Phishing : reconnaître les emails frauduleux avant qu'il ne soit trop tard

Cette semaine, j'ai failli cliquer. Le mail venait d'un « service comptabilité » avec le bon logo, la bonne signature, la bonne formule de politesse. Tout était là. Sauf que le bouton « Voir la facture » pointait vers une adresse en document-secure-4829.xyz. Un détail. Un détail qui aurait suffi à vider un compte en trois minutes.

Le phishing, ou hameçonnage, reste la porte d'entrée numéro un des attaques contre les particuliers et les entreprises. Pas parce qu'il est sophistiqué. Parce qu'il joue sur une mécanique humaine qui ne se patche pas : l'urgence, la confiance, la peur de rater quelque chose. Voici comment repérer un faux mail avant de tomber dedans — et quoi faire quand c'est déjà trop tard.

Reconnaître un email frauduleux : les signaux qui ne trompent pas

Un mail de phishing vise toujours la même chose : vous faire agir vite, sans vérifier. Tout le reste — le logo, la mise en page, le ton professionnel — n'est que décor. Le décor est facile à copier. Le comportement demandé, lui, trahit presque toujours l'arnaque.

Objet, expéditeur, ton : la trilogie suspecte

L'objet est souvent votre premier indice. « Action requise : votre compte sera suspendu », « Dernier rappel avant blocage », « Colis en attente de livraison ». Ces formulations créent un stress artificiel. C'est volontaire. Un cerveau stressé lit moins attentivement, clique plus vite, réfléchit moins.

Regardez ensuite l'adresse d'expéditeur. Pas le nom affiché — le nom affiché, lui, se remplace en deux clics. L'adresse réelle, elle, est plus révélatrice. [email protected] n'a rien à voir avec [email protected]. Le premier est un domaine loué la veille pour quelques euros.

Et le ton ? Un vrai service client qui vous écrit reste neutre. Un fraudeur monte le volume : menaces voilées, fautes d'orthographe glissées par négligence ou par traduction automatique, formules de politesse bancales. Franchement, une banque qui vous vouvoie correctement pendant huit ans ne se met pas soudain à vous écrire en langage télégraphique.

Survolez le lien avant de cliquer — toujours

C'est le geste que je répète le plus souvent quand on me demande conseil. Sans clic, sans appui long, promenez simplement votre curseur sur le bouton. L'adresse de destination s'affiche en bas du navigateur. Comparez-la au domaine attendu.

• Le piège du sous-domaine : banque-officielle.fr.mon-site-pirate.com commence par le bon nom. Le vrai domaine, celui qui compte, est celui qui suit le dernier point avant le slash.
• Les raccourcisseurs : bit.ly, tinyurl, t.co dans un mail bancaire ? Aucune raison légitime.
• L'homoglyphe : un « rn » à la place de « m », un « 0 » à la place du « o ». arnazon au lieu d'amazon.
• Le HTTPS trompeur : le cadenas sécurise la connexion, il ne certifie pas l'honnêteté du site. Un site de phishing peut très bien l'avoir.

La règle que je me suis imposée : je ne clique jamais sur un lien reçu dans un mail. J'ouvre un nouvel onglet, je tape l'adresse à la main, ou je passe par l'application officielle. Trois secondes de plus. Des milliers d'euros potentiellement économisés.

Lire l'en-tête d'un mail : la méthode que peu de gens connaissent

Voilà l'angle dont presque personne ne parle dans les guides grand public. Quand un mail vous paraît suspect malgré tout — bonne adresse apparente, ton crédible, mise en page soignée — il reste une vérification technique accessible à n'importe qui. L'en-tête du message.

Dans Gmail : ouvrez le mail, cliquez sur les trois points en haut à droite, puis « Afficher l'original ». Dans Outlook : « Propriétés » du message. Vous obtenez un bloc de texte brut avec des lignes comme Received, Return-Path, Authentication-Results.

SPF, DKIM, DMARC : ce que ces trois sigles racontent

Ces trois mécanismes d'authentification permettent normalement de vérifier qu'un mail vient bien du domaine qu'il prétend. Si l'en-tête indique spf=fail ou dmarc=fail, le message n'a pas été envoyé depuis l'infrastructure légitime de l'expéditeur affiché. C'est presque toujours un faux.

Indice dans l'en-tête	Ce que ça signifie	Niveau de risque
spf=pass, dkim=pass, dmarc=pass	Le mail vient bien du domaine affiché	Faible (mais le compte peut être piraté)
spf=softfail ou neutral	Envoi non authentifié depuis le domaine prétendu	Élevé — méfiance
spf=fail, dmarc=fail	Le domaine affiché n'a jamais envoyé ce mail	Quasi-certitude de fraude
Return-Path différent du « From »	Réponses redirigées vers une autre adresse	Très suspect

Je vais être honnête : au début, je ne comprenais rien à ces lignes. J'ai passé une soirée entière à me demander pourquoi mon propre mail légitime affichait spf=neutral — c'était juste un service d'envoi mal configuré côté fournisseur. Ces indicateurs ne sont pas parfaits. Mais quand spf=fail apparaît sur un message d'une banque, il n'y a plus vraiment de débat.

Exemple de mail de phishing : décryptage ligne par ligne

Prenons un cas réel que j'ai reçu l'an dernier, adapté en version générique.

Objet : « Votre abonnement streaming : échec de paiement — action sous 48 h »

Expéditeur affiché : « Service Abonnement » — pas de nom précis, ce qui aurait dû m'alerter immédiatement.

Expéditeur réel : [email protected] — un domaine qui n'appartient à aucun service de streaming connu. Le vrai domaine officiel se serait terminé par le nom de la marque.

Corps du message : un paragraphe court, un ton légèrement menaçant, un bouton « Mettre à jour mon paiement ». En bas, une mention de copyright sans l'année. Détail minuscule, mais les vraies entreprises mettent à jour ce genre de chose automatiquement.

Le lien : survolé, il pointait vers un sous-domaine de secure-billing-portal.net. Aucun rapport.

Les détails qui trahissent un faux mail

• L'absence de votre nom : un vrai service vous appelle par votre prénom ou votre nom complet.
• Le fond de couleur légèrement décalé, la typo qui louche sur une phrase : un site copié-collé laisse des traces.
• Le lien qui pointe vers un domaine sans rapport avec la marque.
• Pas de numéro de téléphone ni d'adresse postale vérifiable en pied de page.
• Une pièce jointe inattendue en format exécutable (.exe, .zip protégé par mot de passe).

Aucun de ces indices, pris isolément, ne prouve la fraude. Combinés, ils forment une signature. Et cette signature revient encore et encore.

« J'ai reçu un mail suspect » : la marche à suivre

Question qu'on me pose souvent. Premier réflexe : ne répondez pas, ne cliquez pas, ne transférez pas non plus à vos contacts. Un mail de phishing transféré à la légère peut piéger quelqu'un d'autre.

Vérifier une adresse mail frauduleuse

Deux outils publics rendent ce travail rapide. Phishing Initiative permet de soumettre une URL suspecte pour analyse et de consulter celles qui ont déjà été signalées. De leur côté, les autorités et les banques mettent à disposition des procédures de signalement claires. Pour une adresse mail seule, il suffit souvent de chercher le domaine sur un moteur : s'il est tout récent et apparaît uniquement dans des forums de signalement, vous avez votre réponse.

Que faire en cas de phishing : la procédure quand on a déjà cliqué

Là, on ne réfléchit plus, on agit dans l'ordre.

1. Changez immédiatement le mot de passe du service usurpé, et partout où vous l'utilisiez. Oui, partout. Beaucoup d'entre nous recyclons les mêmes mots de passe par flemme — c'est exactement ce que les fraudeurs exploitent.
2. Contactez votre banque dans l'heure. Opposez la carte si un numéro a été saisi. Chaque minute compte.
3. Signalez le site sur cybermalveillance.gouv.fr ou via la plateforme nationale de signalement de contenus illicites. Ce sont des outils publics, gratuits, et ils servent réellement à retirer des sites frauduleux.
4. Déposez plainte si des sommes ont été débitées. Sans plainte, aucune démarche de remboursement ne pourra aboutir.
5. Surveillez vos comptes pendant plusieurs semaines. Un fraudeur teste souvent des micro-prélèvements avant de passer à la caisse.

J'ai vu une connaissance s'en sortir très bien avec cette séquence pourtant démarrée avec un retard de deux jours. Le pire, ce n'est jamais le clic — c'est le silence après le clic.

Spear phishing : quand le faux mail vous connaît personnellement

Le phishing de masse se repère relativement facilement : adresses bizarres, fautes grossières, ton générique. Le spear phishing, lui, vise une personne précise. Il cite votre vrai supérieur, votre vrai fournisseur, votre vrai projet en cours.

Pourquoi il trompe même les plus prudents

Parce qu'il ne joue pas sur l'ignorance, mais sur la confiance déjà établie. Un mail signé du nom de votre directeur, avec une référence à un dossier que vous suivez réellement, demandant un virement urgent un vendredi après-midi. Tout y est. Sauf une vérification téléphonique à faire avant de valider le virement.

C'est cette vérification par un canal indépendant qui déjoue la quasi-totalité de ces tentatives. Jamais un autre mail, jamais un SMS. Un appel. Direct. La voix au bout du fil confirme ou démentit en dix secondes.

Et c'est là que tout se joue : aucune technologie ne remplacera ce coup de fil. Les filtres de messagerie bloquent beaucoup, mais pas tout, et pas les bons coups. La dernière ligne de défense, c'est une personne qui prend trente secondes pour vérifier. Ce n'est pas grand-chose. C'est souvent toute la différence.