Reconnaître le phishing : les 5 signaux qui ne trompent presque jamais
Il est 7 h 42, vous ouvrez votre boîte mail, et là, un message de votre banque. Objet : « Action requise sous 24 h ». Le logo est là. La signature aussi. Sauf que votre conseiller ne vous a jamais écrit avec une adresse en @gmail.com, et que le lien pointe vers un domaine en .top. Vous avez failli cliquer. C'est exactement ce que l'attaquant veut.
Le phishing (on écrit aussi fishing, et en français hameçonnage) repose sur une seule mécanique : se faire passer pour une entité de confiance — votre banque, l'URSSAF, la Gendarmerie, l'ANTAI — pour vous soutirer des identifiants, un numéro de carte ou une simple validation. Pas besoin de faille technique. C'est vous, la faille.
La bonne nouvelle, c'est que dans neuf cas sur dix que je rencontre, le message frauduleux trahit sa nature par un détail vérifiable en moins de trente secondes. Voici comment je procède, dans l'ordre.
Points clés à retenir
- Le signal le plus fiable n'est ni le logo ni la mise en page, mais l'adresse d'expéditeur réelle et l'URL derrière le lien.
- Un objet qui crée l'urgence (« sous 24 h », « dernier avertissement ») est un drapeau rouge quasi systématique.
- Aucun organisme officiel ne vous demandera jamais votre mot de passe par e-mail.
- Survolez toujours un lien sans cliquer : l'URL affichée peut différer de la destination réelle.
- Une pièce jointe inattendue, même d'un expéditeur connu, mérite un appel de vérification.
- En cas de doute, ne cliquez pas et transférez le message au service de gestion des abus concerné.
Comment reconnaître un mail de phishing, concrètement
La plupart des articles vous donnent une définition et vous laissent vous débrouiller. Ce n'est pas utile. Ce qu'il faut, c'est une méthode.
1. L'objet : cherchez l'urgence artificielle
Demande urgente (« valider votre compte ! »), inattendue, ton menaçant ou trop attrayant. C'est le premier filtre. Un message qui vous presse de cliquer maintenant veut vous empêcher de réfléchir. C'est précisément le but.
2. L'expéditeur : le domaine réel, pas le nom affiché
Regardez l'adresse e-mail complète, pas seulement le nom qui s'affiche. Si le domaine (@gmail.com, @outlook.fr, ou une adresse fantaisiste) n'est pas celui de l'organisme prétendu, c'est suspect. Nuance importante : voir le bon domaine ne suffit pas à vous rassurer, un nom d'affichage peut être usurpé. Mais l'inverse est un signal fort.
3. Le lien : survolez, sans cliquer
Passez la souris sur le lien. L'URL réelle apparaît en bas du navigateur. Si elle ne pointe pas vers le domaine officiel de l'organisme — même si le logo est bien reproduit — considérez le message comme très suspect. Le logo ne prouve rien : il se copie en deux minutes.
4. La pièce jointe : méfiance par défaut
Une pièce jointe d'un expéditeur inconnu, ou d'un expéditeur connu mais totalement inattendue, doit vous alerter. Les formats courants (PDF, facture, « relevé ») servent souvent de leurre.
5. La demande d'information : le signal ultime
Toute requête de saisie d'identifiants ou d'informations confidentielles directement en réponse au mail, ou via un site vers lequel il vous redirige, est très suspecte. Un principe simple à retenir : aucun service légitime ne vous demandera votre mot de passe en dehors de son site d'authentification centralisé. Jamais.
Si vous ne devez retenir qu'une chose : en cas de doute, ne cliquez pas. Transférez le message à l'adresse officielle de gestion des abus de l'organisme concerné.
Exemples de phishing en français : ANTAI, Gendarmerie, impôts
Le phishing francophone a une particularité : il usurpe massivement les organismes que tout le monde craint. Amendes, convocations, remboursements d'impôts. Le levier n'est pas la curiosité, c'est la peur.
Comment reconnaître un faux mail ANTAI ?
L'ANTAI gère les amendes routières. Un faux message va vous annoncer une contravention non payée, avec un lien pour « régulariser » sous peine de majoration. Le réflexe : ne cliquez jamais sur le lien du mail. Le domaine de l'ANTAI est officiel et connu — vérifiez que l'URL y correspond. En cas de doute, connectez-vous directement au site officiel par vos propres moyens, jamais via le lien reçu.
Comment reconnaître un faux mail de la Gendarmerie ?
Même logique. Le message évoque une procédure, une plainte, une convocation, et vous presse d'agir. Une force de l'ordre ne vous convoque pas par e-mail avec un lien à cliquer pour « télécharger votre dossier ». Si le ton est menaçant et le lien douteux, c'est le signe.
Spear phishing, whaling, vishing : les variantes à connaître
Le phishing de masse n'est pas la seule menace, et c'est là que beaucoup se font avoir.
- Spear phishing : message ciblé, personnalisé avec votre nom, votre poste, parfois le nom de votre manager. Beaucoup plus crédible.
- Whaling : cible les dirigeants — PDG, DAF — avec des demandes de virement ou de documents confidentiels.
- Vishing : hameçonnage par téléphone. Un « conseiller » vous appelle, le ton est professionnel.
- Smishing : par SMS, avec un lien raccourci.
La variante ciblée est nettement plus dangereuse, parce qu'elle désarme exactement le critère « l'adresse ne correspond pas ». Un spear phishing bien fait utilise une adresse plausible et le bon vocabulaire interne.
Tableau : les canaux d'attaque et leurs signaux
| Canal | Signal principal | Réflexe de vérification |
|---|---|---|
| Adresse d'expéditeur incohérente, urgence | Survoler le lien, vérifier le domaine | |
| SMS | Lien raccourci, expéditeur inconnu | Ne pas cliquer, se connecter au site officiel |
| Appel téléphonique | Ton pressant, demande d'identifiants | Raccrocher, rappeler le numéro officiel |
| Site frauduleux | URL légèrement modifiée (fautes, tirets) | Vérifier l'adresse dans la barre |
Ce tableau n'est pas une garantie. Il vous donne un ordre de vérification, du plus rapide au plus long.
Liste d'adresses e-mail frauduleuses : une fausse bonne idée
On me demande souvent s'il existe une liste officielle des adresses mail frauduleuses. Franchement, ce réflexe part d'une bonne intention mais il vous protège mal.
Une telle liste est toujours en retard. Les attaquants abandonnent une adresse dès qu'elle est signalée et en créent dix autres le lendemain. Chercher à savoir si une adresse précise figure sur une liste, c'est chercher une aiguille qui bouge.
La bonne approche est inverse : au lieu de mémoriser ce qui est mauvais, vérifiez ce qui est légitime. Le domaine officiel d'un organisme ne change pas. C'est un point d'ancrage stable, contrairement aux listes.
Ce qui vous protège réellement, au-delà des réflexes
Reconnaître un message frauduleux, c'est bien. Réduire les dégâts quand vous vous trompez, c'est mieux.
Activez l'authentification multifactorielle partout
C'est le levier le plus efficace dont vous disposez. Même si un attaquant obtient votre mot de passe, le second facteur bloque l'accès. Beaucoup de gens l'activent sur leur banque et nulle part ailleurs. Activez-la sur votre messagerie — c'est elle qui, si elle tombe, donne accès à tout le reste.
Attention : MFA ne veut pas dire invulnérable
Certains attaquants contournent le second facteur en vous poussant à valider vous-même une connexion, ou en vous redirigeant vers une page de connexion factice qui relaie vos codes en temps réel. Le MFA réduit massivement le risque, il ne l'annule pas.
Le reste de l'hygiène numérique
- Filtres anti-spam et logiciels à jour.
- Ne réutilisez jamais le même mot de passe.
- Un gestionnaire de mots de passe vous sauve : il ne remplira jamais un champ sur un faux site (le domaine ne correspond pas).
Le seul critère qui compte vraiment
Le phishing n'exploite pas une faille dans votre ordinateur. Il exploite une faille dans votre attention — un moment de fatigue, une urgence, une peur. C'est pour ça qu'il fonctionne encore, année après année, alors que personne n'ignore plus ce que c'est.
La prochaine fois qu'un message vous presse de cliquer, posez-vous une seule question : est-ce moi qui ai décidé de faire cette action, ou c'est le message qui me l'impose ? Si la réponse est la seconde, vous avez déjà trouvé le piège.
