Les 7 signes infaillibles pour reconnaître un email phishing
Chaque jour, des millions de Français reçoivent des emails frauduleux, souvent appelés “phishing”. Ces messages, conçus pour vous tromper, visent à dérober vos informations personnelles, bancaires ou professionnelles. Que vous soyez en reconversion, à la recherche d’un emploi, ou même en pleine activité entrepreneuriale, il est crucial de savoir identifier ces tentatives d’escroquerie. Voici une grille de lecture simple et efficace pour ne plus jamais tomber dans le piège.
1. L’adresse de l’expéditeur ne correspond pas à l’organisme
Vérifiez le nom de domaine, pas seulement le nom d’affichage
Le nom qui s’affiche dans votre boîte de réception (par exemple, « Service Client La Poste » ou « Ameli ») est très facile à falsifier. Ce n’est pas une preuve d’authenticité. Le véritable indicateur est l’adresse email complète de l’expéditeur, celle qui apparaît entre chevrons `< >` ou lorsque vous passez la souris sur le nom.
- Exemple légitime : Un email de La Poste doit provenir d’un domaine se terminant par `@laposte.fr` ou `@laposte.net`. Un message de l’Assurance Maladie utilisera typiquement `@ameli.fr`.
- Exemple suspect : Méfiez-vous des adresses comme `@laposte-securite.xyz`, `@ameli.info`, `@banque-postale-fr.com`, ou des variantes avec des chiffres ou des lettres inversées (`@lap0ste.com`). Ces domaines sont souvent créés par les fraudeurs pour ressembler à l’original.
Comment vérifier ?
Sur ordinateur, passez simplement la souris sur le nom de l’expéditeur (sans cliquer) pour voir l’adresse réelle s’afficher. Sur mobile, appuyez longuement sur le nom ou l’adresse de l’expéditeur pour révéler les détails complets. Si l’adresse réelle est différente de celle que vous attendez, c’est un signal d’alarme majeur.
2. L’objet du message joue sur l’urgence ou la peur
« Action requise », « Dernier avertissement » : des déclencheurs de stress
Les fraudeurs cherchent à vous faire agir sans réfléchir, en exploitant vos émotions. La peur, le stress, ou même la curiosité sont des leviers puissants. Les objets de messages anxiogènes sont leur arme favorite.
- Exemples concrets :
- « Votre compte Ameli va être suspendu sous 24h ! »
- « Paiement refusé – Mettez à jour vos coordonnées bancaires immédiatement. »
- « Colis en attente – Confirmez votre adresse de livraison pour éviter le retour à l’expéditeur. »
- « Votre carte vitale arrive à expiration, renouvelez-la en ligne ! »
- « Votre facture impayée – Dernier rappel avant poursuites. »
Astuce : Les organismes officiels (CAF, Impôts, Banques, Sécurité Sociale) ne vous mettront jamais un couteau sous la gorge par email. En cas de doute, ne cliquez sur aucun lien dans le message. Connectez-vous directement sur leur site officiel en tapant l’URL vous-même dans votre navigateur, ou contactez-les par téléphone via un numéro que vous avez vérifié (sur un document officiel ou leur site web).
3. Le message contient des fautes d’orthographe ou de grammaire
Les emails professionnels sont relus, pas les arnaques
Une faute grossière, une syntaxe bancale, une ponctuation erronée, ou un ton inapproprié (trop familier ou au contraire trop formel et mal tourné) sont des signaux d’alarme clairs. Les grandes entreprises et administrations françaises disposent de services de communication qui relisent attentivement leurs messages.
- Exemple de texte frauduleux typique : « Cher client, nous avons constater une activité suspecte sur votre compte. Veuillez cliquer sur le lien si-dessous pour vérifier votre identitée. » (Erreurs : « constater », « si-dessous », « identitée »).
- Autres signes : Utilisation excessive de majuscules, absence d’accents, phrases mal construites, mélange de français et d’anglais sans raison.
Attention : Le niveau de sophistication des emails de phishing s’améliore. Certains sont presque impeccables. Ne vous fiez donc pas uniquement à ce critère, mais considérez-le comme un élément supplémentaire de suspicion.
4. Le lien hypertexte cache une adresse suspecte
Ne cliquez jamais sans vérifier la destination réelle du lien
C’est l’un des pièges les plus courants. Le texte affiché peut sembler parfaitement légitime (ex : « www.banquepostale.fr » ou « Accéder à mon espace client »), mais le lien caché derrière mène vers un site pirate.
Comment vérifier ?
- Sur ordinateur : Passez la souris sur le bouton ou le lien (sans cliquer). L’URL réelle s’affichera généralement en bas à gauche de votre écran.
- Sur mobile : Appuyez longuement sur le lien (sans relâcher) pour faire apparaître l’URL de destination.
Exemple concret :
| Texte visible du lien | URL réelle (suspecte) |
|---|---|
Sécuriser mon compte | http://banquep0stale.xyz/update/ |
Cliquez ici pour votre remboursement | https://remboursement-impots.com-fr.ru/ |
Mon espace Ameli | http://ameli-sante.net/connexion/ |
Si l’URL ne commence pas par `https://` (avec le petit cadenas à côté, indiquant une connexion sécurisée) ou si le nom de domaine (la partie avant le `.fr`, `.com`, etc.) est étrange, ne cliquez pas. Le site `banquep0stale.xyz` n’est pas la Banque Postale.
5. La pièce jointe est inattendue ou au format étrange
Un fichier .zip, .exe ou .docm dans un email inattendu ? Méfiance.
Les fraudeurs utilisent souvent les pièces jointes pour installer des logiciels malveillants (ransomware, spyware) sur votre ordinateur ou votre smartphone, ou pour voler vos identifiants.
- Exemples de pièces jointes suspectes :
- Une « facture EDF » en pièce jointe, alors que vous n’avez pas souscrit à la facture électronique ou que le montant vous semble anormal.
- Un fichier nommé `RIB_2025.zip` ou `Commande_Annulee.exe` provenant d’un expéditeur inconnu ou d’un organisme avec lequel vous n’avez aucun contact.
- Des documents Microsoft Office (Word, Excel) avec des extensions comme `.docm` ou `.xlsm`, qui peuvent contenir des macros malveillantes.
Règle d’or : N’ouvrez jamais une pièce jointe si vous ne l’avez pas demandée explicitement ou si elle provient d’un expéditeur inconnu ou suspect. Les administrations françaises (Ameli, Impôts) envoient des notifications par email, mais les documents à télécharger sont toujours disponibles sur leur site sécurisé, après connexion à votre espace personnel.
Pour éviter de tomber dans ces pièges numériques, il est essentiel de maîtriser les outils que vous utilisez, comme une tablette tactile, afin de naviguer en toute sécurité et de mieux identifier les éléments suspects.
6. La demande est anormale (coordonnées bancaires, mot de passe, code SMS)
Aucun organisme sérieux ne vous demandera votre mot de passe par email
Le but ultime du phishing est de collecter vos données sensibles : numéro de carte bancaire, identifiant, mot de passe, code de vérification SMS, date de naissance, etc.
- Exemples de demandes anormales :
- « Pour débloquer votre compte, merci de nous communiquer votre code secret et votre date de naissance. »
- « Confirmez votre numéro de carte bleue pour recevoir votre remboursement. »
- « Saisissez le code SMS que vous venez de recevoir pour valider la mise à jour de votre dossier. »
La CNIL (Commission Nationale de l’Informatique et des Libertés) rappelle que les banques, opérateurs téléphoniques, assurances et administrations ne vous demanderont jamais vos identifiants ou codes confidentiels par email, SMS ou téléphone. C’est une règle de sécurité fondamentale. Si on vous le demande, c’est une tentative de fraude.
7. L’email vous est adressé de manière générique
« Cher client » ou « Cher utilisateur » plutôt que votre nom
Les organismes avec lesquels vous avez un contrat (votre banque, votre mutuelle, votre fournisseur d’accès internet, les impôts) connaissent votre identité. Un email légitime vous appellera généralement par votre nom et prénom, ou par votre numéro de client.
- Exemple : Un email commençant par « Cher Monsieur Dupont » est plus fiable qu’un message débutant par « Cher client » ou « Cher utilisateur ».
Si vous recevez un email de votre mutuelle vous appelant « Cher assuré » sans mentionner votre nom, soyez sur vos gardes. Les fraudeurs envoient des messages en masse et n’ont pas toujours accès à vos données personnelles précises. Un email personnalisé est un bon signe, mais ce n’est pas une garantie absolue : vérifiez toujours les autres points de cette liste.
Comment réagir face à un email suspect ?
Si vous avez le moindre doute sur la légitimité d’un email, la meilleure réaction est la prudence :
- Ne répondez pas.
- Ne cliquez sur aucun lien.
- N’ouvrez aucune pièce jointe.
- Signalez l’email : Vous pouvez le transférer à `signal-spam.fr` ou le signaler sur le portail `Cybermalveillance.gouv.fr`. Ces plateformes aident à lutter contre la cybercriminalité.
- Vérifiez par un autre canal : Si le message prétend venir de votre banque, d’Ameli ou des impôts, contactez directement l’organisme concerné via son numéro de téléphone officiel (que vous trouverez sur votre relevé, un courrier officiel ou leur site web, jamais dans l’email suspect) ou connectez-vous à votre espace personnel en tapant l’URL vous-même.
- Activez la double authentification : Pour une protection renforcée, activez la double authentification (ou authentification à deux facteurs) sur tous vos comptes sensibles (banque, email principal, réseaux sociaux, impôts). Cela ajoute une couche de sécurité, même si vos identifiants sont compromis.
José est un spécialiste des ressources humaines avec plus de 10 ans d'expérience dans le recrutement et la gestion des talents. Diplômée en psychologie du travail, elle a commencé sa carrière dans des agences de recrutement avant de rejoindre des entreprises de renom pour y développer des stratégies RH innovantes …
Tous les articles de José PEREZ →
