Reconnaître un mail d’hameçonnage

« Votre compte a été suspendu, cliquez ici pour le réactiver », « Un colis vous attend, confirmez vos coordonnées », « Votre banque a détecté une opération suspecte » : ces mails, vous en recevez sûrement. Ce sont des tentatives d’HAMEÇONNAGE (phishing) — des arnaques qui imitent un organisme de confiance pour vous piéger et voler vos informations ou votre argent. C’est aujourd’hui l’une des menaces les plus courantes, et n’importe qui peut se faire avoir. Bonne nouvelle : quelques réflexes simples permettent de les repérer et de ne pas tomber dans le piège. Voici comment reconnaître un mail d’hameçonnage.

L’hameçonnage : c’est quoi et pourquoi ça marche ?

Comprendre le mécanisme est la première défense. L’HAMEÇONNAGE (ou « phishing ») est une technique d’arnaque où un escroc se fait passer pour un ORGANISME de CONFIANCE (votre banque, un service de livraison, une administration, un site connu, votre fournisseur d’accès, une grande entreprise…) pour vous PIÉGER. Le BUT : vous amener à révéler des informations sensibles (identifiants, mots de passe, numéro de carte bancaire, données personnelles), à cliquer sur un lien menant à un FAUX site (imitant le vrai) où vous saisiriez ces informations, à télécharger un fichier malveillant, ou directement à effectuer un paiement. Comment ça se PRÉSENTE : le plus souvent par MAIL (mais aussi par SMS — on parle alors de « smishing » —, par message, par téléphone) ; le message IMITE la communication d’un organisme légitime : logo, mise en forme, ton officiel ; il vous demande une action urgente. Pourquoi ça MARCHE : les escrocs jouent sur des ressorts PSYCHOLOGIQUES efficaces — l’URGENCE et la PEUR (« votre compte va être fermé », « opération frauduleuse détectée », « dernière chance ») pour vous faire agir sans réfléchir ; l’APPÂT (un colis, un remboursement, un gain, une bonne affaire) ; la CONFIANCE (en imitant un organisme que vous connaissez) ; et l’effet de MASSE (ils envoient des millions de messages ; il suffit qu’une petite fraction de gens se fasse piéger). Les messages sont de plus en plus SOIGNÉS : fini les arnaques grossières truffées de fautes ; certains sont très crédibles, bien imités ; d’où la nécessité de réflexes plutôt que de se fier à la seule apparence. N’importe qui peut se faire AVOIR : ce n’est pas une question d’intelligence, mais de vigilance à un moment donné (on est pressé, distrait, on attend justement un colis…) ; les escrocs comptent sur ces moments de baisse d’attention. Ce qu’il faut retenir pour commencer : l’hameçonnage imite un organisme de confiance pour vous piéger (voler vos informations, votre argent), en jouant sur l’urgence, la peur et la confiance ; c’est très répandu, de plus en plus crédible, et personne n’est à l’abri ; mais des réflexes simples permettent de le repérer : apprenons-les.

Les signes qui doivent alerter

Plusieurs indices permettent de repérer un mail d’hameçonnage ; apprenez à les reconnaître. L’URGENCE et la MENACE : un message qui vous PRESSE d’agir immédiatement, sous peine de conséquences (« votre compte sera fermé sous 24h », « réagissez immédiatement », « dernière chance ») est très suspect ; les organismes légitimes ne vous mettent généralement pas une telle pression ; l’urgence est LA marque de fabrique de l’arnaque (pour vous faire agir sans réfléchir). La demande d’INFORMATIONS sensibles : un message qui vous demande de saisir ou « confirmer » votre mot de passe, votre numéro de carte bancaire, vos codes, vos identifiants ; un organisme sérieux ne vous demande JAMAIS vos mots de passe ou codes confidentiels par mail. L’ADRESSE de l’expéditeur DOUTEUSE : vérifiez l’adresse mail réelle de l’expéditeur (pas juste le nom affiché) ; souvent, elle ne correspond PAS à l’organisme prétendu (une adresse bizarre, un nom de domaine étrange, des caractères inhabituels) ; c’est un indice fort. Les LIENS suspects : le message vous invite à cliquer sur un lien ; SANS cliquer, survolez-le (sur ordinateur) pour voir l’adresse réelle vers laquelle il mène : souvent, elle ne correspond PAS au site officiel (une adresse étrange, mal orthographiée, un domaine qui imite mais diffère) ; méfiez-vous des liens. Les FAUTES et le ton : fautes d’orthographe, formulations maladroites, traduction approximative, ton étrange ; c’est un signe (même si les arnaques sont de mieux en mieux rédigées). Une formule de politesse VAGUE : « Cher client », « Bonjour » sans votre nom ; un organisme qui vous connaît vous nomme généralement. Une demande INATTENDUE ou incohérente : un colis que vous n’attendez pas, un remboursement d’un service que vous n’utilisez pas, une « facture » d’un organisme inconnu ; l’incohérence avec votre situation réelle est un signal. Une PIÈCE JOINTE inattendue : un fichier joint que vous n’attendiez pas peut être malveillant ; ne l’ouvrez pas sans certitude. Un lien vers un FAUX site : le lien mène à une page qui IMITE le site officiel pour vous faire saisir vos identifiants ; attention aux adresses qui ressemblent mais diffèrent. Une offre trop BELLE : un gain, une bonne affaire incroyable, un remboursement inattendu ; si c’est trop beau pour être vrai, c’est probablement faux. Aucun de ces signes n’est infaillible seul, mais leur PRÉSENCE (surtout plusieurs à la fois) doit vous alerter. Le réflexe général : face à un message qui presse, demande des informations sensibles, contient des liens douteux, ou paraît incohérent, MÉFIEZ-VOUS ; ne cliquez pas, ne répondez pas, vérifiez par un autre moyen. Ces indices, une fois connus, vous permettent de repérer l’immense majorité des tentatives d’hameçonnage.

Le réflexe qui vous protège : dans le doute, ne cliquez pas — vérifiez par un autre moyen. Face à un message suspect, le réflexe le plus efficace et le plus simple est celui-ci : ne cliquez sur RIEN, ne répondez pas, et VÉRIFIEZ par un canal INDÉPENDANT. Concrètement : si vous recevez un message « de votre banque », d’un service de livraison, d’une administration, qui vous demande d’agir (cliquer, confirmer des informations, payer) — même s’il paraît crédible —, NE passez PAS par le lien ni les coordonnées du message. À la place : contactez l’organisme par un moyen que VOUS connaissez et vérifiez par vous-même : rendez-vous DIRECTEMENT sur le site officiel en tapant vous-même son adresse (ou via votre application officielle installée), ou appelez le numéro figurant sur votre carte bancaire, un courrier officiel, ou le site officiel (jamais le numéro donné dans le message suspect !). Vous saurez ainsi si la demande est réelle : si votre banque avait vraiment quelque chose à vous dire, vous le verrez sur votre espace en ligne officiel ; si le « colis » existe vraiment, vous le vérifierez sur le site officiel du transporteur avec votre vrai numéro de suivi. Neuf fois sur dix, vous constaterez qu’il n’y a AUCUNE demande réelle : c’était une arnaque. Ce réflexe — « dans le doute, je ne clique pas, je vérifie par un autre moyen » — vous protège de l’immense majorité des hameçonnages, car il court-circuite le piège : l’escroc a besoin que vous passiez par SON lien et SON canal ; en passant par le canal officiel que VOUS choisissez, vous lui échappez. Retenez aussi ces règles absolues : un organisme légitime ne vous demande JAMAIS votre mot de passe ou vos codes confidentiels par mail/SMS ; ne communiquez JAMAIS ces informations ; méfiez-vous de l’URGENCE (l’arnaque veut vous faire agir vite : prenez au contraire le temps de réfléchir et de vérifier) ; et ne vous fiez pas à l’apparence soignée d’un message (les faux sont de mieux en mieux imités). En cas de doute, ne pas cliquer et vérifier par soi-même via le canal officiel est le geste qui vous met à l’abri : simple, gratuit, et redoutablement efficace contre l’hameçonnage. Face à ces arnaques, la vigilance et ce réflexe valent tous les logiciels.

Que faire face à un mail suspect (ou si on s’est fait piéger)

Voici comment réagir face à une tentative d’hameçonnage, et que faire si vous êtes tombé dans le piège. Face à un mail SUSPECT : ne CLIQUEZ sur aucun lien, n’OUVREZ aucune pièce jointe, ne RÉPONDEZ pas, ne communiquez AUCUNE information ; vérifiez par un autre moyen si la demande est réelle (canal officiel) ; puis SIGNALEZ le message comme hameçonnage/spam (via le bouton de votre messagerie, qui aide à protéger les autres), et SUPPRIMEZ-le ; vous pouvez aussi signaler l’arnaque aux dispositifs officiels de signalement (selon votre pays, il existe des plateformes pour signaler les tentatives d’hameçonnage). Ne vous DÉSABONNEZ PAS via un lien d’un mail que vous soupçonnez d’être frauduleux (cela peut confirmer que votre adresse est active) ; supprimez-le simplement. Si vous avez un DOUTE mais que ça pourrait être réel : vérifiez toujours par le canal officiel (site officiel tapé vous-même, application officielle, numéro officiel), jamais via le message. SI vous vous êtes fait PIÉGER (vous avez cliqué et saisi des informations, ou effectué un paiement), réagissez VITE : si vous avez donné un MOT DE PASSE, changez-le IMMÉDIATEMENT (sur le vrai site), et sur tous les autres comptes où vous utilisiez le même (nos guides gérer ses mots de passe) ; activez la double authentification. Si vous avez donné vos informations BANCAIRES ou effectué un paiement frauduleux, contactez IMMÉDIATEMENT votre banque (pour bloquer la carte, contester l’opération, surveiller votre compte) ; le temps compte. Si vous avez téléchargé une PIÈCE JOINTE suspecte, méfiez-vous d’un possible logiciel malveillant (nos guides que faire en cas de virus). SURVEILLEZ vos comptes (bancaires, mail) dans les jours suivants pour repérer toute activité anormale. SIGNALEZ et éventuellement PORTEZ PLAINTE selon la gravité (usurpation, préjudice financier). Ne CULPABILISE pas : se faire avoir par une arnaque bien faite arrive à beaucoup de monde ; l’important est de réagir vite. PRÉVENEZ vos proches : partagez l’information sur les arnaques en cours ; les personnes moins averties (personnes âgées notamment) sont des cibles privilégiées ; expliquez-leur les réflexes (nos guides protéger ses proches des arnaques). En résumé : face à un mail suspect, ne cliquez pas, vérifiez par un autre moyen, signalez et supprimez ; si vous êtes piégé, réagissez vite (changer les mots de passe, contacter la banque, surveiller), signalez, et ne culpabilisez pas ; et prévenez vos proches. Savoir réagir limite les dégâts et protège votre entourage.

Attention : un organisme légitime ne demande JAMAIS vos mots de passe ou codes par mail — et méfiez-vous de l’urgence. Retenez ces règles absolues qui vous mettent à l’abri de l’immense majorité des hameçonnages. RÈGLE D’OR : aucun organisme sérieux (banque, administration, service en ligne, opérateur) ne vous demandera JAMAIS, par mail ou SMS, de communiquer votre MOT DE PASSE, vos CODES confidentiels, votre code de carte bancaire, ou vos codes de sécurité ; si un message vous le demande, c’est une ARNAQUE, à coup sûr ; ne communiquez JAMAIS ces informations, et ne les saisissez pas sur un site atteint via un lien de mail. Deuxième règle : méfiez-vous de l’URGENCE et de la PEUR ; les arnaques jouent sur « agissez immédiatement », « votre compte va être fermé », « dernière chance », « opération frauduleuse détectée » pour vous faire réagir sans réfléchir ; prenez au contraire le TEMPS de réfléchir et de vérifier : un vrai organisme vous laisse le temps ; l’urgence est un signal d’alarme. Troisième règle : ne vous fiez PAS à l’apparence ; les faux mails et faux sites sont de plus en plus SOIGNÉS (logo, mise en page, ton officiels) ; un message crédible n’est pas forcément légitime ; vérifiez toujours par un autre moyen plutôt que de vous fier au « ça a l’air vrai ». Quatrième règle : ne CLIQUEZ pas sur les liens des messages suspects, et n’ouvrez pas les pièces jointes inattendues ; passez par le site officiel que vous tapez vous-même, ou votre application officielle. Cinquième point : attention aux VARIANTES ; l’hameçonnage arrive aussi par SMS (faux colis, faux message de l’administration), par téléphone (faux conseiller bancaire, faux support technique — nos guides arnaque au faux support), par les réseaux sociaux ; les mêmes réflexes s’appliquent ; méfiez-vous des demandes urgentes et des liens, quel que soit le canal. Sixième point : attention aux arnaques CIBLÉES qui utilisent VOS informations (votre nom, une commande réelle) pour être plus crédibles ; même ainsi, ne baissez pas la garde : vérifiez par le canal officiel. Enfin, PROTÉGEZ vos proches VULNÉRABLES : les personnes âgées ou peu averties sont des cibles privilégiées ; expliquez-leur ces règles (ne jamais donner ses codes, se méfier de l’urgence, vérifier par un autre moyen, appeler un proche en cas de doute) ; votre vigilance peut leur éviter de lourdes pertes. En gardant à l’esprit ces règles — jamais ses codes par mail, méfiance de l’urgence, ne pas se fier à l’apparence, ne pas cliquer, vérifier par un autre moyen —, vous déjouerez la quasi-totalité des tentatives d’hameçonnage, aussi crédibles soient-elles.

Questions fréquentes

Comment savoir si un mail est une tentative d’hameçonnage ?

Plusieurs signes doivent vous alerter ; leur présence (surtout combinée) est très révélatrice. L’URGENCE ou la MENACE : un message qui vous presse d’agir immédiatement sous peine de conséquences (« compte suspendu », « 24h pour réagir », « dernière chance ») est très suspect : l’urgence est la marque de l’arnaque. La demande d’INFORMATIONS SENSIBLES : on vous demande de « confirmer » votre mot de passe, vos identifiants, votre numéro de carte ; un organisme sérieux ne le fait JAMAIS par mail : c’est une arnaque à coup sûr. L’ADRESSE de l’expéditeur : vérifiez l’adresse mail RÉELLE (pas juste le nom affiché) ; si elle ne correspond pas à l’organisme prétendu (adresse bizarre, domaine étrange), méfiance. Les LIENS : survolez-les (sans cliquer, sur ordinateur) pour voir où ils mènent vraiment ; une adresse qui ne correspond pas au site officiel (mal orthographiée, domaine imitant mais différent) est un signal fort. Le TON et les FAUTES : fautes d’orthographe, formulations maladroites, ton étrange (même si les arnaques s’améliorent). La formule VAGUE : « Cher client » sans votre nom. L’INCOHÉRENCE avec votre situation : un colis que vous n’attendez pas, une facture d’un service inconnu, un remboursement inattendu. Une PIÈCE JOINTE inattendue. Une offre TROP BELLE (gain, bonne affaire incroyable). Aucun signe n’est infaillible seul, mais leur présence doit éveiller votre méfiance. Le réflexe décisif : en cas de doute, NE CLIQUEZ PAS et VÉRIFIEZ par un autre moyen (le site officiel tapé vous-même, l’application officielle, le numéro officiel — jamais via le message). Souvent, vous constaterez qu’il n’y a aucune demande réelle : c’était une arnaque. Mieux vaut vérifier une fois de trop que se faire piéger ; dans le doute, considérez le message comme suspect.

J’ai cliqué sur un lien d’hameçonnage : que faire ?

Réagissez VITE, mais sans paniquer ; les mesures dépendent de ce que vous avez fait après avoir cliqué. Si vous avez SEULEMENT cliqué sur le lien sans rien saisir ni télécharger : le risque est plus faible ; fermez la page, ne saisissez rien ; par précaution, ne restez pas sur le site, et surveillez votre appareil (si vous constatez un comportement anormal, envisagez une vérification — nos guides que faire en cas de virus). Si vous avez SAISI un MOT DE PASSE / des identifiants sur le faux site : changez IMMÉDIATEMENT ce mot de passe sur le VRAI site (en y accédant vous-même, pas via le lien), et changez-le aussi sur tous les autres comptes où vous utilisiez le même mot de passe ; activez la double authentification sur ces comptes (nos guides gérer ses mots de passe) ; surveillez ces comptes. Si vous avez donné vos INFORMATIONS BANCAIRES ou effectué un paiement : contactez IMMÉDIATEMENT votre banque (faites opposition/bloquez la carte, signalez, contestez l’opération, demandez conseil) ; le temps est crucial pour limiter les dégâts ; surveillez votre compte de près. Si vous avez TÉLÉCHARGÉ un fichier ou installé quelque chose : méfiez-vous d’un logiciel malveillant ; ne l’ouvrez pas, supprimez-le, et faites vérifier votre appareil si besoin. Dans tous les cas : SURVEILLEZ vos comptes (bancaire, mail, autres) dans les jours et semaines qui suivent pour repérer toute activité suspecte ; SIGNALEZ l’arnaque (bouton de signalement de votre messagerie, et plateformes officielles de signalement selon votre pays) ; selon la gravité (préjudice, usurpation), vous pouvez PORTER PLAINTE. Ne CULPABILISEZ pas : les arnaques sont de plus en plus crédibles, et se faire avoir arrive à beaucoup de monde ; l’important est de réagir rapidement pour limiter les conséquences. Enfin, PRÉVENEZ vos proches si l’arnaque circule. Agir vite (changer les mots de passe, contacter la banque, surveiller) permet souvent de limiter, voire d’éviter, les dégâts ; ne restez pas passif, mais ne paniquez pas non plus.

Les arnaques par hameçonnage ne sont-elles pas faciles à repérer ?

De moins en moins : c’est justement pourquoi il faut des réflexes, pas seulement se fier à l’apparence. Il fut un temps où beaucoup d’arnaques étaient grossières (fautes énormes, mise en page ratée, invraisemblances) et faciles à repérer. Ce n’est plus toujours le cas : les tentatives d’hameçonnage sont devenues très SOIGNÉES ; les escrocs imitent parfaitement les logos, la mise en page, le ton officiel des organismes ; les faux sites ressemblent à s’y méprendre aux vrais ; certains messages sont personnalisés avec VOS informations (votre nom, une commande réelle) pour paraître crédibles ; et les outils modernes leur permettent de produire des textes bien rédigés, sans fautes. Résultat : on ne peut PLUS se fier uniquement à l’apparence ou à l’absence de fautes pour distinguer le vrai du faux ; un message très crédible peut être une arnaque. C’est pourquoi il faut adopter des RÉFLEXES qui ne dépendent pas de l’apparence : se méfier systématiquement de l’URGENCE et des demandes d’informations sensibles ; ne JAMAIS communiquer ses mots de passe/codes (aucun organisme légitime ne les demande) ; ne pas cliquer sur les liens des messages, mais VÉRIFIER par un autre moyen (site officiel tapé soi-même, application officielle, numéro officiel) ; considérer comme suspecte toute demande inattendue. Ces réflexes fonctionnent quelle que soit la qualité de l’imitation, car ils court-circuitent le piège ; ils sont votre vraie protection. De plus, n’importe qui peut se faire avoir, pas seulement les personnes « peu averties » : il suffit d’un moment de distraction, de fatigue, ou de tomber sur une arnaque qui colle à votre situation (vous attendez justement un colis…). Donc non, les arnaques ne sont plus faciles à repérer à l’œil ; d’où l’importance de ces réflexes de vérification, bien plus fiables que de juger sur l’apparence. Restez vigilant, même face à un message qui « a l’air vrai ».

Ce qu’il faut retenir

L’hameçonnage (phishing) est une arnaque qui imite un ORGANISME de confiance (banque, livreur, administration, site connu) pour vous PIÉGER : voler vos informations (mots de passe, données bancaires), vous faire cliquer sur un faux site, ou payer. Il joue sur l’URGENCE, la PEUR, l’APPÂT et la CONFIANCE, arrive surtout par mail (mais aussi SMS, téléphone, réseaux), et est de plus en plus SOIGNÉ : n’importe qui peut se faire avoir. Les SIGNES qui alertent : l’urgence/la menace (« agissez sous 24h »), la demande d’informations sensibles (mot de passe, codes — qu’un organisme ne demande JAMAIS par mail), une adresse d’expéditeur douteuse, des liens suspects (survolez-les pour voir où ils mènent vraiment), des fautes ou un ton étrange, une formule vague (« Cher client »), une demande incohérente avec votre situation, une pièce jointe inattendue, ou une offre trop belle. Le RÉFLEXE qui protège : dans le doute, NE CLIQUEZ PAS, ne répondez pas, et VÉRIFIEZ par un autre moyen (le site officiel tapé vous-même, l’application officielle, le numéro officiel — jamais via le message) ; cela court-circuite le piège. Les RÈGLES ABSOLUES : un organisme légitime ne demande JAMAIS vos mots de passe/codes par mail ; méfiez-vous de l’urgence (prenez le temps de vérifier) ; ne vous fiez pas à l’apparence soignée (les faux sont crédibles). Si vous êtes PIÉGÉ : réagissez vite — changez les mots de passe compromis (et partout où ils étaient réutilisés), contactez immédiatement votre banque si vous avez donné des infos bancaires, surveillez vos comptes, signalez l’arnaque, et ne culpabilisez pas (ça arrive à beaucoup ; l’important est d’agir). PRÉVENEZ vos proches vulnérables (personnes âgées surtout : cibles privilégiées) en leur expliquant ces réflexes. Face à l’hameçonnage, aussi crédible soit-il, la vigilance et le réflexe « je ne clique pas, je vérifie par un autre moyen » valent tous les logiciels : ils vous mettent à l’abri de la quasi-totalité de ces arnaques.