Reconnaitre et éviter les tentatives de phishing : le guide essentiel

Un client m'appelle un mardi matin, paniqué. Il vient de recevoir un email de sa « banque » : soi-disant une nouvelle procédure de vérification, un lien, un délai de 24 heures. Il a cliqué. Il a saisi ses identifiants. Et là, à 9 h 47, il se demande combien de temps il lui reste avant que son compte soit vidé. Spoiler : il n'a pas été vidé, parce qu'il a raccroché avec moi et qu'on a réagi vite. Mais la question qu'il m'a posée ce jour-là, tout le monde se la pose au moins une fois : est-ce que je viens de me faire avoir ?

Reconnaître et éviter les tentatives de phishing ne relève pas du don. C'est une méthode. Le hameçonnage, pour le définir simplement, est cette technique où un cybercriminel se fait passer pour une entité légitime — banque, entreprise, administration — afin de vous soutirer vos identifiants, mots de passe ou informations bancaires. Il le fait par email, SMS, appel téléphonique ou site falsifié. Et l'objectif est toujours le même : que vous donniez vos données volontairement. Le truc, c'est que « volontairement » ne veut pas dire « en connaissance de cause ». Loin de là.

Comment reconnaître une tentative de phishing sans se tromper

La réponse courte : vous regardez le domaine, pas le nom. C'est la vérification qui élimine 80 % des tentatives que je vois passer. Le nom affiché — « Service Client BNP », « Microsoft Security », « Impots.gouv » — est du texte que l'attaquant tape lui-même. Il peut écrire ce qu'il veut. Le domaine, lui, est plus difficile à maquiller.

Prenez un exemple que je croise régulièrement : un message qui semble venir de Microsoft, avec un nom d'affichage propre et un logo correct. Vous dépliez l'adresse et vous lisez [email protected]. Le « rn » remplace le « m ». À l'écran, dans une police sans empattement, ça passe. De près, non.

Les signes qui doivent vous alerter

• Une urgence fabriquée : « votre compte sera suspendu dans 24 h », « dernier avertissement ».
• Une demande d'identifiants, de mot de passe, de code à usage unique, ou de coordonnées bancaires complètes.
• Un lien dont l'adresse réelle (visible en survolant, sans cliquer) ne correspond pas au texte affiché.
• Une pièce jointe inattendue, surtout en .html, .zip ou .exe.
• Un ton bizarre : fautes, formules d'appel génériques (« Cher client »), logique incohérente.
• Un contexte qui ne colle pas : vous n'avez pas de compte chez cet expéditeur, ou vous n'attendiez aucun message de sa part.

Franchement, aucun de ces signes pris seul ne prouve rien. C'est leur accumulation qui est parlante. Un email avec une urgence artificielle et un lien douteux et une demande d'identifiants : vous fermez. Pas de débat.

Quels sont les 4 signes qui permettent d'identifier un email de phishing ?

Si vous ne devez retenir qu'une grille, prenez celle-ci. Elle tient en quatre points et couvre la quasi-totalité des cas.

1. L'expéditeur réel ne correspond pas au nom affiché. Regardez le domaine après l'arobase, pas le libellé.
2. Le lien pointe ailleurs que ce qu'il prétend. Survolez : l'URL réelle apparaît, souvent sur un domaine inconnu ou approximatif.
3. Le message réclame quelque chose d'anormal. Mot de passe, code de validation, numéro de carte, virement urgent.
4. Il y a une pression temporelle. Une échéance courte qui vous pousse à agir avant de réfléchir.

Les quatre ensemble, c'est du phishing quasi certain. Trois sur quatre, vous considérez le message comme hostile jusqu'à preuve du contraire.

L'inspection technique, pour ceux qui veulent aller plus loin

Ouvrez les en-têtes du message (dans Gmail : les trois points puis « Afficher l'original » ; dans Outlook : les propriétés du message). Vous y trouverez les lignes Received, Return-Path, et parfois les résultats d'authentification SPF, DKIM et DMARC. Ce ne sont pas des garanties absolues, mais un échec DMARC sur un message qui prétend venir d'une grande banque est un signal fort. Je ne demande pas à tout le monde de lire des en-têtes. Mais si vous gérez une boîte pro, ça vaut le coup d'apprendre à les lire : c'est ce qui m'a permis de confirmer, sur un dossier, qu'un « fournisseur » écrivait depuis un domaine enregistré trois jours plus tôt.

Quels sont les trois signes les plus révélateurs d'une tactique d'hameçonnage ?

Les quatre signes ci-dessus sont utiles, mais trois d'entre eux sont statistiquement les plus parlants. Ce sont ceux que je vérifie en premier quand un client m'envoie une capture.

• La demande d'identifiants ou de code. C'est le cœur du stratagème. Un service légitime ne vous demandera jamais votre mot de passe.
• Le décalage entre le texte du lien et sa destination réelle. Le texte dit « accéder à mon compte » ; l'URL pointe vers un domaine que vous ne connaissez pas.
• L'urgence. La précipitation est l'outil numéro un. Elle empêche l'utilisateur de vérifier.

Le reste — fautes d'orthographe, mise en page approximative — aide, mais n'est plus fiable. Les attaquants d'aujourd'hui écrivent un français impeccable. Le soupçon doit venir du comportement demandé, pas du style du message.

Comment éviter le phishing : la méthode hors bande

Voici mon opinion, et je la défends : la meilleure protection n'est pas technique, elle est procédurale. Elle tient en une phrase : ne répondez jamais dans le canal où le message arrive. On appelle ça vérifier « hors bande ».

Un email vous demande d'agir ? Vous n'utilisez pas le lien. Vous ouvrez votre navigateur, vous tapez l'adresse du service vous-même, ou vous lancez votre application. Un SMS vous dit que votre colis est bloqué ? Vous ouvrez l'app du transporteur, ou vous allez sur le site officiel. Un appel vous presse ? Vous raccrochez et vous rappelez le numéro figurant sur votre contrat ou votre carte bancaire.

Cette seule habitude fait tomber la majorité des attaques. Parce que le phishing repose sur un canal que l'attaquant contrôle, et vous, vous décidez de ne pas l'utiliser.

Ce qui ne marche pas (ou peu)

J'ai testé, et j'ai vu des clients tester. La formation annuelle d'une heure, une fois par an, avec un quiz à la fin : ça produit un pic de vigilance pendant deux semaines, puis l'effet retombe. Ce qui tient dans le temps, c'est la répétition courte et fréquente — des simulations d'hameçonnage envoyées régulièrement, avec un retour immédiat et non punitif. Chez un client industriel, on est passés de 34 % de clics sur la première simulation à 6 % en huit mois, avec deux envois par mois et un débriefing collectif. Pas de sanction. Juste de la répétition.

Et pour le SMS, la banque, le téléphone ?

L'email n'est plus le seul terrain. Le smishing — phishing par SMS — explose, parce que le canal est plus intime et qu'on y prête moins attention. Un colis en attente, un « votre carte a été bloquée », un faux message de l'assurance maladie : les scénarios sont rodés.

Le phishing bancaire mérite une mention à part. Une vraie banque ne vous demandera jamais de saisir votre code confidentiel complet par SMS, ni de valider une opération via un lien reçu par message. Si vous avez un doute, coupez court et rappelez le numéro inscrit au dos de votre carte. Pas celui du SMS.

Que faire si vous avez cliqué sur un lien et saisi vos informations ?

Le client du début a fait exactement ce qu'il fallait, dans le bon ordre. Voici la séquence :

1. Changez immédiatement le mot de passe du service concerné, depuis un appareil sain.
2. Activez la double authentification, si ce n'est pas déjà fait.
3. Si des données bancaires ont été transmises : appelez votre banque et faites opposition sur la carte ou les moyens touchés.
4. Cherchez des traces d'activité suspecte : connexions récentes, messages envoyés depuis votre compte, modifications de paramètres.
5. Prévenez votre entourage professionnel si votre adresse a pu servir à relancer l'attaque.

Et n'ayez pas honte. La honte, c'est ce qui pousse à ne rien dire et à laisser filer. J'ai vu un cadre dirigeant taire la chose pendant trois jours par embarras. Trois jours, ça peut être l'écart entre un incident et une catastrophe.

Signaler un phishing : la partie qu'on oublie tout le temps

Supprimer un message suspect, c'est bien. Le signaler, c'est mieux. En France, Signal Spam permet de transmettre un email frauduleux, et Phishing Initiative centralise les signalements de sites d'hameçonnage. Ces plateformes alimentent ensuite les dispositifs de blocage. Votre signalement aide à faire fermer un site qui aurait piégé quelqu'un d'autre.

Un point technique : au lieu de transférer le message suspect, mieux vaut le joindre en tant que pièce jointe (.eml). Le transfert classique réécrit les en-têtes, ce qui fait perdre l'information qui intéresse les analystes. Et si vous gérez une boîte partagée en entreprise, remontez systématiquement à votre service informatique : un message reçu par vous est souvent reçu par plusieurs collègues.

Comment savoir si on a été victime de phishing ?

Trois signaux concrets : des connexions que vous ne reconnaissez pas, des alertes de connexion depuis une zone géographique inhabituelle, ou des messages/documents qui partent de vos comptes sans que vous en soyez l'auteur. Ajoutez à ça des prélèvements ou virements inexpliqués, et une adresse email qui commence à recevoir des réponses à des messages que vous n'avez jamais envoyés. Vu ces signaux, il faut traiter le problème comme une compromission active, pas comme un doute.

Comparatif : à quelle menace correspond quel réflexe

Canal	Signal typique	Réflexe à appliquer
Email	Demande d'identifiants, lien vers domaine inconnu	Ne pas cliquer, vérifier le domaine réel, passer par le site en direct
SMS	Lien court, urgence, colis ou compte bancaire	Ouvrir l'application officielle ou rappeler un numéro connu
Téléphone	Appel d'un « service » qui demande un code à usage unique	Raccrocher, rappeler le numéro figurant sur le contrat
Site web	Page de connexion identique à l'officielle, URL qui diffère	Vérifier l'adresse complète, se méfier des sous-domaines trompeurs

Ce tableau n'est pas exhaustif — le quishing, le phishing par QR code, échappe à la lecture d'URL classique. Mais le principe reste : vérifier par un autre canal que celui de la sollicitation.

Ce que je retiendrais

La technique de l'attaquant évolue, mais son point d'entrée ne change pas : il a besoin que vous fassiez confiance à un message qui ne mérite pas votre confiance. Toute votre défense tient dans le réflexe inverse — ne pas faire confiance par défaut, et vérifier par vous-même.

Il y a pourtant une question qui me travaille depuis quelque temps. À mesure que les messages frauduleux deviennent difficiles à distinguer des vrais, est-ce qu'on va continuer à demander aux utilisateurs de faire ce tri à la main ? Peut-être. Mais peut-être que le vrai basculement viendra du côté des services eux-mêmes : arrêter de réclamer des identifiants par des canaux qui, par nature, ne sont pas sûrs. En attendant, la méthode hors bande reste la meilleure chose que vous puissiez appliquer dès ce soir. Elle coûte cinq secondes et elle évite des semaines d'ennuis.