Comment repérer un e-mail de phishing : 12 signaux d'alerte (avec des exemples réalistes)

Le phishing, c'est quoi au juste ? (en une minute)

Le phishing, c'est un message qui se fait passer pour quelqu'un en qui vous avez confiance (votre banque, un transporteur, Netflix, votre patron, voire un ami) pour vous pousser à donner quelque chose de précieux. Le plus souvent, c'est un mot de passe, un code à usage unique, vos coordonnées bancaires, ou simplement un clic sur un lien qui installe quelque chose de malveillant.

Ça marche parce que ça ne coûte presque rien. Un escroc peut envoyer un million d'e-mails pour trois fois rien, et s'il suffit de quelques personnes pour mordre à l'hameçon, c'est rentable. Ces messages sont donc conçus pour la vitesse : ils veulent que vous réagissiez avant de réfléchir. Prendre dix secondes pour ralentir est honnêtement la meilleure défense que vous ayez, et les signaux ci-dessous vous disent quoi regarder pendant ces dix secondes.

Les 12 signaux d'alerte

1. L'adresse de l'expéditeur ne correspond pas à l'entreprise

Le nom affiché peut être n'importe quoi. « PayPal Support », ce n'est que du texte. Ce qui compte, c'est l'adresse réelle qui se cache derrière. Touchez le nom ou survolez-le avec la souris pour la voir.

• Ça a l'air correct : [email protected]
• Signal d'alerte : [email protected]
• Signal d'alerte : [email protected]

Les grandes entreprises envoient leurs e-mails depuis leur propre domaine. Elles ne vous écrivent pas depuis une adresse Gmail ou Outlook gratuite, et elles n'ajoutent pas des mots comme « secure », « verify » ou « account » à leur nom.

2. Un nom de domaine qui ressemble presque au vrai

Les escrocs enregistrent des domaines qui semblent corrects au premier coup d'œil : arnazon.com (r + n ressemble à un m), paypa1.com (le chiffre 1 à la place de la lettre l) ou micros0ft.com (un zéro à la place d'un o). Sur le petit écran d'un téléphone, c'est très difficile à repérer, et c'est précisément pour ça qu'ils les utilisent. Lisez le domaine lentement, lettre par lettre.

3. L'urgence et les menaces

« Votre compte sera fermé dans 24 heures. » « Dernier avis. » « Des poursuites judiciaires seront engagées. » Les vraies entreprises vous imposent rarement un compte à rebours par e-mail. L'urgence est là pour vous empêcher de réfléchir. Dès qu'un e-mail vous presse ou vous fait peur, considérez ce sentiment lui-même comme un signal d'alerte.

4. Le lien mène ailleurs

Le bouton dit peut-être « Connectez-vous à votre compte », mais où mène-t-il vraiment ? Sur un ordinateur, survolez le lien avec la souris et regardez l'adresse qui s'affiche en bas du navigateur. Sur un téléphone, appuyez longuement sur le lien pour en voir l'aperçu sans l'ouvrir.

• L'e-mail prétend venir de votre banque, mais le lien mène à secure-login-bank.xyz
• Le lien commence par le bon nom, mais le vrai domaine arrive plus loin : https://netflix.com.account-update.info/login (le vrai site ici, c'est account-update.info, pas Netflix)

5. Une formule de politesse impersonnelle

« Cher client », « Cher utilisateur » ou « Bonjour, cher membre ». Une entreprise chez qui vous avez un compte connaît normalement votre nom. Une formule générique ne prouve pas qu'un e-mail est faux, mais combinée à n'importe quel autre signal de cette liste, c'est un indice sérieux.

6. On vous demande votre mot de passe, un code ou vos coordonnées bancaires

Celui-ci est simple : aucune vraie banque, aucune boutique, aucun fournisseur de messagerie ne vous demandera jamais de lui renvoyer votre mot de passe, votre numéro de carte complet ou le code à usage unique qu'il vient de vous envoyer par SMS. Ce code existe justement pour que vous seul puissiez l'utiliser. Si quelqu'un vous le demande, par e-mail, par chat ou par téléphone, c'est une arnaque. À chaque fois.

7. Une pièce jointe que vous n'attendiez pas

« Facture_0423.zip », « Details_paiement.html », « Document_scanne.pdf.exe ». Les pièces jointes inattendues, surtout les fichiers ZIP, les fichiers HTML ou tout ce qui vous demande d'« activer la modification » ou d'« activer les macros », sont un grand classique pour installer des logiciels malveillants. Si vous n'attendiez pas de facture, n'ouvrez pas la facture.

8. Une offre trop belle pour être vraie

« Vous avez gagné un iPhone 16. » « Réclamez votre carte cadeau de 500 €. » « Votre remboursement d'impôts de 1 240 € vous attend. » Vous n'avez participé à aucun concours, donc vous n'avez rien gagné. Ces e-mails mènent généralement à un formulaire qui vous demande votre numéro de carte « pour couvrir les frais de port ».

9. Grammaire et mise en page bizarres (mais ne comptez pas là-dessus)

Les tournures étranges, les majuscules au hasard et les logos flous étaient autrefois l'indice le plus facile. Aujourd'hui, beaucoup d'e-mails de phishing sont rédigés avec des outils d'IA et paraissent parfaitement soignés. Considérez donc les fautes comme un indice bonus, jamais comme le test principal. Un e-mail bien écrit peut tout à fait être un faux.

10. Une adresse de réponse différente de celle de l'expéditeur

Certains e-mails de phishing viennent d'une adresse qui a l'air authentique, mais définissent discrètement une autre adresse de « réponse ». Vous cliquez sur Répondre, et votre message part directement chez l'escroc. Avant de répondre avec quoi que ce soit de sensible, vérifiez d'abord l'adresse dans le champ « À » de votre réponse.

11. Quelque chose auquel vous ne vous êtes jamais inscrit

Un avis d'expédition d'un transporteur que vous n'avez jamais utilisé, une réinitialisation de mot de passe que vous n'avez pas demandée, ou un reçu pour un achat que vous n'avez pas fait. Les escrocs envoient ce genre de message en espérant que vous cliquerez pour « annuler » ou « contester » la commande. N'utilisez pas le lien de l'e-mail. Si vous avez un doute, ouvrez l'application de l'entreprise ou tapez son adresse vous-même.

12. Les avertissements de votre messagerie

Gmail, Outlook et Apple Mail vérifient en coulisses si un e-mail provient vraiment du domaine qu'il annonce. Quand ces vérifications échouent, vous verrez peut-être un avertissement du type « Ce message ne provient peut-être pas de l'expéditeur indiqué », ou un point d'interrogation à la place de la photo de l'expéditeur. Prenez ces avertissements au sérieux. Si vous êtes curieux de savoir comment fonctionnent ces vérifications, je les explique simplement dans SPF, DKIM et DMARC expliqués simplement.

Un exemple réaliste, décortiqué

Voici le genre d'e-mail qui arrive dans des boîtes de réception tous les jours :

De : Service client Amazon <[email protected]>
Objet : Action requise : votre commande n° 112-8842 a été suspendue

Cher client,
Nous n'avons pas pu vérifier vos informations de paiement. Votre commande et votre compte seront annulés sous 24 heures si vous ne confirmez pas vos coordonnées.

[Vérifier mon compte]

Comptons les signaux :

1. Le domaine est amaz0n-orders-support.com, avec un zéro et des mots en plus. Amazon n'envoie pas d'e-mails depuis ce domaine.
2. « Cher client » au lieu de votre nom.
3. Une menace avec un délai de 24 heures.
4. Une commande que vous ne reconnaissez probablement pas.
5. Un bouton qui, si vous appuyiez longuement dessus, pointerait vers un site sans aucun rapport.

Cinq signaux en quelques lignes. Le bon réflexe : le supprimer, ou ouvrir vous-même l'application Amazon et consulter vos commandes. S'il y a vraiment un problème, vous le verrez là.

Que faire si vous avez déjà cliqué

D'abord : pas de panique, et ne vous sentez pas bête. Ces e-mails sont conçus par des gens dont le métier à plein temps est de tromper les autres. Ce qui compte maintenant, c'est d'agir vite :

1. Si vous avez seulement ouvert l'e-mail : vous ne risquez presque certainement rien. Supprimez-le, tout simplement.
2. Si vous avez cliqué sur le lien sans rien saisir : fermez la page. Lancez l'analyse de sécurité de votre appareil si vous en avez une.
3. Si vous avez saisi un mot de passe : changez-le immédiatement sur le vrai site (en tapant l'adresse vous-même), ainsi que partout où vous utilisez ce même mot de passe.
4. Si vous avez saisi vos coordonnées bancaires : appelez votre banque au numéro inscrit au dos de votre carte et demandez-lui de la faire opposer.
5. Si vous avez communiqué un code à usage unique : connectez-vous tout de suite au compte concerné, changez le mot de passe et déconnectez toutes les autres sessions.
6. Activez l'authentification à deux facteurs sur votre messagerie, votre banque et vos comptes d'achat en ligne, si ce n'est pas déjà fait.

Signalez-le, ça aide tout le monde

Utilisez l'option « Signaler un hameçonnage » ou « Signaler comme spam » de votre messagerie. Dans Gmail, elle se trouve dans le menu à trois points, et dans Outlook sous « Signaler ». Cela entraîne les filtres qui protègent des millions d'autres personnes. Beaucoup d'entreprises ont aussi leur propre adresse pour ça : vous pouvez par exemple transférer les faux e-mails PayPal à [email protected]. Aux États-Unis, vous pouvez aussi faire un signalement auprès de la FTC sur reportfraud.ftc.gov, et au Royaume-Uni à [email protected].

Recevoir moins d'e-mails de phishing dès le départ

Vous ne ferez jamais tomber le phishing à zéro, mais vous pouvez faire de votre boîte de réception une cible beaucoup plus petite :

• Ne donnez pas votre adresse principale à chaque site, chaque concours et chaque téléchargement gratuit. Moins elle circule, moins elle se retrouve sur des listes.
• Pour les inscriptions ponctuelles, utilisez une adresse e-mail temporaire. Si ce site se fait pirater plus tard ou revend sa liste, les indésirables arriveront dans une boîte qui disparaît toute seule.
• Utilisez un gestionnaire de mots de passe. Il ne remplira pas automatiquement votre mot de passe sur paypa1.com, ce qui en fait un détecteur de phishing étonnamment efficace.
• Gardez votre téléphone et votre navigateur à jour : les mises à jour comblent justement les failles que les liens malveillants cherchent à exploiter.

Si votre adresse a déjà fuité lors d'une violation de données, jetez un œil à que faire quand votre e-mail figure dans une fuite de données, et pour les bonnes habitudes au quotidien, à ces bonnes pratiques pour protéger la confidentialité de vos e-mails.

Le réflexe des dix secondes

Si vous ne retenez qu'une seule chose de cet article, que ce soit celle-ci : quand un e-mail veut que vous agissiez vite, ralentissez pendant dix secondes. Vérifiez qui l'a vraiment envoyé, appuyez longuement sur le lien pour voir où il mène, et si quelque chose vous semble louche, allez vous-même sur le site au lieu de cliquer. Cette petite pause suffit à déjouer l'immense majorité des e-mails de phishing en circulation.

Prenez soin de vous, et si vous avez repéré une astuce de phishing ingénieuse qui ne figure pas dans cette liste, j'aimerais sincèrement en entendre parler. Vous trouverez mes coordonnées juste en dessous.