lien, c’est un signal d’alerte.
Mot de passe compromis sur GTM Extranet : les gestes immédiats
On a saisi son identifiant et son mot de passe sur une page douteuse. Rien ne semble s’être passé, pas de message d’erreur, pas de comportement anormal. La tentation est de ne rien faire. C’est une erreur.
Un mot de passe saisi sur un faux site doit être considéré comme compromis, même en l’absence de conséquence visible. La première action consiste à se rendre sur le vrai portail GTM Extranet (via le favori enregistré, pas via un moteur de recherche) et à modifier immédiatement le mot de passe.
Signaler et modifier ne sont pas la même démarche
Signaler le mail frauduleux au service informatique interne est une chose. Sécuriser son compte en est une autre. Les deux doivent être menées en parallèle. On contacte le support RH ou informatique par un canal connu (numéro interne, messagerie professionnelle) pour demander la procédure de réinitialisation propre au compte RH.
Si le mot de passe compromis est réutilisé sur d’autres services (messagerie personnelle, banque en ligne, autres plateformes professionnelles), on le change aussi sur ces comptes. La réutilisation de mots de passe reste le facteur qui transforme un incident isolé en compromission large.
Sécuriser durablement son accès aux services RH La Poste
Au-delà de la réaction à une tentative de phishing, quelques pratiques réduisent le risque de manière durable.
L’authentification multifacteur, lorsqu’elle est proposée par l’employeur, ajoute une couche de vérification qui rend un mot de passe volé inutilisable seul. Si GTM Extranet ou MaBoxRH proposent cette option, l’activer protège le compte même en cas de fuite du mot de passe.
Choisir un mot de passe long et unique pour chaque service professionnel reste la mesure de base. Un gestionnaire de mots de passe (intégré au navigateur ou sous forme d’application dédiée) évite d’avoir à mémoriser des dizaines de combinaisons différentes.
En cas de perte d’accès au portail, on évite de chercher « récupérer mot de passe GTM Extranet » dans un moteur de recherche. Ce type de requête génère exactement les faux sites conçus pour intercepter des identifiants. On passe par le support interne, par téléphone ou par la messagerie professionnelle.
La confusion entre les différents portails RH du groupe La Poste (GTM Extranet, MaBoxRH, Portail malin) complique la tâche des agents, et la situation varie selon les directions et les mises à jour en cours. Enregistrer en favori chaque URL officielle communiquée par le service informatique reste la parade la plus fiable contre les faux sites de connexion.
