Comment repérer un e-mail d’hameçonnage (phishing) sur iPhone et Android en France

Un e-mail de votre banque vous demande de confirmer vos identifiants d'urgence. Un message de l'administration vous annonce un remboursement inattendu. Un colis serait bloqué et il faudrait cliquer vite sur un lien. Dans la plupart des cas, ce sont des tentatives d'hameçonnage, aussi appelé phishing : le but est de vous faire cliquer sur un lien piégé ou saisir vos codes sur une fausse page. Ce guide vous montre comment repérer ces messages sur iPhone et Android, avant de tomber dans le piège.

Étape 1 : Vérifier l'expéditeur, pas seulement le nom affiché

Le premier réflexe consiste à regarder qui envoie vraiment le message. Sur l'écran, le nom affiché peut dire « Votre banque » ou « Service des impôts », mais l'adresse e-mail derrière peut être totalement différente. Sur iPhone, dans l'application Mail, touchez le nom de l'expéditeur pour voir l'adresse complète. Sur Android, dans Gmail, touchez la petite flèche à côté du nom ou la photo de profil pour afficher les détails de l'expéditeur.

Une adresse officielle se termine par le domaine de l'organisme, par exemple @impots.gouv.fr pour les impôts ou le domaine exact de votre banque. Méfiez-vous des adresses qui ressemblent au vrai domaine avec une lettre changée, un tiret ajouté ou une extension bizarre. Un message envoyé depuis une adresse générique alors qu'il prétend venir d'une administration est un signal d'alerte fort.

Vérifiez aussi la langue et le ton : les messages officiels français sont en général bien rédigés, et des fautes nombreuses doivent vous alerter.

Étape 2 : Ne jamais cliquer sur un lien dans le doute

Le lien est le cœur de l'arnaque. Avant de toucher quoi que ce soit, maintenez le doigt appuyé sur le lien pendant une seconde, sans cliquer. Sur iPhone comme sur Android, un aperçu de l'adresse de destination s'affiche. Comparez-la avec le site officiel que vous connaissez. Si l'adresse ne correspond pas, ne cliquez pas.

La règle la plus sûre reste de ne jamais passer par le lien du message. Ouvrez vous-même l'application officielle de votre banque, de l'administration ou du commerçant, ou tapez vous-même l'adresse du site dans votre navigateur. Si le message parle d'un problème réel, vous le retrouverez dans votre espace personnel.

Étape 3 : Se méfier de l'urgence et des menaces

Les messages d'hameçonnage jouent presque toujours sur l'urgence : « votre compte sera bloqué dans 24 heures », « dernière chance avant la suspension », « remboursement à confirmer aujourd'hui ». Cette pression est volontaire. Elle vise à vous faire agir vite, sans réfléchir.

Pourtant, les organismes sérieux ne vous demandent jamais de régulariser une situation urgente par un simple clic dans un e-mail. Une banque ne vous demandera jamais vos codes complets par e-mail, et l'administration fiscale ne vous réclame jamais un paiement par lien envoyé dans un message. Si un message vous met la pression, prenez le temps de respirer et vérifiez par un autre canal : appelez le numéro officiel, ou connectez-vous à votre compte par l'application.

Étape 4 : Examiner les pièces jointes et les demandes de codes

Une pièce jointe inattendue, surtout un fichier compressé ou un document qui demande d'activer des macros, est un autre signal d'alerte. N'ouvrez pas une pièce jointe venant d'un expéditeur que vous ne connaissez pas, et n'activez jamais les macros d'un document reçu par e-mail.

Ne communiquez jamais vos codes par e-mail ou par téléphone. Aucune banque, aucune administration et aucun service en ligne sérieux ne vous demandera votre mot de passe complet, votre code de carte bancaire ou un code reçu par SMS. Les codes reçus par SMS ne doivent être saisis que sur le site ou l'application officielle, jamais sur une page ouverte depuis un lien reçu par e-mail.

Étape 5 : Vérifier sur l'ordinateur ou avec un proche

Quand un message vous semble suspect mais que vous n'êtes pas sûr, changez d'écran. Sur un ordinateur, il est plus facile d'examiner l'adresse de l'expéditeur et de passer la souris sur les liens. Vous pouvez aussi montrer le message à un proche : un regard extérieur repère souvent ce qu'on ne voit plus quand on est pressé.

Vous pouvez également copier une phrase du message et la rechercher sur Internet : les campagnes d'hameçonnage sont souvent déjà signalées.

Étape 6 : Signaler et supprimer le message

Si vous avez identifié un message d'hameçonnage, signalez-le avant de le supprimer. Sur iPhone, dans Mail, vous pouvez déplacer le message vers le dossier Indésirable. Dans Gmail sur Android, touchez les trois points en haut du message puis « Signaler comme spam » ou « Signaler un hameçonnage ». Ces signalements aident les services de messagerie à bloquer les campagnes suivantes.

En France, vous pouvez aussi signaler la tentative sur la plateforme Cybermalveillance.gouv.fr, qui donne la marche à suivre selon le type d'arnaque, et sur Signal Spam pour les e-mails frauduleux. Si le message se présente comme venant de votre banque, transférez-le à son service anti-fraude, dont l'adresse est en général indiquée sur son site officiel.

Si vous avez cliqué sur un lien ou saisi des informations avant de réaliser qu'il s'agissait d'une arnaque, agissez vite. Changez immédiatement le mot de passe concerné depuis le site officiel, prévenez votre banque si des informations bancaires sont en jeu, et surveillez vos comptes dans les jours qui suivent.

Les bons réflexes à garder

La protection la plus efficace reste la vigilance quotidienne. Activez la double authentification sur vos comptes importants : même si un mot de passe est volé, l'attaquant ne pourra pas se connecter sans le second code. Avec ces réflexes, la plupart des tentatives d'hameçonnage deviennent faciles à repérer, et votre téléphone reste un outil sûr au quotidien.

Frequently Asked Questions

Comment savoir si un e-mail est vraiment de ma banque ?

Vérifiez l'adresse complète de l'expéditeur en touchant son nom, et ne cliquez jamais sur le lien du message. Connectez-vous plutôt à votre compte par l'application officielle ou en tapant vous-même l'adresse du site. Votre banque ne vous demandera jamais vos codes complets par e-mail.

Que faire si j'ai cliqué sur un lien suspect ?

Ne saisissez aucune information sur la page qui s'ouvre. Fermez-la, puis changez votre mot de passe depuis le site officiel. Si vous avez entré des informations bancaires, prévenez votre banque immédiatement et surveillez vos comptes.

Où signaler un e-mail d'hameçonnage en France ?

Signalez le message dans votre application de messagerie, puis sur Cybermalveillance.gouv.fr et Signal Spam. Si le message imite votre banque, transmettez-le aussi à son service anti-fraude.