Le mail arrive à 7h42, un mardi. Objet : « Votre colis est en attente de livraison ». Le logo du transporteur est là, les couleurs sont bonnes, la mise en page est propre. Et pourtant, quelque chose cloche. Le lien de suivi pointe vers laposte-suivi-colis.info, pas vers laposte.fr. Trois lettres de trop. C'est tout. C'est souvent tout.
Je reçois ce genre de message presque chaque semaine, et il m'a fallu du temps pour comprendre une chose simple : reconnaître un email de phishing rapidement ne repose pas sur un sixième sens. Ça repose sur une méthode. Quelques réflexes mécaniques, dans un ordre précis, qui prennent trente secondes. Une fois qu'on les a, on ne se fait plus avoir. Avant de les avoir, on clique, on doute, on clique quand même.
Points clés à retenir
- Le domaine de l'expéditeur est le premier truc à regarder, jamais le nom affiché.
- Survolez un lien sans cliquer : l'URL réel apparaît en bas de votre écran.
- L'urgence et la menace sont des leviers d'attaque, pas des signaux d'alerte légitimes.
- Une pièce jointe inattendue ne s'ouvre pas, même d'un expéditeur connu.
- En cas de doute, ne répondez pas au mail : vérifiez par un canal séparé.
- Signalez toujours — un signalement protège aussi les autres.
Reconnaître un email de phishing : les 5 signes qui ne trompent pas
Je ne vais pas vous faire un cours sur l'hameçonnage. Vous savez ce que c'est. Ce qui manque, en général, c'est le détail vérifiable. Pas « méfiez-vous des mails bizarres » — concrètement, où regarder.
Le domaine de l'expéditeur, pas le nom affiché
Sur votre téléphone, l'expéditeur s'affiche en gros : « Service Client », « Impôts », « Votre banque ». Sauf que ce nom, n'importe qui peut l'écrire. Il n'est relié à rien. Ce qui compte, c'est l'adresse qui se cache derrière, qu'il faut dérouler en tapant dessus.
Un mail de votre banque doit venir d'un domaine qui correspond exactement à celui de votre banque. Pas banque-securite.com. Pas banque.fr.secure-login.net. Ces variantes-là existent par milliers, et elles exploitent une faiblesse humaine précise : on lit le début d'une adresse, rarement la fin.
L'URL derrière le lien : survolez, sans cliquer
Sur ordinateur, positionnez votre curseur au-dessus du bouton ou du lien, sans cliquer. L'adresse réelle s'affiche en bas de la fenêtre. Si le texte affiché dit « cliquez ici pour suivre votre colis » mais que l'URL pointe vers un domaine inconnu, vous avez votre réponse. Spoiler : ce n'est pas la bonne.
Sur mobile, appui long sur le lien, puis « copier » ou « aperçu ». Le vrai lien apparaît. C'est moins pratique, mais ça prend deux secondes et ça évite de tomber dans le panneau.
Urgence, menace et pression au bouton
« Votre compte sera suspendu sous 24 heures. » « Une transaction suspecte a été détectée, confirmez immédiatement. » « Dernier rappel avant majoration. »
Ces formulations ne sont pas là par hasard. Elles court-circuitent la réflexion. Un service légitime vous laisse le temps de vérifier. Une menace de blocage imminent, c'est un signal, pas une information.
Les fautes et les incohérences graphiques
L'ancien réflexe « il y a des fautes, c'est du phishing » ne tient plus vraiment. Les messages récents sont propres, souvent mieux écrits que la moyenne. Ce qu'il faut regarder plutôt : un logo légèrement flou, une police différente pour la signature, un pied de page qui ne correspond pas à celui reçu d'habitude. Ce sont les micro-décalages qui trahissent, pas les fautes d'orthographe.
La pièce jointe inattendue
Facture, bon de commande, reçu de livraison, convocation. Si vous ne l'attendiez pas, vous ne l'ouvrez pas. Même si elle vient d'une adresse que vous reconnaissez — surtout si elle vient d'une adresse que vous reconnaissez, car c'est exactement le mécanisme du clone phishing : reprendre une adresse ou un contact connu pour piéger.
Vérifier une adresse mail frauduleuse : la méthode pas à pas
Bon, vous avez un doute. Voici ce que je fais, dans cet ordre.
- Je déroule l'adresse complète de l'expéditeur. Je regarde ce qui vient après le @, jamais avant.
- Si l'adresse semble bonne, j'inspecte les en-têtes du message (menu « Afficher l'original » ou « Détails techniques » dans la plupart des webmails). Les champs SPF, DKIM et DMARC y figurent. S'ils sont absents ou en échec, l'authenticité du domaine est douteuse.
- Je survole les liens sans cliquer.
- Je ne réponds jamais, je ne clique jamais, je ne téléphone jamais à un numéro du mail.
- Je contacte l'organisme par un moyen que j'ai trouvé moi-même : application bancaire, numéro sur la carte, site officiel tapé à la main.
Cette cinquième étape est la plus importante, et c'est celle que tout le monde saute. Un faux mail ANTAI, par exemple, vous demandera de payer une amende sur un site imitant l'administration. Si vous avez un doute, vous n'utilisez pas le lien : vous allez directement sur le site officiel de l'Agence, ou vous consultez votre espace habituel. Le faux site ne s'affichera jamais là.
Vérifier une adresse mail gratuitement, oui, mais...
Il existe des outils en ligne qui analysent une adresse ou un domaine et donnent un indice de réputation. Utile pour un domaine inconnu. Inutile pour un domaine usurpé qui vient d'être créé il y a trois jours : aucun outil ne le connaîtra encore.
Ne comptez donc pas uniquement là-dessus. Utilisez-les comme un complément, après vos propres vérifications, pas à leur place. Le meilleur outil reste vos yeux sur l'URL et l'en-tête.
Exemple de phishing bancaire et de faux mail : comment ça se présente
Un lecteur m'a transféré un message reçu cette année. Le mail disait venir de sa banque, avec un objet du type « Confirmez votre nouvelle carte bancaire ». La charte graphique était reprise au pixel près. Le lien, lui, menait vers une adresse du genre banque-verification-securite.xyz. Le formulaire demandait le numéro de carte, la date d'expiration, le code à trois chiffres.
Aucune banque ne demande jamais ce code par mail. Jamais. C'est la règle la plus simple à retenir, et la plus efficace face à ce type d'attaque.
Autre cas classique : le faux mail ANTAI pour une amende impayée. Là, le mécanisme est identique. On joue sur la peur de l'administration et sur la pression du délai. Le lien de paiement est faux, mais il ressemble à s'y méprendre à l'interface officielle. La différence se voit dans l'URL. Presque toujours dans l'URL.
| Signe | Ce que ça révèle | Réflexe à avoir |
|---|---|---|
| Domaine après le @ différent | Usurpation d'identité | Dérouler l'adresse complète |
| URL derrière le lien incohérente | Redirection vers un faux site | Survoler sans cliquer |
| Urgence / menace | Manipulation émotionnelle | Ne pas agir dans la précipitation |
| Pièce jointe non attendue | Logiciel malveillant | Ne pas ouvrir |
| Demande de code confidentiel | Tentative de fraude bancaire | Refuser, quel que soit l'expéditeur |
Que faire quand on a un doute (ou qu'on a cliqué)
Vous avez cliqué. Ça arrive. Ne culpabilisez pas, agissez.
- Changez immédiatement le mot de passe du service concerné, et partout où vous l'avez réutilisé.
- Activez la double authentification si ce n'est pas déjà fait.
- Prévenez votre banque si des coordonnées bancaires ont été saisies.
- Signalez le message : Cybermalveillance.gouv.fr pour les signalements généraux, le 33700 pour les SMS frauduleux (smishing).
- Transférez le mail à votre service informatique si vous êtes en entreprise.
Rien de tout ça ne prend plus de dix minutes. Ce qui prend des semaines, c'est de réparer les dégâts d'un compte compromis qu'on a laissé traîner.
Et si le mail vient d'un proche ou d'un collègue ?
Même logique. Un message inhabituel venant d'un contact connu, avec une demande urgente ou un fichier à ouvrir, mérite une vérification. Appelez la personne par un autre canal. Ne répondez pas au mail. Le compte de votre contact a probablement été piraté, et répondre ne ferait qu'enfoncer le clou.
Former son entourage : la vraie protection
Franchement, aucune méthode individuelle ne remplace une culture partagée. J'ai vu trop de proches se faire avoir non par manque d'attention, mais parce que personne ne leur avait jamais montré un exemple concret. Un faux mail ANTAI, un faux courrier de colis, une fausse facture d'électricité. On comprend en trois minutes quand on voit un cas réel.
La liste des adresses frauduleuses circule, les articles rappellent les bonnes pratiques, et pourtant le nombre de victimes continue d'augmenter. La raison est simple : le phishing ne cherche pas à tromper tout le monde. Il cherche à tromper une personne, une fois. Il suffit d'un clic.
Alors la prochaine fois que vous recevez un mail étrange, ne le supprimez pas tout de suite. Regardez-le trente secondes. Déroulez l'adresse. Survolez le lien. Et si vraiment vous avez un doute, transférez-le à quelqu'un de votre entourage en disant : « regarde, ça, tu saurais le repérer ? ». C'est comme ça que les réflexes se transmettent. Pas dans un guide, pas dans une formation obligatoire — dans une conversation de deux minutes, au détour d'un message suspect.
