Reconnaître un e-mail de phishing : les signes clés

Ton colis est bloqué à la douane, ton compte bancaire va être suspendu, ton chef a besoin de cartes cadeaux en urgence : les e-mails de phishing racontent toujours une histoire faite pour te pousser à cliquer vite. La bonne nouvelle, c’est que presque tous laissent des traces. Si tu sais où regarder, tu repères la plupart des faux en quelques secondes.

Pourquoi le phishing fonctionne si bien

Le phishing ne vise pas ton ordinateur, il te vise toi. Les messages jouent sur trois leviers éprouvés : l’urgence (« sous 24 heures »), l’autorité (ta banque, les impôts, ton responsable) et la curiosité (« tu as reçu un message vocal »). Sous pression, on vérifie moins. C’est pourquoi il vaut la peine de marquer une pause devant chaque e-mail qui exige une action immédiate.

Maintenant que les textes s’écrivent avec l’IA, les traductions maladroites et les fautes d’orthographe ne sont plus un signe fiable. Concentre-toi plutôt sur ce qui est difficile à falsifier.

Signe 1 : l’expéditeur

Ton logiciel de messagerie n’affiche souvent que le nom, par exemple « Service client de la banque ». N’importe qui peut choisir ce nom. Ce qui compte, c’est l’adresse derrière. Touche ou clique sur le nom pour la voir.

Astuces courantes :

• Un domaine étranger : [email protected] n’a rien à voir avec ta banque.
• Une orthographe proche : paypa1.example au lieu de paypal.example, rn au lieu de m, des tirets en trop.
• Des boîtes gratuites : une entreprise ne t’écrit pas depuis une adresse Gmail ou Outlook.com.
• Une adresse de réponse différente : si l’en-tête contient un Reply-To avec une adresse totalement différente, ta réponse arrive chez l’arnaqueur.

Signe 2 : pression et menaces

Les vraies entreprises n’annoncent pas la fermeture d’un compte avec un délai de quelques heures, et aucune administration ne demande un paiement par lien. Des formules comme « dernier avertissement », « ton compte a été limité » ou « confirme immédiatement » sont un signal pour ralentir, pas pour te dépêcher.

La fraude au président est particulièrement sournoise : un e-mail qui semble venir de la direction demande un virement urgent et confidentiel. Une seule chose aide ici : vérifier par un autre canal, par exemple en appelant un numéro que tu connais déjà.

Signe 3 : des liens qui mènent ailleurs

Le texte visible d’un lien peut prétendre n’importe quoi. Pour voir où il mène vraiment, survole-le avec la souris sans cliquer. Sur téléphone, appuie longuement sur le lien.

Lis le domaine de droite à gauche. Dans https://example.com.verification-compte.net/login, la page appartient à verification-compte.net, pas à example.com. Tout ce qui est à gauche n’est qu’un sous-domaine que le propriétaire peut inventer.

Méfie-toi aussi des liens raccourcis et des codes QR dans les e-mails : ils cachent la destination. En cas de doute, ouvre toi-même le site de l’entreprise en tapant l’adresse ou en utilisant un favori.

Signe 4 : les pièces jointes

Les factures inattendues, bons de livraison ou « documents scannés » sont un classique. Les plus dangereux sont :

• Les fichiers HTML qui ouvrent dans le navigateur une page de connexion copiée
• Les archives comme .zip, .rar ou .iso qui contiennent des logiciels malveillants
• Les documents Office qui te demandent d’« activer le contenu » ou d’autoriser les macros

N’ouvre une pièce jointe que si tu l’attendais et que l’expéditeur est le bon.

Signe 5 : ce qu’une vraie entreprise ne demande jamais

Les fournisseurs sérieux ne te demandent jamais par e-mail ton mot de passe, ton code PIN, un code de transaction ou un code de confirmation que tu viens de recevoir par SMS. Celui qui demande un tel code veut se connecter à ton compte.

Vérifier l’en-tête

L’en-tête d’un e-mail montre par quels serveurs il est passé et s’il a réussi les contrôles SPF, DKIM et DMARC. S’il indique dmarc=fail pour un domaine qui se fait passer pour ta banque, l’affaire est claire. Notre guide Lire les en-têtes d’un e-mail explique comment le trouver et le lire.

Une limite importante : un SPF ou un DKIM réussi prouve seulement que l’e-mail vient bien du domaine qu’il indique. Un arnaqueur peut aussi tout configurer correctement pour son propre domaine verification-compte.net. Les contrôles te disent qui a écrit, pas si tu peux faire confiance à cet expéditeur.

Si tu as déjà cliqué

Ce qui est fait est fait ; maintenant, c’est la rapidité qui compte :

1. Change ton mot de passe directement sur le vrai site du service, pas via le lien. Si tu as utilisé le même mot de passe ailleurs, change-le aussi là-bas.
2. Active la connexion en deux étapes si ce n’est pas déjà fait.
3. Préviens ta banque si tu as saisi des données de paiement. Utilise le numéro au dos de ta carte ou celui du site officiel.
4. Vérifie ton appareil si tu as ouvert une pièce jointe, par exemple avec un antivirus à jour.
5. Surveille tes comptes et ferme les sessions suspectes dans les paramètres de sécurité.

Signaler le phishing

La plupart des logiciels de messagerie ont un bouton « Signaler comme hameçonnage ». Tu entraînes ainsi le filtre et tu préviens les autres utilisateurs. Beaucoup d’entreprises acceptent aussi les faux e-mails envoyés en leur nom via une adresse de signalement dédiée, que tu trouveras sur leur site.

Prévenir avec des adresses séparées

Moins il y a d’endroits qui connaissent ton adresse principale, moins le phishing l’atteint. Si tu utilises une adresse jetable pour les jeux-concours, les téléchargements et les forums, les arnaqueurs ne connaissent souvent même pas ta vraie adresse. Et un prétendu e-mail de ta banque envoyé à une adresse que tu n’as utilisée que pour un forum se trahit tout seul.

Vérifie l’en-tête d’un e-mail suspect avec l’analyseur d’en-têtes : gratuit et sans inscription.