Reconnaître un e-mail de phishing : 5 signes qui ne trompent pas
Objectif d'apprentissage
Après avoir lu cet article, vous serez en mesure d'identifier les cinq signes les plus fiables d'un e-mail de phishing, de comprendre comment les rançongiciels atteignent votre appareil, et d'appliquer une méthode de vérification simple avant de répondre à tout message suspect, dès aujourd'hui.
Une situation que vous reconnaîtrez peut-être
Vous recevez un e-mail qui semble provenir de PayPal. Le logo est correct. La mise en forme paraît professionnelle. Le message vous indique qu'une activité inhabituelle a été détectée sur votre compte et que vous devez vérifier vos coordonnées dans les 24 heures, sous peine de suspension.
Vous ressentez une légère pression. Peut-être est-ce authentique. Vous ne voulez pas perdre l'accès à votre compte. Vous survolez le lien, et quelque chose vous semble étrange dans l'adresse.
C'est exactement ainsi que fonctionne le phishing : pas par des erreurs grossières, mais par un sentiment d'urgence soigneusement construit qui vous pousse à agir avant de réfléchir.
De quoi parle-t-on exactement ?
Le phishing (hameçonnage) consiste à envoyer des e-mails ou des messages frauduleux qui imitent une organisation de confiance (une banque, un service de livraison, une entreprise technologique) dans le but de voler vos informations personnelles, vos mots de passe ou vos coordonnées bancaires.
Le rançongiciel (ransomware) est un logiciel malveillant qui, une fois installé sur votre appareil, chiffre vos fichiers et exige un paiement pour vous en rendre l'accès. Dans la plupart des cas, il arrive par un e-mail de phishing, via une pièce jointe que vous ouvrez, ou un lien sur lequel vous cliquez.
Les deux sont étroitement liés : le phishing est souvent le vecteur, le rançongiciel l'une des conséquences possibles.
Les 5 signes qu'un e-mail n'est pas ce qu'il prétend être
Signe 1 — L'adresse réelle ne correspond pas à l'identité affichée
Les escrocs enregistrent des domaines qui ressemblent presque à l'identique aux domaines légitimes. Un seul caractère suffit : paypall.com, amazom.com, banquepostale-securite.net.
Ce qu'il faut faire : ne vous fiez pas au nom affiché. Regardez l'adresse e-mail réelle. Dans la plupart des messageries, un clic ou un survol sur le nom de l'expéditeur révèle l'adresse complète. Si elle ne correspond pas exactement au domaine connu de l'organisation, traitez l'e-mail comme suspect. Attention : une adresse correcte ne suffit pas à elle seule à prouver la légitimité (l'expéditeur affiché peut parfois être usurpé), mais une adresse incorrecte, elle, condamne le message à coup sûr.
Signe 2 — Le message crée une urgence artificielle
« Votre compte sera suspendu dans 24 heures. » « Action immédiate requise. » « Activité suspecte détectée, répondez maintenant. »
L'urgence est l'outil le plus fiable de la panoplie d'un escroc. Elle est conçue pour court-circuiter votre prudence naturelle et vous faire agir avant d'avoir le temps de vérifier.
Ce qu'il faut faire : quand un e-mail vous presse d'agir immédiatement, traitez cette pression elle-même comme le signal d'alarme. Les organisations légitimes (banques, services de paiement, administrations) n'exigent pas de réponse instantanée par e-mail. Fermez l'e-mail et rendez-vous directement sur le site officiel pour vérifier si votre compte présente réellement un problème.
Signe 3 — Des liens qui mènent ailleurs que ce qu'ils affichent
Un e-mail peut afficher le texte www.paypal.com alors que le lien mène en réalité à payp4l-securite.net. Le texte visible et la destination réelle sont deux choses totalement indépendantes.
Ce qu'il faut faire : avant de cliquer sur un lien, survolez-le avec la souris (sans cliquer) : la destination réelle s'affiche en bas de la fenêtre. Sur mobile, un appui long sur le lien affiche l'adresse sans l'ouvrir. Si elle ne correspond pas exactement à ce que vous attendez, ne cliquez pas : supprimez l'e-mail et tapez vous-même l'adresse du site.
Signe 4 — Des pièces jointes que vous n'attendiez pas
Une pièce jointe inattendue (un PDF, un document Word, un fichier ZIP) est l'un des vecteurs les plus courants des rançongiciels. L'ouvrir peut installer silencieusement un logiciel malveillant, même si le fichier semble s'ouvrir normalement.
Ce qu'il faut faire : n'ouvrez jamais une pièce jointe issue d'un e-mail que vous n'attendiez pas, même si l'expéditeur semble être quelqu'un que vous connaissez. Son compte a pu être piraté. Confirmez avec la personne par un canal séparé (appel, message distinct) avant d'ouvrir. Et gardez en tête la seule vraie assurance contre un rançongiciel : une sauvegarde régulière de vos fichiers importants, sur un disque externe déconnecté ou dans un cloud de confiance. Un fichier sauvegardé ne peut pas être pris en otage.
Signe 5 — Des demandes d'informations personnelles par e-mail
Aucune banque, aucun service de paiement, aucune entreprise légitime ne vous demandera votre mot de passe, votre numéro de carte ou vos données d'identité complètes par e-mail. Ce n'est tout simplement pas ainsi que ces organisations fonctionnent.
Ce qu'il faut faire : si un e-mail vous demande des informations sensibles, arrêtez-vous immédiatement. Ne répondez pas. Contactez l'organisation par un moyen que vous connaissez déjà (le numéro au dos de votre carte, l'adresse du site que vous tapez vous-même), jamais par les coordonnées fournies dans l'e-mail lui-même.
Les 2 pièges classiques
Piège 1 — Se fier à l'apparence visuelle
Un logo professionnel, une charte graphique correcte, une mise en page soignée : rien de tout cela ne prouve quoi que ce soit. N'importe qui peut copier l'identité visuelle exacte d'une organisation en quelques minutes.
Sur quoi se concentrer à la place : l'adresse réelle de l'expéditeur et la destination réelle des liens. Ce sont les éléments les plus difficiles à maquiller : la mise en page, elle, se copie sans effort.
Piège 2 — Répondre sous pression sans vérifier
La peur de perdre l'accès à un compte, ou de manquer une échéance, est précisément l'émotion que le phishing exploite. Sous cette pression, il est facile de répondre sans réfléchir.
Ce qu'il faut faire à la place : adoptez une règle personnelle : tout e-mail demandant des informations sensibles exige une vérification indépendante préalable. Appelez sur un numéro que vous avez déjà. Connectez-vous au site directement. Si le problème est réel, il sera encore là après vérification.
Ce qui compte vraiment
La plupart des tentatives de phishing reposent sur deux ingrédients : une apparence convaincante et un sentiment d'urgence. Neutralisez l'un des deux, et l'attaque perd l'essentiel de son efficacité.
L'habitude la plus efficace à développer tient en une phrase : ne jamais agir sur un e-mail inattendu sans avoir vérifié sa légitimité de manière indépendante, pas via l'e-mail lui-même, via un canal séparé et sûr.
Tout le reste (vérifier les adresses, survoler les liens, tenir ses appareils à jour, sauvegarder ses fichiers) soutient cette seule habitude fondamentale.
Une méthode simple à mettre en place
Étape 1 — Entraînez votre œil sur les adresses. Pendant les deux prochaines semaines, prenez l'habitude de révéler l'adresse complète de chaque expéditeur dans votre boîte de réception, même pour les e-mails de confiance. Trois secondes à chaque fois, et le réflexe devient automatique.
Étape 2 — Survolez avant de cliquer. Systématiquement, même pour les expéditeurs connus. À force, repérer un lien frauduleux devient instinctif.
Étape 3 — Appliquez la règle des 60 secondes. Chaque fois qu'un e-mail crée de l'urgence, accordez-vous 60 secondes avant de faire quoi que ce soit. Ouvrez un nouvel onglet, allez directement sur le site de l'organisation, vérifiez si le problème est réel. Dans presque tous les cas, il ne l'est pas.
Ce que « suffisamment bien » veut dire :
- Débutant : vous vérifiez les adresses d'expéditeurs, reconnaissez le langage urgent comme un signal d'alarme et survolez les liens avant de cliquer
- Intermédiaire : vous n'ouvrez jamais les pièces jointes inattendues, vous vérifiez les demandes de manière indépendante avant de répondre, et vos appareils comme vos sauvegardes sont à jour
- Avancé — la double authentification est active sur tous vos comptes importants, vous signalez les tentatives (e-mails à Signal Spam, SMS au 33700), et vous savez reconnaître le spear phishing : les attaques ciblées construites à partir de vos informations personnelles
Une note honnête
Même les utilisateurs expérimentés reçoivent des e-mails de phishing réellement difficiles à identifier. Les attaques les plus sophistiquées sont conçues par des professionnels qui savent exactement comment les rendre convaincantes.
L'objectif n'est pas de devenir impossible à tromper. L'objectif est de ralentir, de vérifier, et de ne jamais fournir d'informations sensibles sous pression. Cette seule habitude vous protège de la grande majorité des tentatives.