Guides
Comment reconnaître un email de phishing ?
Le phishing ne cherche pas à vous piéger techniquement. Il cherche à vous faire agir vite. Ralentir suffit presque toujours à le désamorcer.
Le phishing — hameçonnage en français — consiste à imiter un organisme de confiance pour obtenir vos identifiants, vos coordonnées bancaires ou un code de validation. Ce n'est pas une attaque informatique : c'est une mise en scène. Elle ne réussit que si vous agissez avant d'avoir vérifié.
Lisez l'adresse réelle de l'expéditeur
Le nom affiché — « Service client », « Ma Banque », « Assurance Maladie » — est du texte libre, choisi par l'expéditeur. Il ne prouve rien. Ce qui compte est l'adresse électronique complète, qu'il faut parfois déplier d'un clic sur le nom.
Une fois l'adresse affichée, appliquez la même lecture qu'à une adresse web : partez de l'extension et remontez d'un cran. Dans « service@securite.ma-banque.fr.alerte-client.net », le domaine réel est « alerte-client.net ».
Examinez les liens sans les ouvrir
Survolez chaque lien sans cliquer : la destination réelle apparaît en bas du navigateur ou de votre logiciel de messagerie. Deux écarts doivent vous arrêter net :
- Le texte affiché montre une adresse, mais la destination réelle est différente. Un lien peut afficher n'importe quoi.
- La destination utilise un domaine proche mais pas identique à celui de l'organisme.
Le bouton « Se connecter » d'un email est le maillon faible du dispositif. Ne le cliquez jamais : ouvrez le site vous-même dans un nouvel onglet.
Repérez la fabrique d'urgence
Une organisation qui vous écrit vraiment vous laisse le temps. Le phishing, lui, dispose de quelques heures avant que son site soit signalé et bloqué. D'où des formules reconnaissables :
- « Votre compte sera clôturé sous 24 heures. »
- « Dernier avertissement avant suspension. »
- « Une connexion suspecte a été détectée, confirmez immédiatement votre identité. »
- « Votre remboursement expire aujourd'hui. »
Ce vocabulaire vise une réaction émotionnelle : la peur de perdre l'accès, ou l'attrait d'un gain qui va disparaître. C'est le signal le plus fiable de tous, car il est indissociable de la méthode.
Ce qu'un organisme ne vous demandera jamais
Demandes normales
- Vous connecter à votre espace client, que vous ouvrez vous-même
- Confirmer un rendez-vous ou une commande
- Télécharger une facture depuis votre compte
- Rappeler le numéro figurant au dos de votre carte
Demandes jamais légitimes
- Communiquer votre mot de passe, par quelque moyen que ce soit
- Donner le code à 3 chiffres au dos de la carte
- Transmettre un code reçu par SMS à un interlocuteur
- Installer un logiciel de prise en main à distance
- Effectuer un virement « de mise en sécurité » vers un autre compte
Méfiez-vous aussi des pièces jointes
Une facture inattendue au format ZIP, un « justificatif » en fichier exécutable, un document qui réclame d'« activer les macros » pour s'afficher : ce sont des moyens classiques d'installer un programme sur votre ordinateur.
Un document légitime s'ouvre normalement et ne vous demande jamais d'autoriser quoi que ce soit pour révéler son contenu.
La marche à suivre en quatre gestes
Ne cliquez sur rien
Ni lien, ni bouton, ni pièce jointe, tant que le doute n'est pas levé.
Vérifiez par un autre canal
Ouvrez le site officiel par vos moyens habituels, ou appelez le numéro figurant sur votre contrat ou au dos de votre carte — jamais celui indiqué dans l'email.
Signalez
Marquez le message comme hameçonnage dans votre messagerie, et signalez-le sur la plateforme Phishing Initiative ou auprès de Cybermalveillance.
Supprimez
Une fois signalé, supprimez le message pour ne pas le rouvrir par mégarde plus tard.
Ressources officielles
- Cybermalveillance.gouv.frDiagnostic en ligne, conseils et mise en relation avec des prestataires référencés.
- Phishing InitiativeSignalement d'une page d'hameçonnage, pour la faire bloquer dans les navigateurs.
- Signalement PharosPlateforme du ministère de l'Intérieur pour les contenus manifestement illicites.
Questions fréquentes
Comment savoir si un email vient vraiment de ma banque ?
Ne cherchez pas à trancher depuis l'email lui-même. Ouvrez votre application bancaire ou tapez l'adresse du site à la main : toute information importante y figure également. Si le message était authentique, vous ne perdez rien ; s'il ne l'était pas, vous évitez tout.
Que faire si j'ai saisi mon mot de passe sur une fausse page ?
Changez-le immédiatement sur le vrai site, ainsi que sur tout autre service où vous utilisiez le même. Activez la double authentification si elle existe. Si le compte concerné est bancaire, appelez votre banque sans attendre et surveillez les opérations.
Le phishing ne concerne-t-il que les emails ?
Non. Le même procédé existe par SMS, par appel téléphonique, par messagerie instantanée et sur les réseaux sociaux. Le mécanisme est identique : imiter un tiers de confiance, créer l'urgence, obtenir une information ou une validation.
À lire ensuite
- Le phishing : comment fonctionne l'hameçonnageL'hameçonnage n'attaque pas les machines : il attaque l'attention. Comprendre son économie explique pourquoi il prend ces formes-là, et pas d'autres.
- Comment vérifier une adresse Internet avant d'acheter ?Une adresse web se lit de droite à gauche. Une fois ce réflexe acquis, la majorité des liens trompeurs se démasquent en deux secondes.
- Que faire après avoir cliqué sur un lien suspect ?Cliquer ne suffit presque jamais à causer un dommage. Ce qui compte, c'est ce qui s'est passé après. Voici comment faire le point sans paniquer.
- Comment reconnaître un faux conseiller bancaire ?L'appel est préparé : votre nom, votre banque, parfois une vraie opération récente. Un seul geste le désamorce, et il est toujours le même.