Hameçonnage (phishing) : reconnaître un e-mail frauduleux en 30 secondes

L’hameçonnage — ou « phishing » en anglais — est un e-mail frauduleux qui imite un organisme de confiance (banque, administration, transporteur, site marchand) pour vous voler vos identifiants, vos coordonnées bancaires ou votre argent. Bonne nouvelle : la plupart de ces messages se repèrent en moins d’une minute. Voici les points de contrôle, dans l’ordre.

1. Regardez l’adresse réelle de l’expéditeur

Le nom affiché (« Votre Banque », « Service client ») ne veut rien dire : il se choisit librement. Ce qui compte, c’est l’adresse après le @, le domaine.

• Un vrai message vient du domaine officiel de l’organisme.
• Un faux utilise souvent un domaine proche mais différent : des tirets en plus, un mot ajouté, une extension étrange, ou des lettres trompeuses (un « rn » qui imite un « m »).

Cliquez ou appuyez sur le nom de l’expéditeur pour afficher l’adresse complète : c’est le premier réflexe, et souvent le seul nécessaire.

2. Méfiez-vous de l’urgence et des menaces

« Votre compte sera bloqué sous 24 heures », « dernier rappel avant frais », « activité inhabituelle détectée »… La pression est la signature de l’arnaque : elle vous pousse à agir sans réfléchir. Un organisme sérieux ne menace pas par e-mail et vous laisse toujours le temps de vérifier.

3. Survolez les liens avant de cliquer

Le texte d’un lien peut afficher une adresse et en cacher une autre.

1. Sur ordinateur, passez la souris sur le lien sans cliquer : la vraie destination s’affiche en bas de la fenêtre ou dans une infobulle.
2. Sur téléphone, maintenez le doigt sur le lien pour voir l’adresse.
3. Si le domaine ne correspond pas au site officiel, ne cliquez pas.

Astuce : en cas de doute, n’utilisez jamais le lien du message. Ouvrez votre navigateur et tapez vous-même l’adresse officielle du site, ou passez par l’application officielle.

4. Repérez les fautes et le ton bizarre

Fautes d’orthographe, traduction approximative, formules étranges : les messages frauduleux sont souvent mal écrits. Une formule générique (« Cher client ») alors que l’organisme connaît votre nom est aussi un indice — sans être une preuve absolue.

5. Attention aux pièces jointes inattendues

Une « facture », un « avis de passage » ou un « remboursement » en pièce jointe que vous n’attendiez pas ? N’ouvrez rien. Les fichiers joints peuvent contenir un virus, surtout les formats .zip, .exe ou les documents qui vous demandent d’« activer les macros ».

6. Ce qu’on ne vous demandera jamais par e-mail

• votre mot de passe ou vos identifiants complets ;
• vos numéros de carte bancaire avec le code à 3 chiffres ;
• un code reçu par SMS ;
• un paiement en cartes cadeaux (c’est toujours une arnaque).

Trois exemples très courants

Le faux message de votre banque

« Une connexion inhabituelle a été détectée, confirmez votre identité. » Le lien mène à une fausse page qui copie le site de la banque et aspire vos identifiants. La même mécanique existe côté administration, avec de faux e-mails imitant les impôts et promettant un remboursement en échange de vos coordonnées bancaires.

Le faux avis de passage

« Votre colis est en attente, payez 0,99 € de frais. » Ces messages imitent des transporteurs bien identifiés — Colissimo, Chronopost, DHL — pour récupérer votre numéro de carte.

La fausse facture

Adressée surtout aux professionnels : une facture en pièce jointe qui imite un fournisseur courant — EDF, un opérateur télécom — pour un achat jamais fait, avec un virus dedans ou de fausses coordonnées bancaires.

Que faire face à un e-mail suspect

1. Ne cliquez sur rien : ni lien, ni pièce jointe, pas même « se désabonner ».
2. Signalez le message : la plupart des messageries (Gmail, Outlook…) proposent une option « Signaler comme hameçonnage » ou « Signaler comme spam », en général accessible par un clic droit sur le message dans la liste, ou via une icône ou un menu (souvent trois points verticaux ⋮) en haut de l’e-mail une fois ouvert — l’emplacement exact varie d’une messagerie à l’autre. En France, vous pouvez aussi le transférer à la plateforme Signal Spam.
3. Supprimez-le ensuite.
4. Si le message prétend venir d’un organisme que vous utilisez vraiment, vérifiez par vous-même en vous connectant depuis le site officiel ou en appelant le numéro figurant sur vos documents.

Attention : si vous avez déjà cliqué et saisi des informations, agissez vite : changez le mot de passe concerné — idéalement via un gestionnaire de mots de passe plutôt qu’un mot de passe réutilisé ailleurs —, activez la double authentification si ce n’est pas déjà fait, prévenez votre banque si des données bancaires ont été données, et surveillez vos relevés.

Si vous ne deviez retenir qu’une chose

• Vérifiez le domaine de l’expéditeur, pas le nom affiché : c’est le seul indice qui ne trompe pas.
• Urgence + menace = arnaque, presque toujours.
• Survolez les liens avant de cliquer, n’ouvrez pas les pièces jointes inattendues, et jamais de mot de passe, code SMS ou carte cadeau par e-mail.
• En cas de doute : contactez l’organisme via son site officiel, signalez, supprimez.