Comment reconnaître et éviter les tentatives de phishing

Le mail est bien fait. Logo de votre banque, mise en page propre, formule de politesse correcte. Un seul détail cloche : on vous demande de « confirmer vos coordonnées » via un lien. Vous cliquez. Et là, tout part en vrille.

Je reçois ce genre de message au moins deux fois par semaine sur ma boîte pro. Pendant un moment, je les signalais un par un, méthodiquement, comme un bon citoyen numérique. Puis j'ai arrêté. Pas parce que c'est inutile, mais parce que le vrai enjeu n'est pas de signaler après coup, c'est de reconnaître avant de cliquer. C'est toute la différence entre courir après les dégâts et fermer la porte.

Dans cet article, je vous donne les signes concrets, la procédure de vérification que j'utilise moi-même, et surtout quoi faire quand c'est trop tard.

Quels sont les 4 signes qui permettent d'identifier un email de phishing ?

Cette question revient sans arrêt, et c'est normal : la plupart des articles vous noient sous vingt conseils alors que quatre critères suffisent dans la majorité des cas. Les voici, dans l'ordre où je les vérifie.

Signe 1 : l'adresse de l'expéditeur ne colle pas

Le nom affiché peut être « Service Client — Banque Untel » alors que l'adresse réelle derrière est service.client@banque-untel-securite.info. Les outils de messagerie masquent souvent l'adresse complète par défaut. Cliquez sur le nom pour la déplier. Regardez ce qui suit le @, pas ce qui précède.

Un détail que peu de gens connaissent : les fraudeurs remplacent parfois une lettre par un caractère visuellement identique (le l minuscule contre le I majuscule, le rn contre le m). À l'œil nu, ça passe. En collant l'adresse dans un éditeur de texte, ça saute aux yeux.

Signe 2 : le lien ne mène pas où il prétend

Survolez le lien sans cliquer. Sur ordinateur, l'URL réelle s'affiche en bas à gauche du navigateur. Sur mobile, appuyez longuement sur le lien : une fenêtre montre la destination.

Ce qu'il faut regarder : le domaine juste avant le premier /. banque-untel.secure-login.xyz n'est pas banque-untel.fr. Le vrai domaine, c'est celui qui précède immédiatement le .fr, .com ou .be. Tout le reste n'est qu'un sous-domaine fabriqué pour rassurer.

Et là, surprise : certains liens frauduleux sont parfaitement propres. Ils pointent vers un site légitime, mais avec un paramètre de redirection qui renvoie ailleurs. Raison de plus pour ne jamais faire confiance à un lien reçu, même quand il semble correct.

Signe 3 : l'urgence artificielle

« Votre compte sera suspendu sous 24 heures. » « Une transaction suspecte a été détectée. » « Dernier avertissement avant fermeture. »

Le levier est toujours le même : court-circuiter votre réflexion en créant une pression temporelle. Une banque, un opérateur ou un service public ne vous menacent jamais par mail avec un délai aussi serré. S'ils ont un vrai problème, ils vous appellent ou vous écrivent par courrier.

Signe 4 : on vous demande des données sensibles

Mot de passe, code de carte, identifiant fiscal, numéro de sécurité sociale, code reçu par SMS. Aucun organisme sérieux ne demande ça par mail. Jamais. Le code à six chiffres que vous recevez par SMS est destiné à vous, pas à un « conseiller » au téléphone.

Cette règle toute seule élimine une écrasante majorité des tentatives. Gravez-la.

Trois exemples concrets que vous avez peut-être déjà reçus

La théorie c'est bien, les scénarios réels c'est mieux. Voici ceux que je vois le plus souvent autour de moi.

Le faux conseiller bancaire

Un SMS prétend qu'une opération suspecte a été détectée sur votre compte, avec un numéro à rappeler. Vous appelez. Un homme très pro, très calme, vous explique qu'il va « sécuriser » votre compte. Il vous demande de valider une opération via votre application, ou de lui dicter un code reçu par SMS.

Faites le calcul : la banque vous appelle rarement pour un problème qu'elle a déjà détecté, et jamais elle ne vous demande un code. Si vous avez un doute, raccrochez et rappelez le numéro officiel figurant au dos de votre carte.

Le faux transporteur

Ça m'est arrivé l'an dernier. Un SMS : « Votre colis est en attente de livraison, réglez les frais de douane (1,99 €) via ce lien. » Le montant dérisoire est calculé pour faire baisser la garde. Le lien mène à un formulaire qui récupère vos coordonnées bancaires complètes.

Le transporteur légitime vous laisse toujours une preuve vérifiable : numéro de suivi, notification depuis son application officielle, avis de passage. Pas un lien raccourci.

La fraude au président

Ancienne mais toujours efficace en entreprise. Un mail soi-disant du dirigeant, avec un ton directif et confidentiel, demande un virement urgent pour une acquisition sensible. La confidentialité est invoquée pour empêcher toute vérification interne. Ce type d'attaque a coûté des sommes considérables à des PME françaises, souvent sur un simple mail.

La parade : une procédure interne qui impose une validation par un second canal (appel téléphonique sur un numéro connu) pour tout virement au-dessus d'un seuil. Cette règle a sauvé des entreprises. Pas de dérogation, même quand le patron dit que c'est urgent.

Type d'attaque	Canal	Signe distinctif	Réflexe
Phishing classique	Email	Domaine douteux, urgence, demande d'identifiants	Ne pas cliquer, signaler
Smishing	SMS	Lien raccourci, expéditeur à 5 chiffres	Transférer au 33700
Vishing	Appel	Interlocuteur insistant, demande de code	Raccrocher, rappeler le numéro officiel
Faux conseiller bancaire	Appel / SMS	Urgence, ton rassurant, demande de validation	Ne jamais dicter de code
Fraude au président	Email	Ton directif, confidentialité, virement urgent	Validation par second canal obligatoire

Comment vérifier un mail suspect pas à pas

Quand un message me met un doute, je déroule cette petite routine. Elle prend trente secondes.

1. Je déplie l'adresse complète de l'expéditeur.
2. Je survole le lien principal sans cliquer, et je lis le domaine réel.
3. Je cherche les signes d'urgence et de pression (délai, menace, ton alarmiste).
4. Je vérifie si le message demande un mot de passe, un code, ou une coordonnée bancaire.
5. En cas de doute persistant, j'ouvre un nouvel onglet et je tape l'adresse du site officiel directement dans la barre, jamais via le lien reçu.

Cette dernière étape est la plus importante. Si un mail prétend venir de votre fournisseur d'accès, ouvrez votre espace client par vos propres moyens. Vous verrez tout de suite si le message annoncé existe réellement.

Comment inspecter l'en-tête d'un email

Pour les curieux : dans Gmail, ouvrez le message, cliquez sur les trois points en haut à droite, puis « Afficher l'original ». Vous voyez les lignes techniques From, Reply-To, Return-Path. Un écart entre le domaine du From et celui du Return-Path est un signal net. Sur Outlook, l'option s'appelle « Propriétés du message ».

Ce n'est pas obligatoire pour se protéger, mais quand vous voulez trancher un doute sur un mail bien imité, c'est décisif.

Que faire en cas de phishing : le clic, le signalement, la suite

Personne n'est immunisé. Moi le premier, j'ai cliqué une fois — un mail tellement bien fait que j'ai validé mon identifiant avant de comprendre. Voici ce que j'ai fait dans les minutes qui ont suivi, et ce que je recommande.

Vous avez cliqué : les réflexes immédiats

• Changez le mot de passe du compte concerné, immédiatement, et depuis un autre appareil.
• Activez la double authentification si ce n'est pas déjà fait. C'est ce qui limite les dégâts quand un mot de passe fuite.
• Changez le même mot de passe partout où vous l'avez réutilisé (et si vous le réutilisez quelque part, arrêtez ça tout de suite).
• Prévenez votre banque si vous avez saisi des coordonnées de carte, et demandez une opposition.
• Surveillez vos comptes pendant quelques semaines : les opérations frauduleuses n'arrivent pas toujours tout de suite.

Si vous avez livré un code de carte bancaire, l'opposition est incontournable. Ne perdez pas de temps à hésiter : un appel au numéro au dos de la carte, et c'est réglé. C'est gratuit et immédiat.

Signaler une tentative : par SMS, par mail

Pour un SMS suspect, transférez le message au 33700. C'est un dispositif public, gratuit, géré par les opérateurs. Ne modifiez rien dans le message transféré, sinon l'analyse ne fonctionne pas.

Pour un mail, signalez-le sur signal-spam.fr, la plateforme officielle en France. La plupart des messageries proposent aussi un bouton « Signaler comme phishing » qui alimente leurs filtres. Utilisez-le : plus le signalement est massif, plus les filtres s'améliorent pour tout le monde.

Se débarrasser d'un mail de phishing

Ne répondez pas, ne cliquez pas sur « se désabonner », ne cliquez sur rien. Cliquez sur « signaler », puis supprimez. Répondre, même pour insulter l'expéditeur, confirme simplement que votre adresse est active — et vous en recevrez davantage.

Se protéger durablement, sans devenir paranoïaque

Il y a un piège classique : après une mauvaise expérience, on devient suspicieux de tout et on finit par ignorer les vrais messages. Ce n'est pas l'objectif. Voici les quelques mesures qui changent vraiment la donne, par ordre d'impact.

• La double authentification, partout où c'est possible. C'est la mesure qui rapporte le plus pour le moins d'effort.
• Un gestionnaire de mots de passe, pour ne plus jamais réutiliser le même. Bonus : il refuse de remplir un formulaire sur un domaine inconnu.
• Des mises à jour automatiques activées sur votre système et votre navigateur.
• Un réflexe unique : jamais de saisie de données sensibles par un lien reçu.
• En entreprise, une procédure écrite pour les virements, validée par un second canal.

Inutile de tout empiler en une semaine. Choisissez-en une, tenez-la, puis ajoutez la suivante. La double authentification seule écarte une part énorme des tentatives, même quand votre mot de passe a fuité.

Le phishing ne disparaîtra pas. Il s'affinera, se personnalisera, jouera sur vos émotions plus finement. Mais la parade tient en une phrase que je me répète : le doute est votre meilleur antivirus. Si vous recevez un message qui vous presse, vous menace ou vous flatte un peu trop, arrêtez-vous dix secondes. Ces dix secondes, c'est tout ce qui sépare une tentative déjouée d'un compte vidé. Et franchement, dix secondes, ça vaut le coup.