Phishing email : les signes qui doivent alerter

Un email arrive dans votre boîte. L'objet vous interpelle : "Alerte de sécurité", "Remboursement immédiat" ou "Votre compte va être suspendu". Votre premier réflexe est de cliquer. C'est exactement ce qu'attend l'expéditeur. Le phishing, ou hameçonnage, repose sur un principe simple : vous faire agir sans réfléchir. Les cybercriminels imitent des marques, des administrations ou même vos proches pour soutirer vos identifiants, vos coordonnées bancaires ou vos mots de passe. Voici les signaux d'alarme à repérer avant d'ouvrir une pièce jointe ou de cliquer sur un lien.

Les signes qui ne trompent pas dans un email frauduleux

Les attaques sont de plus en plus soignées. Mais elles laissent presque toujours des traces. Si vous en repérez un seul, ne cliquez pas. Contactez l'expéditeur présumé par un autre moyen (téléphone, SMS, application officielle) pour vérifier.

Une adresse d'expédition qui cloche

Le nom d'affichage peut dire "Service Client Orange", mais l'adresse email réelle est un mélange de lettres et de chiffres sans rapport : support@orange-securite-xyz.com ou compte-client@free.fr. Passez la souris sur le nom de l'expéditeur ou ouvrez les détails du message pour voir l'adresse complète. Les vrais services utilisent un domaine qui correspond exactement à leur nom officiel (orange.fr, ameli.fr, impots.gouv.fr). Une faute d'orthographe dans le nom de domaine est un drapeau rouge immédiat.

Un objet qui joue sur l'urgence ou la cupidité

Les objets des emails de phishing sont conçus pour court-circuiter votre jugement : "Votre compte a été bloqué", "Dernier rappel avant suspension", "Vous avez gagné 500 euros", "Remboursement en attente". Ils créent un sentiment d'urgence ou une promesse trop belle. Un vrai service ne vous menace jamais de fermeture immédiate par email. Une offre mirobolante est presque toujours un appât.

Une mise en forme douteuse

Même si les cybercriminels améliorent leurs copies, beaucoup de mails frauduleux présentent encore des défauts : logo flou ou déformé, polices de caractères différentes, couleurs qui ne correspondent pas à la charte de la marque, fautes d'orthographe ou de grammaire. Un email professionnel soigné ne contient pas de coquilles. Si la mise en page semble bricolée, c'est un signe.

Une pièce jointe inattendue

Recevoir un fichier joint (PDF, Word, Excel, Zip) sans l'avoir demandé est un signal fort. Les pièces jointes malveillantes peuvent contenir des virus ou des logiciels espions. Ne les ouvrez pas, même si l'expéditeur vous semble connu. Vérifiez d'abord par un autre canal.

Un message qui vous est adressé de manière générique

Les campagnes de phishing de masse utilisent des formules comme "Cher client", "Cher utilisateur" ou "Madame, Monsieur". Une vraie banque ou un vrai fournisseur d'accès vous appelle par votre nom et prénom, car ils les connaissent. Si le message commence par une formule bateau, c'est un signe d'envoi en masse.

Un lien qui ne mène pas là où il dit

Avant de cliquer, survolez le lien avec votre souris (sans cliquer). Une infobulle affiche l'adresse réelle. Si le texte dit "https://www.banque-populaire.fr" mais que l'adresse réelle est "http://banque-populaire-securise.xyz", ne cliquez pas. Les fraudeurs utilisent des adresses qui ressemblent à l'originale mais avec une lettre changée ou un domaine différent (.xyz, .top, .club).

Une demande d'informations personnelles

Aucun organisme sérieux ne vous demande par email votre mot de passe, votre numéro de carte bancaire, votre code PIN ou votre numéro de sécurité sociale. Si le message vous invite à "confirmer vos coordonnées" ou à "mettre à jour votre compte" en fournissant ces données, c'est une arnaque.

Les formes les plus courantes de phishing par email

Les cybercriminels adaptent leurs scénarios selon la cible. Voici les trois grandes familles que vous risquez de rencontrer.

Le phishing de masse

Le plus répandu. L'escroc envoie des millions d'emails en espérant qu'une infime partie des destinataires morde à l'hameçon. Il usurpe l'identité d'une grande marque (Amazon, PayPal, La Poste, un opérateur téléphonique). Le message est générique, l'offre est alléchante ou alarmiste. Si vous n'êtes pas client du service usurpé, le doute n'est pas permis : supprimez.

Le spear phishing (hameçonnage ciblé)

L'attaquant a fait ses devoirs. Il connaît votre nom, votre entreprise, parfois votre fonction. Le message est personnalisé et semble provenir d'un collègue, d'un fournisseur ou d'un client. L'objectif est de vous faire transférer de l'argent, télécharger un fichier infecté ou révéler un mot de passe. Ce type d'attaque est plus difficile à détecter car il ne comporte pas les maladresses habituelles. Même un email personnalisé peut être frauduleux : vérifiez toujours par téléphone si la demande est inhabituelle.

Le whaling (harponnage)

Une variante du spear phishing qui cible les dirigeants, les responsables financiers ou les services RH. L'email imite une communication interne urgente (demande de virement, validation de facture, changement de coordonnées bancaires d'un fournisseur). Les conséquences financières peuvent être très lourdes pour l'entreprise.

Ce qu'il faut faire immédiatement si vous avez un doute

Vous avez repéré un ou plusieurs des signes ci-dessus. Ne cliquez sur rien, ne répondez pas, n'ouvrez pas de pièce jointe. Suivez ces étapes.

1. Contactez l'expéditeur présumé par un autre canal : appelez le numéro officiel (pas celui dans l'email douteux), envoyez un SMS ou passez par l'application mobile du service. Demandez-lui s'il a bien envoyé ce message.
2. Signalez l'email : si vous êtes en France, vous pouvez transférer l'email frauduleux au service signalement.gouv.fr (le site officiel du gouvernement). Dans votre entreprise, prévenez le service informatique ou votre responsable.
3. Si vous avez déjà cliqué : ne paniquez pas, mais agissez vite. Changez immédiatement le mot de passe du compte concerné (et de tous les comptes qui utilisent le même mot de passe). Contactez votre banque si vous avez saisi des informations bancaires. Faites opposition si nécessaire.

En 2020, plus de 241 000 attaques de phishing ont été signalées en France, soit une augmentation de 110 % par rapport à 2019. 96 % des attaques de phishing passent par l'email. (Source : Proofpoint)

Les erreurs à ne pas commettre face à un email suspect

Même quand on connaît les signes, on peut tomber dans des pièges. Voici les trois erreurs les plus fréquentes.

Répondre pour se désabonner

Vous recevez un email frauduleux et vous cliquez sur le lien "Se désabonner" en bas du message. Mauvaise idée : cela confirme à l'expéditeur que votre adresse est active et que vous lisez vos emails. Vous recevrez encore plus de tentatives. Ne répondez jamais à un email frauduleux, même pour protester. Supprimez-le ou signalez-le.

Ouvrir une pièce jointe "pour voir"

Un fichier joint peut contenir un virus qui s'active dès l'ouverture. Même un PDF ou une image peut être piégé. Si vous n'attendiez pas ce fichier, ne l'ouvrez pas. Vérifiez d'abord.

Cliquer sur un lien depuis son téléphone

Sur un smartphone, il est plus difficile de survoler un lien pour voir l'adresse réelle. Les fraudeurs le savent et ciblent de plus en plus les mobiles. Si vous lisez vos emails sur téléphone, soyez encore plus vigilant. Prenez le temps d'ouvrir l'email sur un ordinateur si vous avez un doute.

Comment protéger votre boîte mail au quotidien

Quelques bonnes pratiques réduisent considérablement les risques.

• Activez le filtre anti-spam de votre messagerie. La plupart des services (Gmail, Outlook, Yahoo) bloquent déjà une grande partie des emails frauduleux. Vérifiez que cette fonction est activée.
• Mettez à jour votre antivirus et votre système d'exploitation. Un antivirus à jour peut détecter un lien malveillant ou une pièce jointe dangereuse avant que vous ne cliquiez.
• Utilisez un mot de passe différent pour chaque service. Si un fraudeur vole votre mot de passe sur un site, il ne pourra pas accéder à vos autres comptes. Un gestionnaire de mots de passe facilite cette tâche.
• Activez la double authentification (2FA) sur vos comptes importants (banque, email principal, réseaux sociaux). Même si un escroc obtient votre mot de passe, il ne pourra pas se connecter sans le code supplémentaire.
• Formez-vous et formez votre entourage. Les personnes âgées ou peu familières avec l'informatique sont souvent les plus vulnérables. Montrez-leur les signes d'un email frauduleux. Une simple vérification peut éviter une arnaque.

Le réflexe qui change tout : ne jamais agir sous pression

Le point commun de toutes les attaques de phishing est l'urgence. L'escroc veut que vous agissiez avant d'avoir le temps de réfléchir. Prenez toujours 30 secondes pour analyser un email qui vous demande une action. Posez-vous trois questions : est-ce que j'attends ce message ? Est-ce que l'expéditeur est vraiment celui qu'il prétend être ? Est-ce que la demande est normale ? Si une seule réponse est non, ne cliquez pas. Contactez l'expéditeur par un autre moyen. Ce réflexe simple vous protégera de la quasi-totalité des tentatives d'hameçonnage.