Le mail est presque parfait. Logo de votre banque, mise en page impeccable, formule de politesse correcte. Un seul détail cloche : vous n'avez pas de compte dans cette banque. Ce scénario, je l'ai vécu il y a quelques mois, et c'est ce jour-là que j'ai compris à quel point les tentatives de phishing par email étaient devenues difficiles à repérer à l'œil nu.
Avant, on repérait un faux mail à ses fautes d'orthographe grossières et à son français approximatif. Cette époque est révolue. Aujourd'hui, une bonne partie des messages frauduleux que je reçois sont mieux écrits que certaines newsletters professionnelles. Apprendre à reconnaître et éviter les tentatives de phishing par email n'est plus une question de vigilance générale : c'est une méthode précise, avec des points de contrôle concrets.
Points clés à retenir
- Le phishing exploite l'urgence et l'autorité, rarement la technique pure.
- L'adresse d'expéditeur affichée ne correspond presque jamais à l'adresse réelle.
- Un lien se vérifie en le survolant, jamais en cliquant.
- En cas de doute, on ne répond pas : on contacte l'organisme par un canal séparé.
- Après un clic malheureux, la vitesse de réaction compte plus que la honte.
- Le spear phishing, ciblé et personnalisé, piège même les profils avertis.
Comment reconnaître une tentative de phishing en dix secondes
La première fois que j'ai failli me faire avoir, c'était sur un faux mail de transporteur. Colis en attente, frais de douane de 2,90 €, bouton "payer maintenant". Le montant ridicule était justement l'appât : personne ne se méfie d'une somme pareille. J'ai survolé le lien au dernier moment, par pur réflexe. L'URL pointait vers un domaine qui n'avait rien à voir. Réflexe salvateur.
Ce jour-là, j'ai décidé de me construire une routine de vérification. Pas une liste mentale vague, mais une vraie checklist que j'applique mécaniquement.
Les indices concrets à vérifier dans un email
Voici ce que je regarde systématiquement, dans cet ordre :
- L'adresse d'expéditeur complète, pas seulement le nom affiché. Le nom peut dire "Service Client" et l'adresse réelle être [email protected].
- Le lien, en le survolant sans cliquer. Sur ordinateur, la cible s'affiche en bas de la fenêtre. Si le texte dit "www.impots.gouv.fr" et que la cible réelle pointe ailleurs, c'est terminé.
- La cohérence graphique : un logo légèrement étiré, une police qui change au milieu du texte, un bandeau de pied de page absent.
- Le ton. Un vrai organisme ne vous menace pas de suspension immédiate de compte dans un email automatique.
- Les pièces jointes inattendues, surtout les formats .zip, .html ou .docm.
- Une demande d'information que l'organisme possède déjà : votre banque connaît votre numéro de compte, elle ne vous le demandera pas par mail.
Un détail que beaucoup ignorent : les en-têtes techniques du message, accessibles via l'option "afficher l'original" ou "voir la source" de votre client mail, révèlent souvent le véritable chemin d'envoi. Si le message prétend venir de votre banque et transite par un serveur situé à l'étranger, le doute n'est plus permis.
Phishing massif ou spear phishing : la différence change tout
Il faut distinguer deux familles d'attaques, parce que les parades ne sont pas identiques.
Le phishing massif envoie des milliers de copies identiques, en pariant sur le pourcentage de personnes qui mordront. Les indices sont plus faciles à repérer : formule d'appel générique, aucun contexte personnel.
Le spear phishing est chirurgical. Le message vous nomme, cite votre entreprise, votre poste, parfois un projet récent. Il exploite des informations glanées sur LinkedIn, sur votre site ou dans une fuite de données antérieure. J'ai vu un cas où le mail reprenait le prénom du destinataire, le nom exact de son supérieur hiérarchique et une référence à une réunion qui avait réellement eu lieu. Aucune faute, aucun logo bancal. Le seul indice restant : une urgence disproportionnée et une demande inhabituelle.
C'est ce type de message qui fait tomber les profils avertis. Et c'est pour ça qu'aucune checklist ne remplace le réflexe du canal séparé, dont je parle plus bas.
Comment reconnaître un faux mail ANTAI et autres usurpations administratives
Les usurpations d'organismes officiels sont devenues un classique. L'ANTAI, l'Assurance Maladie, les impôts, la CPAM : tous ces noms sont régulièrement détournés. Le scénario est toujours le même. Une infraction routière non contestée, un remboursement en attente, une régularisation urgente. Et un lien pour "régler" ou "vérifier".
Ce que je vérifie dans ce cas de figure :
- L'ANTAI ne notifie pas une amende uniquement par email. Un avis de contravention arrive par courrier, avec un numéro de dossier.
- Aucun organisme administratif ne vous réclame un paiement immédiat via un lien dans un mail non sollicité.
- Un remboursement légitime ne vous demande jamais vos coordonnées bancaires par retour d'email.
- Le domaine officiel est vérifiable : tout ce qui ressemble à antai-gouv.info ou ameli-remboursement.net est frauduleux. Le vrai domaine se termine par .gouv.fr.
Franchement, la meilleure habitude à prendre est simple. Quand un mail prétend venir d'une administration, je ferme le mail et je me connecte directement au site officiel, par mes propres moyens. Si l'information est réelle, elle y figure. Si elle n'y figure pas, le mail était faux.
Existe-t-il une liste d'adresses mail frauduleuses ?
On me pose souvent la question, et la réponse honnête va décevoir : une liste figée ne sert quasiment à rien. Les attaquants changent de domaine en quelques heures, génèrent des adresses par milliers et abandonnent celles qui sont repérées. Une liste publiée aujourd'hui sera obsolète demain matin.
Ce qui fonctionne réellement, c'est le raisonnement par défaut : tout expéditeur non connu qui réclame une action urgente est suspect jusqu'à preuve du contraire. Les filtres antispam de votre fournisseur, eux, s'appuient sur des bases de réputation constamment mises à jour. Ce n'est pas parfait, mais c'est bien plus efficace qu'une liste statique recopiée de forum en forum.
Que faire en cas de phishing : la procédure pas à pas
La question n'est pas "si" vous recevrez un mail frauduleux, mais "quand". Et un jour, par fatigue ou distraction, vous cliquerez. Ça m'est arrivé. Ce n'est pas une honte, c'est une statistique.
Voici la marche à suivre, dans l'ordre.
J'ai reçu un mail suspect, sans avoir cliqué
- Ne répondez pas, ne cliquez sur rien, pas même sur le lien de désabonnement en bas du mail.
- Signalez le message comme spam ou phishing depuis votre client mail.
- Transférez-le à la plateforme de signalement des messages frauduleux (l'adresse dédiée existe en France pour les contenus illicites, et la plupart des fournisseurs proposent un bouton dédié).
- Supprimez-le de votre boîte.
Une nuance importante : signaler et bloquer sont deux gestes distincts. Le signalement alimente les filtres pour tout le monde. Le blocage nettoie votre boîte. Faites les deux.
J'ai cliqué ou saisi mes identifiants : que faire ?
Là, il faut agir en minutes, pas en heures. La fenêtre pendant laquelle un attaquant exploite vos accès est courte, et chaque minute compte.
- Changez immédiatement le mot de passe concerné, et partout où vous avez réutilisé le même.
- Activez la double authentification sur les comptes critiques, si ce n'est pas déjà fait.
- Si des données bancaires ont été saisies, contactez votre banque sans attendre et demandez le blocage des opérations suspectes. En France, vous pouvez faire opposition sur votre carte très rapidement, et la responsabilité en cas d'opération non autorisée est généralement limitée si vous réagissez vite.
- Si le mail usurpait un organisme, prévenez l'organisme réel par un canal officiel.
- Surveillez vos comptes pendant plusieurs semaines. Les attaquants attendent parfois avant d'utiliser les données volées.
L'erreur classique, et je l'ai commise, c'est de minimiser. "J'ai juste cliqué, je n'ai rien saisi." Un simple clic peut suffire à déclencher un téléchargement silencieux. Je préfère toujours faire tourner un scan complet après un clic douteux, même si je ne vois rien d'anormal.
Signaler une tentative de phishing par SMS ou par mail
Les SMS frauduleux, ou smishing, ont pris une ampleur considérable. Colis, amende, remboursement, faux conseiller bancaire : le format court du SMS rend l'analyse plus difficile, et le lien est souvent raccourci.
Le principe de signalement reste le même que pour un mail : ne répondez pas, ne cliquez pas, transférez le message au numéro de signalement dédié aux spams par SMS, puis bloquez l'expéditeur. Sur certaines plateformes, vous pouvez transférer directement le SMS frauduleux au numéro officiel de lutte contre les spammeurs.
| Type de menace | Canal | Réflexe immédiat | Signalement |
|---|---|---|---|
| Phishing par email | Boîte mail | Survoler le lien, ne pas cliquer | Bouton "signaler comme phishing" + transfert à la plateforme dédiée |
| Smishing | SMS | Ne pas cliquer sur le lien raccourci | Transfert au numéro anti-spam + blocage |
| Spear phishing | Email ciblé | Contacter l'expéditeur par un autre canal | Service informatique + signalement interne |
| Usurpation administrative | Email ou SMS | Vérifier sur le site officiel en direct | Organisme usurpé + plateforme de signalement |
Un point qu'on oublie trop souvent : signaler ne sert pas seulement à se protéger soi. Chaque signalement nourrit les filtres qui protégeront les autres. C'est la seule partie de cette lutte où l'action individuelle a un effet collectif réel.
Comment se débarrasser durablement du phishing
On ne se débarrasse jamais complètement du phishing. Il faut accepter cette idée. En revanche, on peut réduire drastiquement le volume reçu et le risque qu'un message passe à travers.
Ce qui a réellement changé la donne chez moi, sur près de deux ans :
- Une adresse email principale réservée aux contacts importants, et des adresses secondaires pour les inscriptions en ligne. La différence de volume de spam entre les deux est frappante, de l'ordre de plusieurs dizaines de messages par mois.
- La double authentification activée partout. Même si un mot de passe fuite, l'accès reste bloqué.
- Un gestionnaire de mots de passe, qui détecte souvent l'URL frauduleuse avant moi. Il refuse de remplir automatiquement les identifiants sur un site qui ne correspond pas au domaine enregistré. C'est un garde-fou automatique précieux.
- La mise à jour systématique du navigateur et du système, qui filtrent une partie des domaines connus comme malveillants.
Et une règle unique, que j'applique sans exception : le canal séparé. Aucune demande sensible par email n'est traitée par email. Je raccroche, je ferme l'onglet, et je rappelle ou je me connecte par un moyen que j'ai choisi moi-même. C'est le seul réflexe qui résiste au spear phishing bien construit, parce qu'il ne dépend pas de ma capacité à repérer une faute.
Si vous ne deviez retenir qu'une chose de cet article, ce serait celle-là. Les indices changent, les techniques évoluent, les faux mails deviennent plus crédibles chaque année. Le canal séparé, lui, reste infranchissable. Une urgence réelle supporte toujours trente secondes de vérification par un autre chemin. Une urgence inventée, jamais.