Tout le monde reçoit un jour ou l’autre un e-mail suspect : une banque, un transporteur, les impôts, une plateforme de streaming ou un réseau social. Certains messages sont grossiers, d’autres sont très bien faits : logo officiel, ton professionnel, mise en page soignée et parfois aucune faute visible.
Voici une méthode simple pour repérer un e-mail de phishing en quelques secondes, avant de cliquer trop vite.
Pour renforcer votre protection au quotidien, vous pouvez aussi consulter notre guide : Les 10 réglages de sécurité à activer dès aujourd’hui .
La méthode en 30 secondes
- Vérifiez l’adresse complète de l’expéditeur, pas seulement le nom affiché.
- Survolez le lien sans cliquer pour voir l’adresse réelle du site.
- Repérez l’urgence artificielle : compte bloqué, délai très court, menace de suspension.
- Ne communiquez jamais un mot de passe, un code SMS ou des données bancaires par e-mail.
C’est quoi un e-mail de phishing ?
Un e-mail de phishing, ou hameçonnage, est un message frauduleux qui se fait passer pour un expéditeur de confiance : banque, administration, transporteur, réseau social, fournisseur d’énergie ou service de paiement.
Son objectif est de vous pousser à cliquer sur un lien piégé, ouvrir une pièce jointe infectée ou communiquer des informations sensibles : mot de passe, code de carte bancaire, numéro de sécurité sociale, code reçu par SMS ou identifiants de connexion.
L’objectif final est presque toujours le même : voler de l’argent, récupérer vos identifiants ou usurper votre identité.
Aujourd’hui, certains messages frauduleux peuvent aussi être rédigés ou améliorés avec des outils d’intelligence artificielle. Ils sont donc parfois plus difficiles à repérer qu’avant : moins de fautes, ton plus naturel, mise en page plus crédible et faux sites mieux présentés.
Les 7 signes qui doivent vous alerter
1. Une adresse d’expéditeur bizarre
Le nom affiché peut indiquer « Support Client », « Ma Banque » ou « Service des impôts », mais l’adresse réelle peut être totalement différente de celle de l’organisme officiel.
Exemple suspect : contact@banque-secure-fr.info
Il faut toujours afficher l’adresse complète de l’expéditeur, surtout si le message vous demande de cliquer, payer, confirmer une information ou agir rapidement.
2. Une urgence artificielle
Les formules comme « sous 24h », « dernier avertissement », « compte suspendu immédiatement » ou « paiement requis aujourd’hui » sont très fréquentes dans les tentatives de phishing.
Le but est simple : vous faire paniquer pour vous empêcher de réfléchir.
Un organisme sérieux ne vous demande presque jamais d’agir dans l’heure par un simple e-mail.
3. Une faute ou une formulation étrange
Une tournure maladroite, une traduction approximative, un mélange de styles ou une phrase qui ne ressemble pas au ton habituel de l’organisme peut être un signal d’alerte.
Attention toutefois : les messages frauduleux contiennent de moins en moins de fautes. Ce critère reste utile, mais il ne doit jamais être utilisé seul.
4. Une pièce jointe inattendue
Une facture, un constat, un document administratif ou un avis de livraison que vous n’attendiez pas ne doit jamais être ouvert sans vérification.
Soyez particulièrement prudent avec les fichiers au format .zip, .exe, ou les documents qui demandent d’activer les macros.
5. Un lien qui ne mène pas au bon site
Le texte d’un lien peut afficher une adresse rassurante, comme « www.impots.gouv.fr », alors que l’adresse réelle pointe vers un tout autre site.
C’est l’un des signes les plus fiables pour reconnaître une tentative de phishing.
Méfiez-vous aussi des variantes trompeuses comme :
- impots-gouv-fr.com au lieu de impots.gouv.fr
- banque-client-securite.net au lieu du vrai domaine de votre banque
- livraison-colis-suivi.info au lieu du site officiel du transporteur
6. Une demande de mot de passe ou de code
Aucune banque, aucune administration et aucun service sérieux ne vous demandera par e-mail votre mot de passe, votre code de carte bancaire ou un code de validation reçu par SMS.
Toute demande de ce type doit être considérée comme frauduleuse.
7. Une offre trop belle pour être vraie
Gain à une loterie à laquelle vous n’avez pas participé, remboursement inattendu, cadeau gratuit, bon d’achat exceptionnel : si l’offre semble trop généreuse pour être crédible, elle est probablement piégée.
Comment vérifier un lien sans cliquer ?
Sur ordinateur, passez simplement la souris au-dessus du lien ou du bouton, sans cliquer. L’adresse réelle s’affiche généralement en bas de la fenêtre du navigateur ou du logiciel de messagerie.
Comparez cette adresse avec le nom de domaine officiel de l’organisme. Le domaine important se trouve juste avant l’extension principale, comme .fr, .com ou .gouv.fr.
Sur mobile, un appui long permet souvent d’afficher l’adresse du lien avant ouverture. Ne validez rien si l’URL vous semble étrange.
En cas de doute, ne cliquez pas. Ouvrez un nouvel onglet, tapez vous-même l’adresse officielle du site, ou utilisez directement l’application de l’organisme concerné.
Exemples fréquents de faux e-mails
- Banque : « Activité suspecte détectée sur votre compte, confirmez votre identité sous 24h. »
- Livraison : « Votre colis est en attente, réglez 1,99 € de frais de douane pour le débloquer. »
- Impôts : « Vous avez droit à un remboursement, cliquez ici pour le recevoir. »
- Amende : « Amende impayée, réglez immédiatement pour éviter une majoration. »
- Compte bloqué : « Votre compte a été bloqué pour activité suspecte. »
- Abonnement expiré : « Votre moyen de paiement a été refusé, mettez à jour vos informations pour continuer votre abonnement. »
Que faire si vous avez un doute ?
Ne cliquez sur aucun lien, n’ouvrez aucune pièce jointe et ne répondez pas au message.
Contactez l’organisme concerné par un canal que vous connaissez déjà : numéro au dos de votre carte bancaire, site officiel tapé directement dans le navigateur, application officielle ou espace client habituel.
Vous pouvez aussi signaler le message via :
- Signal Spam pour les e-mails frauduleux ;
- Phishing Initiative pour les sites de phishing ;
- le 33700 si le message suspect est un SMS.
Que faire si vous avez déjà cliqué ?
- Si vous avez saisi un mot de passe : changez-le immédiatement sur le compte concerné, puis sur tous les autres comptes où vous utilisiez le même mot de passe. Activez aussi la double authentification si possible.
- Si vous avez communiqué des données bancaires : contactez votre banque sans attendre pour faire opposition ou surveiller les opérations suspectes.
- Si vous avez ouvert une pièce jointe : déconnectez l’appareil d’Internet, lancez une analyse antivirus à jour et évitez d’utiliser l’appareil pour vous connecter à des comptes sensibles tant que le doute persiste.
- Si vous avez transmis une pièce d’identité : conservez les preuves et surveillez les signes d’usurpation d’identité.
Dans tous les cas, vous pouvez utiliser le service public 17Cyber pour obtenir un diagnostic en ligne et des conseils adaptés à votre situation.
FAQ
Un e-mail de phishing peut-il venir d’une vraie adresse connue ?
Oui. Si le compte d’un contact, d’une entreprise ou d’un partenaire a lui-même été piraté, un message frauduleux peut venir d’une adresse réelle.
C’est pourquoi le contexte du message compte autant que l’adresse : une demande inhabituelle, même venant d’un contact connu, doit vous alerter.
Les antivirus et filtres anti-spam suffisent-ils à me protéger ?
Non. Ils bloquent une grande partie des tentatives, mais aucun filtre n’est infaillible. Certains messages passent entre les mailles du filet, surtout lorsqu’ils sont bien rédigés ou très ciblés.
Pourquoi certains phishings sont-ils désormais sans aucune faute ?
Parce que certains fraudeurs utilisent des outils de rédaction ou de traduction plus performants, parfois basés sur l’intelligence artificielle. Il ne faut donc plus se fier uniquement à l’orthographe pour repérer une arnaque.
Dois-je supprimer l’e-mail après l’avoir signalé ?
Vous pouvez le supprimer après signalement. Si vous avez cliqué, transmis des informations ou subi un préjudice, conservez plutôt une capture d’écran, l’adresse de l’expéditeur, les liens reçus et les éventuels échanges.
Un cadenas dans la barre d’adresse signifie-t-il que le site est fiable ?
Non. Le cadenas indique surtout que la connexion est chiffrée entre votre appareil et le site. Un site frauduleux peut lui aussi utiliser un certificat valide. Il faut donc vérifier le nom de domaine, pas seulement la présence du cadenas.
Conclusion : les 3 réflexes à retenir
- Vérifiez l’expéditeur : regardez l’adresse réelle, pas seulement le nom affiché.
- Vérifiez le lien : survolez-le avant de cliquer et comparez le domaine avec le site officiel.
- Méfiez-vous de l’urgence : un message qui vous pousse à agir immédiatement cherche souvent à vous faire baisser la garde.
En cas de doute, le meilleur réflexe reste simple : ne cliquez pas depuis l’e-mail. Ouvrez votre navigateur, tapez vous-même l’adresse officielle du service concerné, puis connectez-vous depuis le site ou l’application habituelle.
À lire aussi : Les 10 réglages de sécurité à activer dès aujourd’hui .
