Un mail de votre "banque" qui vous demande de confirmer vos identifiants. Un SMS de l'ANTAI pour une amende impayée. Un colis soi-disant bloqué chez un transporteur que vous n'avez jamais contacté. La plupart des gens repèrent l'arnaque évidente en trois secondes. Le problème, c'est le reste : les faux mails qui imitent à la perfection votre fournisseur d'énergie, votre comptable, ou le service RH de votre boîte. Ceux-là passent. Et ils passent parce que chercher le logo bizarre ne suffit plus.
J'ai reçu ma dose de ces messages, comme tout le monde. Mais ce qui m'a vraiment formé, c'est de gérer les boîtes mail de deux petites structures : la mienne et celle d'une association. Quand vous êtes le premier filtrage humain devant des dizaines de messages par semaine, vous développez des réflexes. Et vous voyez surtout les erreurs que font vos collègues, celles qui font cliquer au mauvais moment.
Reconnaître les tentatives de phishing par email, aujourd'hui, ce n'est plus une question de flair. C'est une méthode. Je vais vous donner la mienne, celle que j'applique machinalement, avec les quatre signes qui font 90 % du travail, et les vérifications techniques que presque personne ne fait.
Points clés à retenir
- Le logo et la mise en page ne prouvent rien : ils se copient en deux minutes. Ce qui compte, c'est le domaine d'envoi et l'adresse de réponse.
- L'urgence est l'arme principale : un message qui vous presse de cliquer avant une échéance cherche à vous empêcher de réfléchir.
- Survolez toujours un lien avant de cliquer, et regardez le vrai domaine, pas le début de l'URL.
- Aucun organisme sérieux ne vous demandera votre mot de passe, un code de carte bancaire ou vos identifiants par email.
- Un mail douteux non ouvert ne fait rien. Un lien cliqué, si. En cas de doute, on ferme et on contacte l'organisme par un autre canal.
Reconnaître une tentative de phishing par email : la méthode qui marche vraiment
Il y a une chose que je répète à chaque personne que je forme : on ne juge pas un mail sur son apparence. On le juge sur des détails vérifiables. Le logo, la charte graphique, le ton "professionnel" : tout ça se duplique. Un escroc un peu soigneux produit un faux message indistinguable d'un vrai à l'œil nu. C'est justement pour ça que compter sur "ça a l'air louche" vous met en danger.
Ce qui ne se falsifie pas facilement, en revanche, c'est la mécanique d'envoi. Le domaine réel de l'expéditeur. L'adresse de réponse. L'URL de destination. Voilà où il faut regarder.
Quels sont les 4 signes qui permettent d'identifier un email de phishing ?
J'en ai compté quatre, et ce sont ceux sur lesquels je m'appuie en priorité. Aucun n'est infaillible seul. Ensemble, ils attrapent la quasi-totalité des cas :
- L'expéditeur réel ne correspond pas. Le nom affiché dit "Service client" mais l'adresse derrière est un domaine public ou approximatif. Un organisme institutionnel écrit depuis son propre domaine, jamais depuis une adresse Gmail ou une variante mal orthographiée.
- Une urgence ou une menace. Compte suspendu sous 24 h, paiement à régulariser immédiatement, accès coupé si vous ne réagissez pas. La pression temporelle empêche de vérifier.
- Un lien dont l'adresse de destination ne correspond pas au site officiel. On le voit en survolant le lien sans cliquer. Le domaine réel n'a rien à voir avec l'organisme prétendu, ou il imite le vrai avec une lettre en trop.
- Une demande d'information confidentielle. Identifiants, mot de passe, données de carte bancaire, code de validation reçu par SMS. Aucun service légitime ne réclame ça par email.
Ces quatre signes recouvrent aussi les pièces jointes douteuses, qui tombent généralement dans la catégorie "demande inhabituelle" : une facture .zip d'un inconnu, un document à ouvrir pour "consulter votre remboursement". Un fichier que vous n'attendiez pas, c'est un signe à part entière.
Pourquoi se fier au logo est une erreur
Le logo usurpé, c'est l'erreur que je vois le plus souvent. Les gens se rassurent : "il y a bien le logo, ça doit être eux". Sauf que reproduire une charte graphique demande moins de travail que de rédiger le mail. Les escrocs le font très bien. Le logo n'est pas une preuve d'authenticité, c'est un décor.
Franchement, dès que je vois quelqu'un se rassurer par le logo, je sais qu'il va se faire avoir un jour ou l'autre. Ce n'est pas le visuel qu'il faut lire, c'est l'entête.
Vérifier l'entête d'un email : le réflexe que presque personne n'a
Voici l'angle dont on ne parle presque jamais, et c'est celui qui change tout. Chaque mail transporte des informations invisibles dans sa version standard : l'expéditeur réel, l'adresse de réponse, et le chemin technique qu'il a emprunté. Sur la plupart des messageries, ces données sont accessibles en quelques clics.
Ce que vous y cherchez tient en une question : est-ce que l'adresse de réponse diffère de l'adresse d'envoi ? C'est un signal fort. Certains faux messages affichent une adresse correcte en façade, mais redirigent vos réponses vers une boîte tierce. Si l'expéditeur annoncé est "[email protected]" et que le "reply-to" pointe vers un domaine inconnu, vous avez votre réponse.
SPF, DKIM, DMARC : ce qu'ils vous disent
Sans entrer dans la technique pure, sachez que trois mécanismes d'authentification existent côté serveur : SPF, DKIM et DMARC. Ils permettent en théorie de vérifier qu'un mail vient bien du domaine qu'il prétend. Quand un message échoue à ces contrôles, certaines messageries le signalent discrètement, ou le classent en spam.
Je ne vais pas vous demander de lire des en-têtes bruts tous les matins, ce serait irréaliste. Mais savoir que cette couche existe change votre rapport au mail : un message qui "a l'air bon" peut porter des traces d'un envoi douteux. Et si vous gérez une structure, activer DMARC sur votre propre domaine protège vos contacts et votre réputation.
Comment reconnaître un faux mail ANTAI ?
Le cas de l'ANTAI revient sans arrêt, parce qu'il joue sur une peur très efficace : l'amende. La logique reste la même que partout ailleurs. Un organisme public n'écrit pas depuis une adresse au domaine approximatif. Il ne vous presse pas de payer via un lien dans le corps du message vers une page de paiement sortie de nulle part. Et il vous oriente vers ses propres services officiels, pas vers un raccourcisseur de lien.
Le réflexe : ne cliquez pas depuis le mail. Si un doute persiste, rendez-vous vous-même sur le site de l'organisme concerné en tapant l'adresse à la main, ou par un canal que vous connaissez déjà. Un vrai message d'amende se retrouve de toute façon via les procédures habituelles.
Exemples de phishing : ce que ça donne concrètement
La théorie ne convainc personne. Voici à quoi ressemblent les cas réels, schématisés.
| Type d'arnaque | Le prétexte | Le signal qui trahit |
|---|---|---|
| Phishing bancaire | "Une connexion suspecte a été détectée, confirmez votre identité" | Lien vers une fausse page de connexion, demande d'identifiants et de code SMS |
| Faux transporteur | "Votre colis est bloqué, réglez des frais de douane" | Petit montant demandé, lien de paiement, expéditeur inconnu |
| Faux fournisseur d'énergie | "Votre facture est impayée, coupure imminente" | Urgence artificielle, pièce jointe à ouvrir, domaine d'envoi douteux |
| Faux service RH | "Mettez à jour vos coordonnées bancaires pour la paie" | Demande de données bancaires par mail, ton pressant |
Regardez la colonne de droite. Dans les quatre cas, ce n'est jamais le prétexte qui trahit l'arnaque, c'est le mécanisme : un lien, une pièce jointe, une demande d'info sensible, un domaine douteux.
Signaler une tentative de phishing par SMS
Le SMS suit exactement la même logique que le mail, avec un canal différent. Le réflexe utile : ne répondez pas, n'appelez pas le numéro indiqué, et ne cliquez sur aucun lien. Pour les messages frauduleux, il existe un numéro de signalement dédié aux spam et tentatives d'escroquerie par SMS. En cas de doute sur un numéro, mieux vaut ne rien faire depuis le message et vérifier par un canal officiel.
Que faire en cas de phishing email ?
Deux situations, deux réactions. Et la différence entre les deux compte énormément.
J'ai reçu un mail suspect, mais je n'ai pas cliqué
Vous êtes dans le bon cas, le plus simple. Vous ne faites rien depuis le message : pas de clic, pas de réponse, pas de pièce jointe ouverte. Vous pouvez le signaler à votre service informatique si vous êtes en entreprise, et contribuer au signalement des messages frauduleux auprès des dispositifs publics prévus à cet effet. Puis vous supprimez.
J'insiste sur un point : répondre, même pour insulter l'expéditeur, c'est confirmer que votre adresse est active. Vous passez d'une cible au hasard à une cible "vivante". Ne répondez jamais.
J'ai cliqué, ou pire, j'ai saisi mes identifiants
C'est là qu'il faut agir vite, mais sans panique. L'ordre des priorités :
- Changez le mot de passe du compte concerné, et partout où vous l'avez réutilisé. Un mot de passe unique par service, c'est la vraie protection.
- Activez la double authentification si ce n'est pas déjà fait. Elle bloque la majorité des accès même quand le mot de passe a fuité.
- Prévenez votre banque immédiatement si des données bancaires ont été saisies. Le temps joue contre vous.
- Signalez le message aux dispositifs officiels et à votre service informatique le cas échéant.
Une erreur que j'ai commise une fois, et que je ne referai pas : j'ai mis trois jours à changer un mot de passe après avoir cliqué sur un lien douteux, en me disant que "ça allait". Trois jours, c'est une éternité pour quelqu'un qui a récupéré vos accès. Traitez-le dans l'heure.
La "liste des adresses frauduleuses" : utile, mais pas magique
On voit circuler des listes d'adresses mail frauduleuses. Elles peuvent dépanner, mais elles sont toujours en retard. Les escrocs changent de domaine en quelques heures, parfois moins. Bloquer une adresse précise, c'est fermer une porte pendant que dix autres s'ouvrent.
La vraie défense n'est pas une liste, c'est la méthode que je viens de décrire : domaine, urgence, lien, demande d'info. Une méthode s'applique à des cas que vous n'avez jamais vus. Une liste, non.
Les erreurs qui vous feront tomber
Ce n'est pas la naïveté qui fait cliquer les gens. C'est le contexte.
Le mail arrive pile quand vous attendez un remboursement. Ou quand vous venez de commander un colis. Ou un vendredi à 18 h, quand vous êtes fatigué et pressé. Les escrocs ne visent pas les crédules, ils visent les moments de fatigue et d'inattention. J'ai vu des personnes très méfiantes se faire avoir sur un faux message de fournisseur reçu un jour de rush, parce que le prétexte collait parfaitement à leur actualité.
Les trois erreurs que je vois le plus :
- Se rassurer par le logo ou la mise en page.
- Cliquer pour "vérifier" par curiosité, sans survoler le lien avant.
- Répondre au message pour demander des explications, ce qui confirme votre adresse.
Chacune a la même cause : agir avant de vérifier. La vérification prend dix secondes. Le nettoyage après une fuite de données prend des semaines.
Le seul réflexe qui compte au final
Si je ne devais garder qu'une seule habitude de tout ça, ce serait celle-ci : ne jamais faire confiance au canal lui-même. Un mail n'est jamais une preuve d'identité. Qu'il affiche un logo, un ton officiel, une signature, une mise en page impeccable, ça ne veut rien dire. Le seul moyen de vérifier un message, c'est de sortir de ce message et d'aller vérifier par un autre chemin.
Votre banque vous écrit ? Vous ne cliquez pas dans le mail, vous ouvrez l'application. L'ANTAI vous menace ? Vous tapez l'adresse vous-même. Un service RH demande vos coordonnées bancaires ? Vous passez un coup de fil à la personne, un vrai.
Et il y a une chose que je n'ai pas résolue, même après tout ce temps : la première seconde. C'est dans cette première seconde, avant que le cerveau ne s'active, qu'on clique. Toute la méthode du monde ne sert qu'à gagner ce délai. Alors la prochaine fois qu'un mail vous presse, demandez-vous juste une chose : pourquoi est-ce que quelqu'un voudrait que vous agissiez si vite ?
