Comment reconnaître un email de phishing ?

Un email de phishing se repère en croisant plusieurs indices : une adresse d’expéditeur louche, un ton qui vous presse, une demande de données personnelles, un lien ou une pièce jointe imprévus. Un seul signal ne suffit pas, car les faux messages sont de mieux en mieux soignés. Le phishing (ou hameçonnage) consiste à imiter une banque, une administration ou un livreur pour vous soutirer mots de passe et coordonnées bancaires, en jouant sur la peur et l’urgence plutôt que sur la technique.

Comment vérifier l’adresse d’un expéditeur suspect ?

L’adresse est le premier réflexe à adopter, parce qu’elle trahit la plupart des faux messages en quelques secondes.

Afficher l’adresse réelle derrière le nom

Le nom affiché en haut du mail se modifie à volonté. Seule l’adresse compte. Sur ordinateur, cliquez sur le nom de l’expéditeur pour la faire apparaître. Sur mobile, touchez-le ou maintenez l’appui.

Un « Centre des impôts » qui écrit depuis une boîte Gmail personnelle est un faux : l’administration utilise un domaine en .gouv.fr. Le même réflexe s’applique à un expéditeur que vous ne connaissez pas, ou à un service dont vous n’êtes pas client.

Repérer les variations de domaine et les faux contacts

Les fraudeurs pratiquent l’usurpation d’adresse (spoofing) : ils imitent un domaine existant avec un détail minuscule. Voici trois exemples à garder en tête :

• « service.client@credit.agricole.fr » : le point remplace le tiret du vrai domaine credit-agricole.fr, le message vient donc de « agricole.fr ».
• « service.paypal@compte.fr » : le domaine « compte.fr » n’a aucun lien avec PayPal.
• « votremutuelle@coompte.fr » : un « o » en trop suffit à tromper un lecteur pressé.

Un contact connu n’offre aucune garantie. Son compte a pu être piraté, et un message étrange venant d’un proche (lien sans explication, demande d’argent) mérite un appel avant tout clic.

Quels signes dans le message trahissent un email frauduleux ?

Même avec une adresse convaincante, le contenu laisse des traces. Trois familles d’indices ressortent à la lecture.

Un ton urgent et une salutation impersonnelle

Un objet comme « alerte sécurité » ou « votre compte est en danger » cherche à provoquer une réaction avant la réflexion. Suspension de compte, délai de 24 heures, majoration d’amende : la menace sert à vous empêcher de vérifier.

Regardez aussi la salutation. Une banque ou un opérateur s’adresse à vous par votre nom. Un « Cher client » ou un simple « Bonjour » trahit un envoi en masse.

Une demande d’informations personnelles

Aucun organisme sérieux ne réclame par email un mot de passe, un code reçu par SMS ou des coordonnées bancaires. Les prétextes reviennent toujours : mise à jour de dossier, remboursement en attente, compte bientôt désactivé, cadeau à réclamer. Si le message vous pousse à saisir une donnée sensible, considérez-le comme frauduleux jusqu’à preuve du contraire.

Un design, un texte ou une image douteux

Logo flou, police inhabituelle, caractères étranges comme dans « Misᥱ Ajoᥙr » : ces défauts signalent un montage. Les fautes d’orthographe et la syntaxe hésitante restent des indices utiles, mais leur absence ne prouve rien, car certains messages sont irréprochables.

Méfiez-vous aussi d’un texte transformé en image. Cette astuce permet d’échapper aux filtres anti-spam, qui ne lisent pas le contenu d’une image.

Comment vérifier un lien ou une pièce jointe sans risque ?

Le danger se déclenche au moment du clic ou de l’ouverture. Ces deux contrôles se font sans rien activer.

Survoler un lien et contrôler le https

Placez le pointeur sur le lien sans cliquer : l’adresse réelle s’affiche en bas de la fenêtre. Sur mobile, un appui long ouvre un aperçu de l’URL. Si elle ne correspond pas au site officiel, ne poursuivez pas.

Le cadenas et le préfixe https (le « s » signifie « sécurisé », ce qu’on cherche parfois sous la forme « wwws ») indiquent que la connexion est chiffrée. Ils ne prouvent pas l’honnêteté du site, puisque des pages frauduleuses en disposent aussi. Le plus sûr reste de taper vous-même l’adresse habituelle dans votre navigateur.

Se méfier des pièces jointes inattendues

Une facture que vous n’attendiez pas, un « document important » d’un inconnu : n’ouvrez rien. Une pièce jointe malveillante peut installer un logiciel espion qui enregistre vos frappes au clavier et transmet vos identifiants au pirate. En cas de doute, contactez l’expéditeur par un autre canal que le mail.

Quelles sont les arnaques par email les plus courantes ?

Les scénarios se répètent d’une campagne à l’autre. Les connaître vous permet de reconnaître le piège dès l’objet du message.

Les arnaques qui visent les particuliers

Ces cinq scénarios reviennent le plus souvent dans les boîtes de réception :

• Faux remboursement d’impôts, qui réclame vos coordonnées bancaires.
• Faux avis de livraison (UPS, FedEx), avec un lien vers une page de paiement frauduleuse.
• Faux support technique (Microsoft, Apple) annonçant un problème urgent.
• Fausse amende, avec menace de majoration et lien de paiement.
• Faux cadeau ou sondage, suivi d’une demande de frais de port pour un lot jamais livré.

Les alertes d’activité suspecte sur Facebook ou LinkedIn fonctionnent sur le même modèle : un lien qui mène vers une fausse page de connexion.

Le phishing en entreprise

En entreprise, les montants sont plus lourds. La fraude au président consiste à se faire passer pour un dirigeant afin d’obtenir un virement urgent, et certaines attaques ont coûté jusqu’à 38 millions d’euros. Le spear phishing cible une personne précise et s’appuie sur des informations glanées sur elle pour paraître crédible.

Deux réflexes protègent : confirmer tout changement de RIB ou toute demande de virement par téléphone, au numéro habituel, et prévenir la direction informatique dès qu’un message paraît douteux.

Que faire en cas de mail frauduleux ou d’hameçonnage ?

La réaction dépend d’un point simple : avez-vous interagi avec le message ou non ?

Réagir face à un email suspect

Si vous n’avez rien cliqué, suivez ces étapes dans l’ordre :

• Ne répondez pas et n’ouvrez aucun lien ni aucune pièce jointe.
• Marquez le message comme spam ou phishing dans votre messagerie.
• Signalez-le sur signal-spam.fr, phishing-initiative.eu ou internet-signalement.gouv.fr.
• Supprimez-le, puis contactez l’organisme par un canal officiel si un doute subsiste.

Agir si vous avez cliqué ou répondu

Cela arrive à tout le monde, inutile de culpabiliser : agissez vite. Prévenez l’organisme dont l’identité a été usurpée, puis changez sans attendre les mots de passe saisis, y compris ceux que vous réutilisez ailleurs. Examinez ensuite vos relevés bancaires. Au moindre prélèvement inconnu, appelez votre banque pour faire opposition. Mettez enfin à jour votre antivirus et votre pare-feu.