Comment reconnaître et éviter les tentatives de phishing par email

Reconnaître et éviter les tentatives de phishing par email : la méthode que j'applique sur chaque message

Hier matin, 7 h 42. Un mail d'apparence anodine : « Votre colis est en attente de livraison, cliquez pour confirmer votre adresse. » Logo impeccable, mise en page propre, signature d'une grande enseigne de transport. J'ai failli cliquer. Puis j'ai regardé l'adresse d'expédition réelle. Le domaine n'avait rien à voir avec le transporteur. Un caractère en trop, un tiret mal placé, une terminaison bizarre. Le mail était faux.

Ça arrive tous les jours, à tout le monde. Un peu plus d'un tiers des mails que je reçois sur mes boîtes perso finissent à la poubelle sans être ouverts, et pourtant il suffit d'un seul moment d'inattention pour que la mécanique fonctionne. Le phishing ne repose pas sur la technique, il repose sur vous, sur votre fatigue, votre peur ou votre précipitation.

Anatomie d'une tentative : pourquoi ça marche encore

Le phishing exploite une confiance que vous avez construite sans y penser : votre banque, votre opérateur téléphonique, votre médecin, le service des impôts. L'attaquant n'a pas besoin d'inventer une histoire crédible de zéro. Il enfile les habits d'une entité que vous connaissez déjà.

Le scénario est presque toujours le même. Une notification vous informe d'un problème : compte suspendu, colis bloqué, facture impayée, remboursement à réclamer. Un bouton ou un lien vous invite à « régulariser » rapidement. Vous cliquez, une page imite le vrai site, vous saisissez vos identifiants ou vos coordonnées bancaires. Terminé.

Ce que les victimes ont en commun

J'ai vu l'an dernier une amie tomber dans un faux mail URSSAF. Formation universitaire, très à l'aise avec l'informatique, aucune naïveté particulière. Elle était en pleine période de déclaration, fatiguée, et le mail est arrivé au bon moment. Le message disait qu'une régularisation était nécessaire sous 24 heures, faute de quoi un prélèvement automatique serait effectué.

Rien dans ce mail n'était techniquement sophistiqué. Pas de faille, pas de malware, pas de piratage. Juste une bonne connaissance de son état mental à cet instant. C'est là que réside l'efficacité du procédé : il ne s'attaque pas à votre système, il s'attaque à votre charge cognitive.

Les cinq signaux que je vérifie systématiquement

1. L'adresse d'expédition réelle (pas le nom affiché, qui peut être n'importe quoi).
2. Le ton d'urgence anormal : un vrai service ne vous menace jamais d'une action immédiate par mail.
3. La demande : identifiants, numéro de carte, code de validation, mot de passe. Aucun organisme légitime ne demande ces informations par mail.
4. Le lien : survolez-le, ne cliquez pas, et regardez l'URL qui apparaît. Le domaine doit correspondre exactement au site officiel, sans sous-domaine suspect ni faute de frappe.
5. Les pièces jointes inattendues : un fichier que vous n'avez pas sollicité, même venant d'un contact connu, mérite un coup de fil de confirmation avant ouverture.

Ce n'est pas exhaustif. C'est ce qui attrape la grande majorité des cas que je rencontre.

Vérifier un mail suspect : la méthode technique que personne ne vous explique

La plupart des articles vous disent de « vérifier l'expéditeur ». Encore faut-il savoir où regarder. Voici comment je procède concrètement, dans l'ordre.

Lire les en-têtes complets

Dans Gmail, ouvrez le mail, cliquez sur les trois points en haut à droite, puis « Afficher l'original ». Dans Outlook, faites « Propriétés » ou « Options du message ». Vous y verrez les en-têtes bruts : c'est là que se cachent les informations que le client mail vous montre en version simplifiée.

Trois champs comptent vraiment :

• From : correspond-il au domaine officiel ? Attention, c'est facile à falsifier.
• Return-Path et Received : l'en-tête Received le plus bas est le premier serveur qui a traité le message. Si vous voyez un serveur situé à l'étranger alors que le prétendu expéditeur est français, c'est un drapeau rouge.
• Authentication-Results : ce champ indique le résultat des vérifications SPF, DKIM et DMARC. Un spf=fail ou dkim=fail est un signal fort.

SPF, DKIM, DMARC : trois protocoles d'authentification que les serveurs de messagerie utilisent pour vérifier qu'un mail vient bien du domaine qu'il prétend. Le SPF liste les serveurs autorisés à envoyer pour un domaine. Le DKIM ajoute une signature cryptographique. Le DMARC combine les deux et indique quoi faire en cas d'échec. Quand les trois échouent, la probabilité de phishing dépasse les 90 % dans mon expérience.

Inspecter le vrai lien

Sur ordinateur, survolez le lien sans cliquer : l'URL complète s'affiche en bas de la fenêtre. Sur mobile, appuyez longuement pour faire apparaître le menu contextuel, sans confirmer. Regardez le domaine principal, celui juste avant le premier slash unique. Dans https://www.mabanque-securite.xyz/login, le vrai domaine est mabanque-securite.xyz, pas mabanque.

Une astuce que j'utilise souvent : je copie le lien, je le colle dans un traitement de texte, et je le lis lentement. À l'écrit, les substitutions deviennent visibles. Un rn à la place d'un m, un 0 à la place d'un o, un tiret de trop. Le cerveau corrige automatiquement ces microdifférences à la lecture rapide. Il ne les corrige pas quand on colle dans un fichier texte.

Le piège du prétexte ANTAI

Le faux mail ANTAI est un classique depuis des années. Il prétend vous informer d'un excès de vitesse ou d'une amende à régler, avec un lien vers un formulaire de contestation ou de paiement. Le raisonnement à tenir est simple : l'ANTAI notifie par courrier postal les infractions routières, jamais par un lien de paiement envoyé par mail. Toute démarche de ce type passe par l'Antai, accessible en tapant l'adresse soi-même dans le navigateur.

Je ne clique jamais sur un lien reçu par mail pour une démarche administrative. Je ferme le mail, j'ouvre un onglet, je tape l'adresse du site officiel dans la barre, je me connecte. Trois secondes de plus, risque nul.

Les réflexes concrets à installer pour éviter les tentatives par email

La règle d'or tient en une phrase : ne jamais cliquer sur un lien reçu par mail pour effectuer une action sensible. Pas parce que tous les liens sont dangereux, mais parce que la vérification manuelle coûte moins cher qu'une erreur.

Rétablir un second canal

Pour toute demande inhabituelle, raccrochez le mail et ouvrez un second canal : appelez le numéro que vous avez sur votre carte bancaire, pas celui indiqué dans le message. Connectez-vous au site par vos propres moyens. Demandez à votre interlocuteur habituel une confirmation orale.

Cette technique s'appelle la validation hors bande. Elle élimine la quasi-totalité des arnaques par usurpation, parce que l'attaquant contrôle le mail reçu, mais pas votre téléphone ni votre navigateur.

Activer ce qui existe déjà

Votre messagerie dispose de protections que vous n'utilisez probablement pas assez :

• L'authentification à deux facteurs sur tous vos comptes sensibles. Un mot de passe volé ne suffit plus.
• Les alertes de connexion par notification ou SMS.
• Un gestionnaire de mots de passe : il refuse de remplir automatiquement un formulaire sur un domaine non reconnu. C'est un détecteur de phishing involontaire, mais redoutablement efficace.
• Les filtres anti-spam du fournisseur, à ne pas désactiver par confort.

Comparer les bonnes et mauvaises pratiques

Situation	Réflexe à risque	Réflexe sûr
Mail de votre banque demandant une confirmation	Cliquer sur le lien du mail	Ouvrir un onglet, taper l'URL officielle
Pièce jointe d'un contact connu	Ouvrir directement	Appeler le contact pour confirmer l'envoi
Message d'un service public annonçant un remboursement	Remplir le formulaire lié	Passer par votre espace personnel officiel
Adresse d'expédition qui semble correcte	Se fier au nom affiché	Lire l'adresse réelle, domaine compris
Urgence « sous 24 heures »	Agir vite pour éviter le problème	Prendre 5 minutes pour vérifier le canal

J'ai reçu un mail suspect, et même cliqué : que faire maintenant ?

La panique ne sert à rien, mais la vitesse compte. Chaque minute passée après une saisie compromettante réduit vos chances de limiter les dégâts.

Si vous n'avez fait que recevoir le mail

Ne répondez pas, ne cliquez sur rien, signalez le message comme spam depuis votre client mail. Pour un signalement officiel, vous avez deux canaux :

• signal-spam.fr pour les emails frauduleux (opéré par Signal Spam, en lien avec les autorités françaises).
• La plateforme PHAROS du ministère de l'Intérieur, si l'arnaque a causé un préjudice ou tente une usurpation d'identité administrative.
• Le service abuse de l'entité usurpée (banque, opérateur, transporteur). La plupart ont une adresse du type abuse@leur-domaine.fr ou un formulaire dédié.

Pour les SMS frauduleux, le réflexe est de transférer le message au 33700, le dispositif officiel de signalement des spams par SMS en France. C'est gratuit et ça alimente les bases utilisées par les opérateurs.

Si vous avez saisi vos identifiants

L'ordre des actions compte :

1. Changez le mot de passe du compte concerné, depuis un appareil propre.
2. Changez les mots de passe identiques ou proches utilisés ailleurs (le « credential stuffing » exploite cette réutilisation).
3. Activez la double authentification si ce n'est pas déjà fait.
4. Prévenez votre banque si des coordonnées bancaires ont été transmises : opposition carte, surveillance des prélèvements.
5. Déposez plainte si un préjudice financier est constaté, avec les captures d'écran du mail et des échanges.

Si vous avez ouvert une pièce jointe

Déconnectez l'appareil du réseau. Ne l'utilisez plus pour vos démarches sensibles. Passez un scan antivirus à jour, et faites analyser le fichier par un service en ligne si vous voulez en savoir plus. En cas de doute sur une compromission sérieuse, réinstallez le système : c'est radical, mais c'est parfois la seule façon d'être certain.

Vérifier une adresse mail frauduleuse : ce qui marche vraiment

La tentation est grande de chercher une « liste noire » des adresses frauduleuses. J'ai fouillé ces listes il y a quelques années, persuadé d'y trouver un raccourci. Perte de temps.

Une adresse de phishing est jetable. Elle vit quelques heures, parfois quelques minutes, puis disparaît. Le temps qu'une liste soit mise à jour et publiée, l'adresse est déjà morte. La seule liste utile est celle des domaines légitimes, et cette liste, c'est vous qui la connaissez : les sites que vous utilisez régulièrement.

Ce qui fonctionne, à l'inverse, c'est vérifier le domaine d'expédition en le comparant à celui du site officiel, enregistré dans vos favoris ou tapé à la main. Un site officiel a un domaine stable, connu, d'une seule pièce. Un domaine frauduleux imite ce domaine avec des variations : monsite-officiel.com au lieu de monsite.com, mon-site.fr au lieu de monsite.fr, ou un sous-domaine qui reprend le nom légitime (monsite.attaquant.net).

Pour les vérifications approfondies, des services en ligne permettent d'analyser une URL sans la visiter (ScanURL, VirusTotal pour les URL, par exemple). Vous collez l'adresse, l'outil vous dit si elle est connue comme malveillante. Ça reste imparfait sur les campagnes très récentes, mais ça filtre beaucoup.

Franchement, sur la durée, le meilleur outil reste votre mémoire : connaître par cœur l'URL de vos trois ou quatre sites sensibles (banque, impôts, messagerie principale) élimine la quasi-totalité des risques. Une adresse tapée soi-même vaut tous les filtres du monde.

Ce qui change, ce qui ne change pas

Les techniques des attaquants évoluent. Les faux sites sont plus soignés qu'avant, les traductions plus propres, les logos plus nets. Les modèles de langage permettent même de rédiger des mails sans fautes, ce qui n'était pas le cas il y a quelques années. J'ai vu passer des tentatives quasi impossibles à repérer à l'œil nu.

Mais la cible reste la même. Votre attention. Votre fatigue. Votre envie de régler un problème vite. Aucune technologie ne vous sauvera si vous cliquez en pilote automatique à 7 h 42 sur un mail qui prétend que votre colis est bloqué.

La bonne nouvelle : la méthode inverse fonctionne. Prendre trois secondes pour se poser une question simple avant chaque clic. Est-ce que cette demande est normale ? Si la réponse est non, vous fermez le mail, vous ouvrez un onglet, vous faites les choses par vos propres moyens. Ce réflexe-là, aucun attaquant n'a réussi à le contourner parce qu'il ne se joue pas sur votre écran.

Il se joue entre votre chaise et votre clavier, dans une seconde de lucidité que vous décidez d'offrir à vous-même.