Comment reconnaître un email de phishing avant de cliquer sur un lien

Un email de votre banque annonce un « accès suspect » à votre compte. Un autre, signé La Poste, réclame des frais de douane pour débloquer un colis. Un troisième, aux couleurs des impôts, promet un remboursement à réclamer « sous 48h ». Dans la majorité des cas, ces messages n'ont rien d'officiel : ce sont des tentatives de phishing (ou hameçonnage), conçues pour vous faire cliquer sans réfléchir et récupérer vos identifiants ou vos données bancaires.

La bonne nouvelle, c'est que ces emails partagent presque toujours les mêmes défauts. Une fois qu'on sait où regarder, il faut rarement plus de dix secondes pour les démasquer, sans même avoir besoin d'ouvrir le lien.

Le premier réflexe : vérifier la vraie adresse d'expéditeur

Le nom affiché dans votre boîte mail (« Crédit Agricole », « Ameli », « Colissimo ») ne prouve rien : n'importe qui peut l'écrire. Ce qui compte, c'est l'adresse réelle, cachée derrière ce nom.

• Sur ordinateur : passez la souris sur le nom de l'expéditeur, ou cliquez dessus pour afficher l'adresse complète.
• Sur mobile : appuyez brièvement sur le nom de l'expéditeur dans l'en-tête du mail.

Une adresse légitime se termine par le vrai nom de domaine de l'entreprise (@ameli.fr, @laposte.fr, @credit-agricole.fr). Méfiez-vous dès que vous voyez :

• un domaine légèrement modifié : ameli-fr.com, credit-agricole-secure.net, laposte-colis.info ;
• une adresse générique sans rapport : contact@gmail.com, service@outlook.fr ;
• une suite de caractères aléatoires avant l'arobase.

L'urgence artificielle, signature numéro un du phishing

« Votre compte sera suspendu dans 24h », « dernier délai avant blocage », « votre colis sera retourné à l'expéditeur » : le phishing repose presque toujours sur la panique. L'objectif est simple, vous empêcher de réfléchir et de vérifier.

Une entreprise sérieuse ne vous met jamais dans une situation où il faut agir dans l'heure sous peine de perdre de l'argent ou un service. Si un email vous presse anormalement, c'est déjà un signal fort. Prenez le temps de vous arrêter, même quelques minutes suffisent à retrouver un jugement plus sûr.

Le lien : ne jamais cliquer avant de l'avoir survolé

Avant tout clic, affichez l'adresse réelle du lien :

• Sur ordinateur : survolez le bouton ou le texte du lien sans cliquer. L'adresse complète s'affiche en bas de la fenêtre du navigateur ou du client mail.
• Sur mobile : appuyez longuement sur le lien (sans relâcher) pour faire apparaître un aperçu de l'URL, puis annulez.

Comparez ensuite ce que vous voyez avec le vrai site de l'organisme. Les signes qui trahissent un lien piégé :

• un nom de domaine différent du site officiel, même s'il y ressemble beaucoup ;
• un raccourcisseur de lien (bit.ly, tinyurl) qui masque la destination réelle ;
• une adresse interminable avec des sous-domaines suspects avant le nom connu, par exemple ameli.fr.verification-compte.com — c'est verification-compte.com le vrai site, pas ameli.fr.

En cas de doute, ne cliquez jamais depuis l'email. Ouvrez un nouvel onglet et tapez vous-même l'adresse habituelle du site, ou passez par l'application officielle.

Pièces jointes : le second vecteur le plus utilisé

Une facture, un « justificatif » ou un « bon de livraison » en pièce jointe peut cacher un fichier piégé, notamment au format .zip, .exe, ou un document Office qui demande d'« activer les macros ». N'ouvrez jamais une pièce jointe non sollicitée, surtout si l'email évoque un achat ou une livraison que vous n'attendez pas. Un fournisseur sérieux ne vous demande jamais d'activer des macros pour lire une facture. Garder un bon antivirus à jour reste une protection utile contre ce type de pièce jointe.

Fautes, mise en forme et logos approximatifs

Les campagnes de phishing sont de mieux en mieux rédigées, mais certains détails trahissent encore beaucoup de tentatives :

• fautes d'orthographe ou tournures de phrase qui sonnent traduites automatiquement ;
• logo flou, étiré ou aux mauvaises couleurs ;
• formule de politesse impersonnelle (« Cher client », « Cher utilisateur ») alors qu'un organisme qui vous connaît utilise votre nom et souvent une référence de dossier ;
• mise en page qui ne ressemble pas exactement aux communications habituelles de l'organisme.

Ce qu'une entreprise sérieuse ne vous demandera jamais par email

Certaines demandes sont un signal d'alarme absolu, quel que soit le reste du message :

• votre mot de passe complet ;
• le code à 3 chiffres au dos de votre carte bancaire (CVV) ;
• un code de sécurité reçu par SMS, à recopier dans un formulaire ou à dicter au téléphone ;
• votre numéro de carte bancaire complet pour « débloquer », « valider » ou « vérifier » un compte.

Aucune banque, aucune administration, aucun opérateur ne vous demandera ces informations par email ou par un lien reçu par email. Si on vous les demande, c'est une tentative de fraude, sans exception.

Les variantes les plus courantes en France

Vous avez déjà cliqué ou donné vos informations ? Les gestes à faire

1. Ne saisissez rien de plus et fermez la page immédiatement si vous êtes encore dessus.
2. Si vous avez donné un mot de passe, changez-le tout de suite sur le vrai site, ainsi que sur tout autre compte où vous utilisiez le même mot de passe.
3. Si vous avez communiqué des données bancaires, contactez votre banque sans attendre pour faire opposition ou surveiller les mouvements (un virement frauduleux peut parfois encore être bloqué s'il n'est pas arrivé), et consultez le site cybermalveillance.gouv.fr pour la marche à suivre détaillée.
4. Activez la double authentification sur vos comptes sensibles si ce n'est pas déjà fait, pour limiter les dégâts en cas de mot de passe compromis.
5. Si un virus a pu s'installer via une pièce jointe, lancez un scan antivirus complet de votre appareil.

Comment signaler un email de phishing

Signaler un email suspect aide à protéger d'autres personnes et permet aux autorités de faire fermer les faux sites plus vite :

• transférez-le au 33700 (numéro court gratuit anti-arnaques en France) ou signalez-le via signal-spam.fr ;
• utilisez le bouton « signaler comme phishing » ou « signaler comme indésirable » de votre messagerie ;
• en cas de préjudice financier, déposez plainte auprès de la police ou de la gendarmerie, muni des captures d'écran de l'email.

Questions fréquentes

Un lien en HTTPS avec un cadenas est-il forcément sûr ?

Non. Le cadenas indique seulement que la connexion est chiffrée, pas que le site est légitime. N'importe qui peut obtenir un certificat HTTPS pour un faux site, y compris pour un nom de domaine imitant une marque connue.

L'email me connaît par mon nom et mon numéro de dossier, est-ce plus fiable ?

Pas nécessairement. Ces informations circulent parfois dans des fuites de données passées et sont réutilisées pour rendre un email plus crédible. Le nom et la référence ne remplacent jamais la vérification de l'adresse d'expéditeur et du lien.

Faut-il répondre à l'email pour signaler l'erreur à l'expéditeur ?

Non, ne répondez jamais à un email suspect : cela confirme aux fraudeurs que votre adresse est active et surveillée, ce qui peut en attirer davantage. Supprimez-le ou signalez-le plutôt via les canaux officiels.

Le phishing est-il aussi dangereux sur smartphone que sur ordinateur ?

Oui, et souvent plus, car les petits écrans masquent une partie de l'adresse et poussent à cliquer plus vite. Les mêmes vérifications (expéditeur, lien, urgence) s'appliquent, en prenant le temps de les faire même sur mobile.