Il y a quelques mois, une amie m'appelle, paniquée. Elle vient de recevoir un mail de sa "banque" : un logo impeccable, une mise en page propre, un ton poli. On lui demande de confirmer un virement inhabituel. Elle a failli cliquer. Ce qui l'a arrêtée ? Pas le logo, pas le texte. Juste cette petite voix qui dit "attends, l'adresse ne ressemble pas à d'habitude".
C'est exactement là que se joue tout. Reconnaître un email de phishing facilement ne demande pas de compétences techniques. Ça demande de savoir où regarder, et dans quel ordre. La plupart des gens regardent l'endroit le plus trompeur : le nom affiché dans la boîte de réception. Le vrai signal est ailleurs, et il prend trois secondes à vérifier.
Je ne suis pas expert en cybersécurité. Je suis quelqu'un qui a reçu, comme tout le monde, des dizaines de ces messages, qui en a signalé une bonne partie, et qui a fini par comprendre ce qui distingue un vrai d'un faux. Voici ce que j'en retire.
Points clés à retenir
- Le nom de l'expéditeur ne veut rien dire : c'est le domaine réel de l'adresse qui compte.
- L'urgence est l'arme numéro un. Un message qui vous presse de cliquer est suspect par défaut.
- Ne cliquez jamais sur un lien : tapez l'adresse du service vous-même dans le navigateur.
- Survolez un lien pour voir sa vraie destination, pas le texte affiché.
- Un vrai organisme ne vous demande jamais vos identifiants ni votre code par mail.
- En cas de doute, signalez et supprimez. Le coût d'un faux positif est nul.
Pourquoi vous vous faites piéger (et pourquoi ce n'est pas de votre faute)
Le phishing ne fonctionne pas parce que vous êtes naïf. Il fonctionne parce qu'il exploite des réflexes humains parfaitement normaux. On fait confiance à un logo connu. On obéit à une autorité qui nous demande quelque chose. On panique quand on nous dit que notre compte va être bloqué.
Ces leviers sont utilisés volontairement, et ils marchent. Le message n'a pas besoin d'être parfait. Il a juste besoin de vous faire cliquer une fois.
Le vrai mécanisme : l'appât et le clic
Un mail de phishing a presque toujours la même architecture : une accroche crédible, une raison de faire vite, et un lien qui mène vers un faux site imitant l'original. Une fois sur ce faux site, vous tapez vos identifiants. Et ça s'arrête là. Vos données sont déjà parties.
Le reste, la mise en page, la signature, les mentions légales en bas de page, c'est du décor. C'est fait pour vous rassurer, pas pour vous informer.
Phishing de masse ou ciblé : deux niveaux de danger
Le phishing de masse est envoyé à des milliers de personnes en même temps. Il est souvent truffé de fautes, maladroit, envoyé à une heure absurde. Facile à repérer.
Le spear phishing (phishing ciblé) est autre chose. Le message utilise votre vrai nom, parfois celui de votre supérieur ou d'une entreprise avec laquelle vous travaillez vraiment. J'ai vu un cas où un message reprenait le nom du patron d'une petite structure et demandait un virement urgent à la comptable. Aucune faute, ton parfait, contexte plausible. C'est là que même les gens méfiants se font avoir.
La différence tient à la personnalisation. Un message qui connaît des détails réels sur vous mérite une vigilance bien plus élevée qu'un message générique.
Les signaux qui ne trompent presque jamais
Bon, alors concrètement, quoi regarder ? Voici l'ordre dans lequel je procède quand un mail me semble bizarre. Ça me prend quelques secondes, et ça élimine l'immense majorité des faux.
La méthode des trois secondes : vérifier l'adresse réelle
Le test le plus rapide et le plus fiable. Peu importe le nom affiché. Peu importe le logo. Regardez l'adresse email complète, après le arobase.
Une banque française enverra toujours depuis un domaine qui lui appartient. Un service de livraison aussi. Si l'expéditeur affiche "Chronopost" mais que l'adresse réelle est quelque chose comme service-client@livraison-info-secure.xyz, vous avez votre réponse.
Le piège classique : le nom affiché dit "URSSAF" ou "Impots.gouv", mais l'adresse derrière pointe vers un domaine qui n'a rien à voir. Toujours vérifier ce qui suit le arobase. Toujours.
Le lien caché derrière le texte
Un lien peut afficher "www.mabanque.fr" et pointer en réalité ailleurs. Sur ordinateur, il suffit de survoler le lien sans cliquer : l'adresse réelle apparaît en bas du navigateur. Sur mobile, appuyez longuement sur le lien pour voir la destination réelle.
Regardez le domaine principal, celui juste avant le premier slash. www.mabanque.fr.secure-login.com n'est pas le site de la banque. C'est un sous-domaine de secure-login.com. L'arnaque se cache dans cette lecture rapide qu'on ne fait jamais.
L'urgence et l'émotion : le levier principal
Compte suspendu. Facture impayée. Colis bloqué en douane. Virement frauduleux détecté. Vous connaissez la musique.
Ces messages ont un point commun : ils vous poussent à agir vite, sous stress. C'est volontaire. Un vrai organisme ne vous met jamais dans cette position par mail. Il vous laisse le temps de vérifier.
La règle est simple : plus le message est pressant, plus il faut ralentir.
Les autres indices qui doivent allumer une lumière
- Une demande d'informations personnelles par mail (identifiants, code de carte, mots de passe).
- Une pièce jointe inattendue, surtout un fichier compressé ou un document bizarre.
- Des fautes d'orthographe ou de grammaire, même minimes, dans un message censé venir d'une institution.
- Une formule d'appel générique ("Cher client") alors que l'organisme connaît votre nom.
- Une adresse d'expédition qui ne correspond pas au service évoqué.
- Un ton différent de d'habitude si c'est une entreprise avec qui vous échangez régulièrement.
Vrai message contre faux message : le comparatif
Rien ne remplace un exemple concret. Voici comment se distinguent, en pratique, un message légitime et un message de phishing.
| Critère | Message légitime | Message de phishing |
|---|---|---|
| Adresse d'expédition | Domaine officiel de l'organisme | Domaine inconnu ou proche sans l'être |
| Ton | Neutre, informatif | Urgent, alarmiste, menaçant |
| Lien | Mène au site officiel | Mène à un site imitation |
| Demande | Vous informe, vous redirige vers le site | Vous demande de cliquer et de saisir des données |
| Pièce jointe | Rare, attendue | Fréquente, surprenante |
| Formule d'appel | Votre nom réel | Générique ou légèrement déformé |
Ce tableau ne couvre pas tous les cas, mais il élimine la majorité des leurres grossiers. Pour les attaques ciblées, la vigilance doit monter d'un cran.
Comment vérifier une adresse mail frauduleuse
Vous avez un doute sur une adresse précise. Que faire ? On peut aller plus loin que le simple coup d'œil.
Lire les en-têtes du message
Tout mail contient des informations techniques, les en-têtes, où figurent l'expéditeur réel et le chemin parcouru. Sur la plupart des messageries, une option "afficher l'original" ou "voir les détails" permet d'y accéder. On y trouve l'adresse d'envoi véritable, souvent différente du nom affiché.
C'est un peu technique, mais lisible même sans être informaticien. Cherchez la ligne "De" ou "Return-Path" : l'adresse qui y figure est celle qui compte.
Signaler plutôt que chercher à vérifier seul
Il existe un réflexe plus efficace que toutes les vérifications manuelles : transmettre le message suspect à l'organisme concerné, ou à votre fournisseur de messagerie. La plupart des grandes messageries proposent un bouton "signaler comme phishing".
Ça ne résout pas votre cas immédiat, mais ça aide à bloquer l'expéditeur pour tout le monde. Et ça vous évite de perdre du temps à décortiquer chaque message douteux.
Trois exemples de phishing que tout le monde reçoit
Ces leurres reviennent sans arrêt. Une fois qu'on les a vus une fois, on les reconnaît toute sa vie.
Le faux mail ANTAI (amendes)
Vous recevez une notification d'amende pour excès de vitesse, avec un lien pour "contester" ou payer en ligne. Le logo est correct, le vocabulaire administratif aussi. Mais l'adresse d'expédition ne correspond pas à un domaine officiel, et le lien mène vers un site qui vous demande vos coordonnées bancaires.
Le vrai procédé pour une amende passe par voie postale ou par un site officiel que vous tapez vous-même. Un mail vous demandant de payer une amende via un lien est un signal immédiat.
Le phishing bancaire
Le scénario le plus courant : "une connexion suspecte a été détectée sur votre compte". On vous propose de "sécuriser" votre espace en cliquant. La page imite parfaitement celle de la banque. Vous saisissez vos identifiants. Ils sont volés.
Aucune banque ne demande cela par mail avec un lien direct vers une page de connexion. Si vous avez un doute, fermez le mail, ouvrez votre navigateur, tapez l'adresse de votre banque vous-même.
Le faux avis de livraison
"Votre colis est en attente, des frais de douane de 2,99 € sont requis." Le montant est volontairement ridicule, pour vous faire baisser la garde. Vous cliquez, vous payez, et vous venez de donner vos coordonnées bancaires à un inconnu.
Un transporteur légitime ne vous réclame pas des frais par mail via un lien. Il vous laisse une notification ou vous invite à suivre votre colis sur son site officiel.
Que faire en cas de phishing : la marche à suivre
Vous avez reçu un mail suspect. Vous avez peut-être cliqué. Voici l'ordre des choses, du plus urgent au moins urgent.
Si vous n'avez pas cliqué
- Ne répondez pas au message, même pour protester.
- Signalez-le comme phishing depuis votre messagerie.
- Supprimez-le.
- Si le doute persiste, contactez l'organisme par un canal que vous avez choisi vous-même (numéro connu, site officiel tapé à la main).
Si vous avez cliqué et saisi des données
- Changez immédiatement le mot de passe du compte concerné, et partout où vous utilisez le même.
- Activez la double authentification si ce n'est pas déjà fait.
- Contactez votre banque si des informations bancaires ont été transmises.
- Surveillez vos comptes dans les jours suivants.
Agir vite change tout. La fenêtre pendant laquelle les données volées sont exploitables est courte, et chaque heure compte.
Réduire les risques sur le long terme
Aucune méthode ne protège à 100 %. Mais quelques habitudes font chuter drastiquement les chances de tomber dans le piège.
La double authentification, la vraie protection
Même si vos identifiants sont volés, la double authentification bloque l'accès. C'est la mesure la plus efficace, et de loin. L'activer partout où c'est possible est le meilleur investissement de temps en matière de sécurité personnelle.
Ne pas réutiliser le même mot de passe
Un mot de passe unique par service. Si l'un fuite, les autres restent protégés. Un gestionnaire de mots de passe fait ça très bien, et vous n'avez plus à retenir qu'une seule chose.
Une prudence de base qui vaut de l'or
- Ne cliquez jamais sur un lien dans un mail que vous n'attendiez pas.
- Tapez vous-même l'adresse du site que vous voulez consulter.
- Méfiez-vous de toute demande urgente, surtout si elle vient d'un inconnu.
- En cas de doute, vérifiez par un autre canal avant d'agir.
Le phishing ne disparaîtra pas. Il évolue, se perfectionne, imite de mieux en mieux. Mais ses leviers restent les mêmes : la confiance, l'urgence, et le clic réflexe.
La prochaine fois qu'un mail vous presse d'agir, arrêtez-vous une seconde. Regardez l'adresse réelle. Cette petite pause, c'est souvent tout ce qui sépare un clic anodin d'une vraie galère. Et si vous hésitez encore, la bonne réponse est presque toujours la même : ne cliquez pas, et vérifiez ailleurs.
