Reconnaître et éviter les tentatives de phishing par email : le guide

Un mail d'ANTAI, 35 euros, « dernière relance avant majoration ». L'expéditeur affiche @antai.gouv.fr, la charte graphique est propre, le lien pointe vers un formulaire de paiement par carte. Le mois dernier, une lectrice m'a transféré exactement ce message en me demandant : « Bon, je paie, ou pas ? » Réponse : vous ne payez rien du tout. L'ANTAI ne réclame jamais d'amende par courriel, et l'adresse affichée n'était qu'un décor peint sur une boutique vide.

Le phishing par email repose presque toujours sur le même ressort : vous faire agir vite, sans vérifier. C'est ce qui le rend si rentable, et c'est aussi ce qui le rend détectable, à condition de savoir où regarder. Je vais vous donner la grille que j'applique moi-même, y compris sur les messages qui paraissent parfaitement légitimes.

Reconnaître un mail de phishing : 5 signaux qui ne trompent pas

Ce que la plupart des gens regardent en premier, c'est le nom affiché de l'expéditeur. C'est précisément ce que les fraudeurs manipulent en priorité. Le nom, on peut écrire n'importe quoi dedans. En revanche, le domaine réel se cache un peu plus loin, et c'est là que tout se joue.

Le domaine réel, celui d'après l'arobase

Survolez l'adresse (sans cliquer) et lisez ce qui vient après le « @ ». C'est la seule partie qui compte. Un faux Ameli circulait avec l'adresse ameli.remboursement@secu-fr.info : le mot « ameli » est là pour vous rassurer, mais le domaine est secu-fr.info. Un vrai message de l'Assurance Maladie ne partira jamais d'un .info.

Méfiez-vous aussi des sous-domaines trompeurs. impots.gouv.fr.verification-id.com commence par « impots.gouv.fr », ce qui saute aux yeux au premier coup d'œil. Le domaine réel, lui, est verification-id.com. La règle est bête : on lit toujours de droite à gauche, en s'arrêtant au premier point qui suit un segment connu.

L'urgence, la menace, la fausse échéance

« Votre compte sera suspendu sous 24 heures. » « Dernière relance avant poursuites. » « Une connexion suspecte a été détectée depuis un appareil inconnu. » Ce vocabulaire n'est pas là par hasard. Il vise à court-circuiter votre réflexion le temps que vous cliquiez. Franchement, c'est le signal le plus fiable de toute la liste : un message qui vous presse est un message qui vous manipule.

Une administration ou une banque ne vous donne jamais un délai de quelques heures pour régulariser une situation. Jamais.

La charte graphique imitée, mais pas tout à fait exacte

Les faux mails sont bien faits. Trop bien faits, parfois. Regardez les détails : un logo légèrement flou, une police qui n'est pas tout à fait la bonne, un pied de page bancal, une signature qui change de style entre deux paragraphes. Ça ne prouve rien à soi seul — un vrai mail peut mal passer sur votre téléphone — mais combiné aux autres signaux, ça confirme le diagnostic.

Le texte du lien et sa cible réelle

Le texte affiché « www.impots.gouv.fr » peut pointer vers n'importe quoi. Sur ordinateur, survolez le lien : la vraie adresse apparaît en bas à gauche. Sur mobile, appuyez longuement dessus pour la voir sans l'ouvrir. Vous découvrirez souvent un domaine inconnu, ou un raccourcisseur du type bit.ly. Un organisme officiel n'utilise pas de raccourcisseur.

Pièces jointes et demandes de données

Une facture PDF « en souffrance », un « relevé » à ouvrir, une « mise à jour de vos coordonnées ». Le fichier joint peut contenir un script qui s'exécute à l'ouverture, ou une page de connexion factice. Et la demande de données, elle, est un aveu : aucun service sérieux ne vous demandera un mot de passe, un code de carte ou un code à usage unique par courriel.

Que faire en cas de phishing email ? La marche à suivre

Vous avez cliqué. Pas de panique : la suite dépend entièrement de ce que vous faites dans les minutes qui suivent. Voici l'ordre que je recommande, testé sur plusieurs cas réels.

1. Ne saisissez plus rien. Fermez l'onglet ou l'application immédiatement, surtout si vous étiez sur un formulaire de paiement.
2. Si vous avez entré un mot de passe, changez-le tout de suite, et partout où vous l'avez réutilisé — c'est souvent le vrai danger.
3. Si vous avez communiqué des données bancaires, appelez votre banque pour faire opposition et surveillez les prélèvements des semaines suivantes.
4. Signalez le message (voir plus bas), puis supprimez-le.
5. Activez la double authentification partout où c'est possible. Un mot de passe volé ne suffit alors plus à rentrer.

J'ai accompagné une petite structure qui avait cliqué sur un faux « espace client » d'un fournisseur d'énergie. Un salarié a saisi ses identifiants, et deux jours plus tard, le compte affichait un changement de coordonnées bancaires. Ce n'est pas un drame financier dans leur cas, mais ça a pris trois semaines à démêler avec le fournisseur. Le changement de mot de passe, lui, aurait pris trente secondes.

Faut-il répondre à un mail suspect ?

Non. Répondre confirme à l'expéditeur que l'adresse est active, et vous exposez à davantage de tentatives. Vous n'avez rien à prouver, rien à justifier. Le silence, suivi d'un signalement, est la meilleure réponse.

Comment signaler une tentative de phishing

Signaler prend trente secondes et aide les autres : deux adresses sont bloquées, une campagne repérée. Deux canaux à connaître.

• Par mail : transférez le message à signal-spam@signal-spam.fr (dispositif public de signalement des spams et tentatives d'hameçonnage). N'ouvrez rien, transférez tel quel.
• Sur la plateforme Cybermalveillance.gouv.fr : vous y trouvez un formulaire de signalement et des fiches par type d'arnaque.
• Pour les SMS frauduleux : transférez le message au 33700, le dispositif officiel dédié. C'est gratuit.
• Depuis votre messagerie : la plupart des webmails proposent un bouton « Signaler un phishing » ou « Signaler comme spam ».

Si vous recevez un faux ANTAI, vous pouvez en plus le signaler directement sur la page dédiée de l'organisme. C'est ce que ma lectrice a fini par faire, après avoir récupéré son souffle.

Comment vérifier une adresse mail frauduleuse sans se faire piéger

La question revient sans cesse : « Comment je sais si cette adresse est fausse ? » Il n'existe pas de liste magique d'adresses frauduleuses, parce que les fraudeurs en changent en permanence. Ce qui ne change pas, en revanche, c'est la méthode de vérification.

La règle : je ne clique pas pour vérifier

Ne cliquez jamais sur un lien pour « voir si c'est vrai ». Un clic peut suffire à enregistrer votre visite et à valider votre adresse. La bonne méthode : ouvrez vous-même le site officiel depuis vos favoris ou en tapant l'adresse à la main, puis connectez-vous à votre espace. Si l'alerte était réelle, vous la retrouverez dans votre espace. Si elle n'y est pas, elle était fausse.

Lire les en-têtes du message

Pour les curieux : dans la plupart des messageries, une option « Afficher l'original » ou « Voir les en-têtes » révèle le véritable expéditeur, celui qui a physiquement envoyé le message. Vous y verrez souvent un domaine qui n'a rien à voir avec l'organisme prétendu. C'est la preuve définitive, mais elle n'est pas nécessaire : le domaine après l'arobase suffit dans la grande majorité des cas.

Et pour l'appel téléphonique : cherchez le numéro ailleurs que dans le mail. Sur le site officiel, sur votre relevé, sur votre carte bancaire. Jamais le numéro inscrit dans le message suspect — c'est un faux centre d'appel qui vous répondra.

Email, SMS, téléphone : où se situe la menace

Le courriel reste le canal le plus utilisé, mais ce n'est plus le seul. Voici comment les tentatives se répartissent en pratique, et ce qui change pour chacune.

Support	Fréquence observée	Signal distinctif	Réflexe adapté
Email	Le plus courant, de loin	Domaine réel après le « @ »	Ne pas cliquer, ouvrir le site à la main
SMS	Très fréquent, en hausse	Numéro inconnu, lien raccourci	Transférer au 33700
Appel téléphonique	Régulier, plus ciblé	Numéro usurpé, insistance	Rappeler le numéro officiel
Messagerie instantanée	Occasionnel	Compte piraté d'un proche	Vérifier par un autre canal

Le motif est identique partout : une urgence fabriquée, une identité usurpée, une demande d'action. Le canal change, la mécanique reste la même.

Les erreurs que je vois le plus souvent

La plus répandue : se fier au nom affiché. « Ça vient de la Banque Populaire », non, ça vient d'une adresse que quelqu'un a baptisée « Banque Populaire ». Le nom ne prouve rien.

La deuxième : cliquer pour vérifier. C'est exactement ce que l'attaquant attend.

La troisième, plus insidieuse : croire qu'on est trop malin pour tomber. Les campagnes actuelles sont personnalisées, avec des noms réels, des montants plausibles, des références qui existent. Un ami développeur s'est fait avoir sur une fausse page de connexion à GitHub. Sa réaction, une fois le piège refermé : « Mais c'était bien fait. » C'était le but.

Se protéger au quotidien : trois habitudes qui changent tout

Rien de spectaculaire ici, mais de l'efficace.

• Activez la double authentification sur vos comptes sensibles (boîte mail principale, banque, réseaux). C'est la mesure qui rapporte le plus.
• Utilisez un gestionnaire de mots de passe. Il remplit vos identifiants uniquement sur le vrai domaine et reste muet sur les faux. Un silence du gestionnaire est un signal en soi.
• Ralentissez. Prenez dix secondes avant de cliquer, surtout quand le message vous presse.

Ces trois habitudes n'éliminent pas le risque, mais elles font tomber la grande majorité des tentatives, parce qu'elles attaquent le point faible de l'arnaque : la vitesse.

Le phishing ne disparaîtra pas. Les outils se sophistiquent, les faux messages ressemblent de plus en plus aux vrais, et l'intelligence artificielle facilite désormais la rédaction de courriels sans faute et bien ciblés. La seule défense durable, ce n'est pas la méfiance permanente — c'est un réflexe simple, appliqué sans exception : on vérifie à la source, jamais dans le message. Le faux ANTAI de ma lectrice n'a pas été démasqué par une intuition. Il l'a été parce qu'elle a ouvert son espace personnel, à la main, et constaté qu'il ne s'y passait rien.