Comment reconnaître un e-mail de phishing et réagir sans cliquer

Le phishing reste la porte d’entrée la plus fréquente des arnaques en ligne, et il ne vise plus seulement les personnes distraites : les faux e-mails de banque, de livraison ou d’administration copient aujourd’hui les logos, les couleurs et le ton des vrais messages. La bonne nouvelle, c’est qu’un contrôle de 30 secondes suffit dans la plupart des cas pour démasquer la supercherie. Voici comment procéder, puis quoi faire si vous avez déjà cliqué.

Étape 1 : regardez l’expéditeur, pas seulement le nom affiché

Le nom affiché peut indiquer « Votre banque » ou « Service de livraison » alors que l’adresse réelle n’a rien à voir. Sur ordinateur, survolez le nom ou cliquez dessus pour afficher l’adresse complète. Sur téléphone, touchez le nom de l’expéditeur pour révéler les détails. Méfiez-vous des domaines approximatifs : une lettre remplacée, un tiret ajouté, un suffixe inhabituel comme un domaine gratuit alors que l’organisme utilise son propre domaine.

Un expéditeur légitime ne vous demandera jamais vos identifiants, votre code de confirmation ou vos coordonnées bancaires complètes par e-mail. Si le message réclame ce type d’information, considérez-le comme suspect, même si la présentation semble soignée. En cas de doute, contactez l’organisme par un canal connu : son application officielle ou le numéro au dos de votre carte.

Étape 2 : survolez les liens avant de cliquer, sans jamais cliquer

Un bouton « Vérifier mon compte » ou « Suivre mon colis » peut cacher une adresse totalement différente de celle annoncée. Sur ordinateur, placez le curseur sur le lien et lisez l’adresse qui s’affiche en bas du navigateur ou dans l’aperçu. Sur téléphone, un appui long sur le lien affiche généralement sa destination, sans l’ouvrir. Si l’adresse ne correspond pas au site officiel, ou si elle contient une suite de caractères incohérente, ne cliquez pas.

La même prudence s’applique aux pièces jointes inattendues, surtout les fichiers qui invitent à « activer les macros » ou à « activer le contenu ». Un vrai service de livraison ne vous envoie pas une facture urgente sous forme de fichier exécutable. Si vous attendiez vraiment un document, vérifiez auprès de l’expéditeur supposé, par un autre moyen que le message lui-même.

Étape 3 : repérez les signaux d’urgence et de menace

Le phishing joue presque toujours sur la pression : « votre compte sera suspendu dans 24 heures », « une tentative de connexion inhabituelle », « frais impayés, régularisez immédiatement ». Les organismes sérieux annoncent rarement une fermeture imminente par un e-mail sec, sans autre notification dans leur application ou leur espace client. L’urgence est un outil de manipulation, pas une preuve d’authenticité.

D’autres indices doivent vous alerter : un ton inhabituel, des fautes de français dans un message censé venir d’une grande entreprise, une salutation générique comme « Cher client » alors que l’organisme vous appelle habituellement par votre nom, ou une offre trop belle pour être vraie, comme un remboursement inattendu. Aucun de ces signes ne prouve à lui seul l’arnaque, mais deux ou trois réunis justifient de ne rien cliquer.

Étape 4 : vérifiez par un autre canal, en une minute

Quand un message vous inquiète, ne cherchez pas la réponse dans le message lui-même. Ouvrez l’application officielle de l’organisme ou tapez vous-même son adresse dans votre navigateur, puis connectez-vous pour vérifier s’il y a vraiment une alerte, une facture ou un colis en attente. Dans la plupart des cas, vous constaterez qu’il n’y a rien, et le doute disparaît.

Vous pouvez aussi vérifier un colis directement sur le site du transporteur, avec le numéro de suivi reçu lors de la commande, et non celui du message suspect. Pour une prétendue amende ou un prétendu impôt, passez par le site officiel de l’administration, jamais par le lien d’un e-mail non sollicité. Cette habitude protège contre presque toutes les variantes de phishing.

Étape 5 : signalez, puis supprimez

Un e-mail de phishing mérite d’être signalé, pas seulement ignoré. La plupart des messageries proposent un bouton « Signaler comme phishing » ou « Signaler un spam », qui aide les filtres à protéger les autres utilisateurs. En France, vous pouvez aussi transférer le message à la plateforme Signal-Arnaques.

Supprimez ensuite le message, et videz la corbeille si vous craignez de cliquer dessus par erreur plus tard. Si le message usurpait l’identité d’une entreprise précise, prévenez-la via son canal officiel de signalement, souvent indiqué dans la rubrique sécurité de son site.

Étape 6 : si vous avez déjà cliqué, agissez vite et sans paniquer

Cliquer ne signifie pas automatiquement que vos données sont compromises, mais il faut agir sans attendre. Si vous avez saisi un mot de passe sur un faux site, changez-le immédiatement depuis le vrai site de l’organisme, puis changez aussi les mots de passe des comptes qui partageaient le même. Activez la validation en deux étapes partout où c’est proposé : elle bloque la plupart des connexions frauduleuses, même avec un mot de passe volé.

Si vous avez communiqué des coordonnées bancaires, appelez votre banque sans délai pour faire opposition ou surveiller les opérations. Conservez une trace du message suspect et des pages visitées, au cas où un dépôt de plainte serait utile, et surveillez vos relevés pendant quelques semaines. Une réaction rapide limite presque toujours les dégâts.

Frequently Asked Questions

Un e-mail de phishing peut-il infecter mon téléphone si je l’ouvre sans cliquer ?

Ouvrir un message sans cliquer sur un lien ni ouvrir de pièce jointe présente un risque faible dans la plupart des cas, car le danger vient surtout des liens et des fichiers. Restez prudent : ne répondez pas au message, ne téléchargez rien, et signalez-le comme phishing avant de le supprimer.

Que faire si le message semble venir d’un proche ?

Vérifiez par un autre canal avant toute action, par exemple en appelant la personne ou en lui écrivant sur un autre moyen de contact. Les comptes de messagerie piratés servent souvent à envoyer des demandes d’argent urgentes à l’entourage, et un simple appel suffit généralement à démasquer l’usurpation.

La validation en deux étapes protège-t-elle vraiment contre le phishing ?

Oui, dans une large mesure : même si un attaquant récupère votre mot de passe, il lui manque le second facteur, comme un code d’application ou une clé de sécurité. C’est pourquoi il est recommandé de l’activer sur la messagerie, la banque et les réseaux sociaux, en privilégiant une application d’authentification plutôt qu’un code reçu par SMS quand c’est possible.