Un email « urgent » de sa banque, un colis soi-disant bloqué en douane, une alerte de compte suspendu : les tentatives de phishing ont gagné en réalisme et jouent sur la précipitation pour faire cliquer avant de réfléchir. Le design est souvent irréprochable, le logo identique à l'original, et seul un détail trahit la fraude.
Repérer ces détails ne demande aucune compétence technique particulière, juste les bons réflexes au bon moment. Ce classement présente 5 vérifications à faire systématiquement avant de cliquer sur un lien ou de saisir un mot de passe reçu par email, de la plus déterminante à la plus complémentaire.
Le réflexe le plus fiable consiste à vérifier l'adresse email complète de l'expéditeur, pas seulement le nom affiché. Un message qui s'affiche comme venant de « Ma Banque » peut très bien provenir d'une adresse du type service-client@secure-mabanque-fr.info : un coup d'œil sur l'adresse réelle suffit souvent à démasquer la fraude en quelques secondes, avant même d'avoir lu le corps du message.
Fiabilité du signal
Certains indices trompent facilement (un logo bien imité) alors que d'autres sont presque impossibles à contrefaire parfaitement.
Rapidité de vérification
Une astuce efficace mais qui prend cinq minutes à appliquer a peu de chances d'être utilisée face à un email reçu en pleine journée de travail.
Accessible sans compétence technique
L'immense majorité des lecteurs ne sait pas lire un en-tête SMTP : les bons réflexes doivent rester simples et visuels.
Efficacité sur mobile
Une grande partie des emails est désormais lue sur smartphone, où certains indices (comme l'URL complète) sont plus difficiles à voir.
| Critère | Adresse expéditeur | Survol du lien | Fausse urgence | Fautes & mise en forme | Ne pas saisir ses identifiants |
|---|---|---|---|---|---|
| Fiabilité du signal | Très élevée | Élevée | Moyenne | Moyenne à faible | Très élevée |
| Rapidité | 5 secondes | 5 secondes | Immédiat | Quelques secondes | Immédiat |
| Sur mobile | Oui (appui court) | Oui (appui long) | Oui | Oui | Oui |
| Compétence requise | Aucune | Aucune | Aucune | Aucune | Aucune |
Vérifier l'adresse email complète de l'expéditeur
Le nom affiché se falsifie, l'adresse réelle beaucoup moins
Sur ordinateur comme sur mobile, il suffit de toucher ou de cliquer sur le nom de l'expéditeur pour faire apparaître son adresse complète. Une entreprise sérieuse envoie toujours ses emails depuis son propre nom de domaine (@nomdelabanque.fr), jamais depuis une adresse Gmail, Outlook grand public, ou un domaine approximatif truffé de tirets et de mots comme « secure », « verif » ou « support ».
Le piège classique consiste à reproduire le nom de la marque presque à l'identique, avec une lettre remplacée ou une extension inhabituelle (.info, .cc au lieu de .fr). Un doute sur l'adresse doit suffire, à lui seul, à ne pas cliquer sur le reste du message.
Les plus
- Vérification en quelques secondes, sur ordinateur comme sur mobile
- Signal difficile à contrefaire parfaitement pour un fraudeur
- Ne demande aucune compétence technique
- Applicable à tous les types d'emails, pas seulement les banques
Les moins
- Certaines adresses frauduleuses restent bien imitées au premier coup d'œil
- Inefficace si une vraie boîte mail a été piratée par l'expéditeur
Survoler le lien sans cliquer pour voir l'URL réelle
Le texte du lien ment souvent, l'adresse derrière ne ment jamais
Sur ordinateur, un simple survol du lien avec la souris (sans cliquer) affiche l'adresse réelle de destination en bas de l'écran ou dans une info-bulle. Le texte affiché peut annoncer « accéder à mon compte » alors que le lien pointe en réalité vers un domaine qui n'a rien à voir avec l'entreprise annoncée.
Sur smartphone, un appui long sur le lien (sans relâcher) fait apparaître un aperçu de l'URL avant d'ouvrir quoi que ce soit. Le signal d'alerte : un nom de domaine inconnu, une suite de caractères aléatoires, ou une adresse qui ressemble à la bonne mais avec un mot ajouté avant l'extension.
Les plus
- Révèle la destination réelle avant tout clic
- Fonctionne aussi bien sur ordinateur que sur mobile (appui long)
- Détecte la quasi-totalité des liens de redirection frauduleux
- Devient un réflexe automatique après quelques essais
Les moins
- Les URLs raccourcies (bit.ly et équivalents) masquent la destination finale
- Demande d'y penser avant de cliquer, pas après
Repérer l'urgence artificielle et les menaces
La panique est l'arme numéro un du phishing
« Compte bloqué sous 24h », « colis en attente de paiement de frais de douane », « activité suspecte détectée » : ces formulations cherchent à déclencher une réaction rapide, avant que la réflexion ne prenne le dessus. Une entreprise sérieuse ne menace quasiment jamais de suspendre un compte en quelques heures par simple email.
Le bon réflexe face à ce type de message consiste à fermer l'email, puis à se rendre directement sur le site officiel (tapé soi-même dans le navigateur, jamais via le lien reçu) ou à contacter le service client par un canal connu. Si le problème est réel, il apparaîtra aussi en se connectant directement au compte.
Les plus
- Repère la quasi-totalité des tentatives de phishing les plus grossières
- Réflexe simple à transmettre à des proches moins à l'aise avec le numérique
- Fonctionne même sans regarder l'adresse ou le lien
- Renforce naturellement la prudence face aux emails inattendus
Les moins
- Certaines fraudes plus sophistiquées évitent volontairement la menace directe
- De vraies alertes de sécurité existent aussi et créent un sentiment d'urgence légitime
Repérer les fautes, la mise en forme et le ton inhabituel
Un détail maladroit trahit encore beaucoup de tentatives
Fautes d'orthographe, traduction automatique approximative, formule de politesse générique (« Cher client » plutôt que le prénom habituellement utilisé), logo légèrement flou ou mise en page qui ne correspond pas aux emails habituels de la marque : ces détails restent des signaux utiles, même si les fraudes les plus soignées ont beaucoup progressé sur ce point.
Comparer avec un email légitime déjà reçu de la même entreprise (typographie, signature, structure) permet souvent de repérer un écart, surtout quand plusieurs petits détails s'accumulent en même temps.
Les plus
- Facile à repérer même sans y prêter une attention particulière
- Efficace en complément d'autres vérifications
- Ne demande aucun outil, juste de la lecture attentive
- Utile pour former son œil aux tentatives les plus courantes
Les moins
- De moins en moins fiable seul, les fraudes les mieux faites sont désormais impeccables
- Ne suffit jamais à confirmer la légitimité d'un email, seulement à renforcer un doute
Ne jamais saisir ses identifiants depuis un lien reçu par email
Le geste qui neutralise le phishing même quand tout le reste a échoué
Même en cas d'incertitude après toutes les vérifications précédentes, une règle simple élimine presque tout le risque : ne jamais saisir un mot de passe ou des coordonnées bancaires sur une page ouverte depuis un lien reçu par email. Pour accéder à un compte, mieux vaut toujours ouvrir un nouvel onglet et taper soi-même l'adresse du site, ou utiliser l'application officielle.
Ce réflexe s'accompagne idéalement de la double authentification, qui empêche généralement un fraudeur d'utiliser un mot de passe volé même s'il a réussi à le récupérer, ainsi que d'un gestionnaire de mots de passe qui ne propose jamais de remplissage automatique sur un faux site puisqu'il reconnaît le vrai nom de domaine.
Les plus
- Neutralise l'essentiel du risque même en cas de doute
- Se combine parfaitement avec la double authentification
- Devient une habitude simple à appliquer systématiquement
- Protège aussi contre des sites frauduleux qui échappent aux autres vérifications
Les moins
- Demande de résister au réflexe naturel de cliquer directement
- Un peu moins pratique au quotidien que de suivre un lien direct
Aucun réflexe pris isolément n'est infaillible à 100 %, mais leur combinaison rend le phishing beaucoup plus difficile à réussir. Vérifier l'adresse de l'expéditeur et survoler les liens avant de cliquer suffisent à filtrer l'immense majorité des tentatives ; la règle de ne jamais saisir ses identifiants depuis un lien reçu par email agit comme un filet de sécurité pour les cas les plus trompeurs.
Pour aller plus loin sur la protection de ses comptes au quotidien, ces réflexes se complètent bien avec les bons réflexes de sécurité en ligne et, côté achats, avec la capacité à repérer de faux avis clients avant un achat, une autre forme courante de manipulation en ligne.
Comment reconnaître un email de phishing en un coup d'œil ?
Le signal le plus fiable reste l'adresse email complète de l'expéditeur : un nom de domaine qui ne correspond pas exactement à celui de l'entreprise annoncée doit immédiatement alerter, même si le reste du message paraît parfaitement crédible.
J'ai cliqué sur un lien de phishing, que dois-je faire ?
Ne pas saisir d'identifiants si ce n'est pas déjà fait, fermer la page, puis changer le mot de passe concerné directement depuis le site officiel. Si des informations ont déjà été transmises, contacter rapidement la banque ou le service concerné pour signaler l'incident.
Un email de phishing peut-il venir d'une adresse qui semble légitime ?
Oui, notamment lorsque la boîte mail d'un contact a été piratée, ou dans certains cas de falsification avancée de l'expéditeur. C'est pourquoi combiner plusieurs vérifications (lien, ton du message, demande inhabituelle) reste plus sûr qu'un seul critère isolé.
Comment signaler un email de phishing ?
La plupart des messageries proposent un bouton « signaler comme hameçonnage » directement dans l'interface. En France, la plateforme officielle Signal Spam et le service 18-cybermalveillance.gouv.fr permettent aussi de signaler une tentative et d'obtenir de l'aide en cas de clic malheureux.
Les emails de phishing sont-ils toujours mal écrits ?
Non, de moins en moins. Les tentatives les plus récentes sont souvent parfaitement rédigées et visuellement identiques aux emails officiels : les fautes d'orthographe restent un indice utile, mais ne suffisent plus à elles seules à repérer une fraude bien construite.
Ce classement s'appuie sur les recommandations habituellement diffusées par les services de cybersécurité et les messageries elles-mêmes, ainsi que sur les techniques de phishing les plus fréquemment observées. Les réflexes sont classés selon leur fiabilité, leur rapidité d'application et leur accessibilité pour un utilisateur sans compétence technique particulière.
