Pour reconnaître un email de phishing, un réflexe suffit le plus souvent : vérifier l’adresse réelle de l’expéditeur et se méfier de tout message qui crée un sentiment d’urgence ou qui demande vos informations personnelles. Le phishing (ou hameçonnage) est une tentative d’escroquerie qui imite un organisme de confiance (banque, impôts, transporteur) pour vous pousser à cliquer sur un lien ou à livrer vos données. Bonne nouvelle : ces messages laissent presque toujours des indices. Voici comment les repérer sans stress.
Les signaux qui trahissent un email de phishing
Un message frauduleux cumule généralement plusieurs anomalies. Prises isolément elles ne prouvent rien mais leur accumulation doit vous alerter.
Une adresse d’expéditeur qui ne colle pas
Le nom affiché peut être trompeur. Ce qui compte, c’est l’adresse email réelle, visible en cliquant sur le nom de l’expéditeur. Un message signé « Centre des impôts » mais envoyé depuis une adresse en @gmail.com ou depuis un nom de domaine approximatif (une lettre en trop, un .net au lieu du .fr officiel) est presque toujours une arnaque. Un organisme sérieux écrit depuis son domaine officiel.
Un ton urgent ou menaçant
« Votre compte va être suspendu », « Payez sous 24 h ou vous serez majoré » : l’urgence est le levier préféré des escrocs. Elle vise à vous faire agir vite, sans réfléchir. Un vrai organisme vous laisse le temps et ne menace pas par courriel.
Des fautes et une formule impersonnelle
Fautes d’orthographe, syntaxe bancale, tournures mal traduites : ces défauts se raréfient mais restent fréquents. Méfiez-vous aussi des salutations trop génériques comme « Cher client » ou l’affichage de votre seule adresse email, là où une entreprise qui vous connaît utilise votre nom.
Des liens et pièces jointes suspects
Avant de cliquer, survolez le lien avec la souris sans appuyer : l’URL réelle s’affiche. Si elle ne correspond pas au site officiel, ne cliquez pas. Sur smartphone, un appui long affiche la destination. Quant aux pièces jointes inattendues (fausse facture, prétendu colis), ne les ouvrez jamais : elles peuvent contenir un virus.
Une demande d’informations confidentielles
Aucune banque, aucune administration ne vous réclamera par email votre mot de passe, votre code de carte bancaire ou vos identifiants. Toute demande d’informations personnelles ou financières par courriel doit être considérée comme suspecte par défaut.
La checklist pour vérifier un email en 30 secondes
Passez chaque message douteux au crible de ces points :
- Expéditeur : l’adresse email réelle correspond-elle bien au domaine officiel de l’organisme ?
- Destinataire : le message vous est-il vraiment adressé, ou concerne-t-il un service que vous n’utilisez pas ?
- Ton : y a-t-il une pression, une menace ou une urgence anormale ?
- Langue : fautes, formule impersonnelle, mise en page approximative ?
- Lien : l’URL affichée au survol pointe-t-elle vers le site officiel ?
- Pièce jointe : est-elle attendue et de source sûre ?
- Demande : vous réclame-t-on des données confidentielles ou un paiement immédiat ?
Un seul « oui » suspect suffit à justifier la prudence.
Les arnaques par email les plus courantes
Les scénarios changent mais les recettes se répètent. Reconnaître ces classiques aide à garder son sang-froid :
- Faux avis de livraison : un « transporteur » signale un colis bloqué et réclame des frais ou vos coordonnées.
- Fausse facture : un fournisseur prétendu vous pousse à ouvrir une pièce jointe ou un lien.
- Faux remboursement : les impôts ou un service vous « doivent » de l’argent, contre vos données bancaires.
- Faux support technique : un message au nom d’un grand éditeur signale un problème urgent sur votre compte.
- Changement de RIB : un email demande de virer vers de nouvelles coordonnées bancaires. En cas de doute, appelez l’entreprise sur son numéro habituel.
Les bons réflexes face à un message douteux
Le premier réflexe est de ne rien faire dans la précipitation. Concrètement :
- Ne cliquez pas sur les liens et n’ouvrez aucune pièce jointe.
- Pour vérifier, connectez-vous au site officiel directement, via vos favoris ou une recherche, jamais par le lien du message.
- Si l’email semble venir d’un proche ou d’un collègue, confirmez par un autre canal (téléphone), car une adresse peut être usurpée.
- Au bureau, transférez le message au service informatique avant toute action.
- Une fois le doute levé, supprimez le message et videz la corbeille.
Que faire si vous avez déjà cliqué ?
Pas de panique : cliquer ne suffit pas toujours à causer un dommage, et des gestes simples limitent les risques. Si vous avez saisi vos identifiants sur un faux site, changez immédiatement votre mot de passe sur le vrai site, ainsi que sur tout autre service où vous l’utilisiez. Si vous avez communiqué des données bancaires, contactez votre banque pour faire opposition et surveiller vos comptes. Lancez ensuite une analyse antivirus si vous avez ouvert une pièce jointe. Vous pouvez enfin signaler la tentative, ce qui aide à protéger les autres et à faire fermer les sites frauduleux.
Questions fréquentes sur le phishing
Un email peut-il être dangereux si je l’ouvre sans cliquer ?
Ouvrir un email pour le lire est rarement risqué. Le danger vient surtout des liens et des pièces jointes. Tant que vous ne cliquez sur rien, vous gardez la main.
L’adresse de l’expéditeur est-elle une preuve fiable ?
Non. Une adresse peut être usurpée pour paraître légitime. Elle reste un bon indice, mais il faut la croiser avec les autres signaux et vérifier par un canal indépendant en cas de doute.
Comment distinguer un vrai email de ma banque d’un faux ?
Votre banque ne vous demandera jamais vos codes par email et ne vous mettra pas la pression. Dans le doute, n’utilisez pas le lien reçu : ouvrez vous-même l’application ou le site officiel de votre banque.