Comment reconnaître un e-mail d’hameçonnage ?
Un colis prétendument bloqué, un compte menacé de fermeture, une facture à régler immédiatement : un e-mail d’hameçonnage cherche souvent à vous faire agir avant de réfléchir. Son objectif peut être de voler un mot de passe, d’obtenir un paiement ou de vous faire ouvrir un fichier malveillant. Pour reconnaître un faux e-mail, examinez trois éléments : l’expéditeur réel, la destination des liens et la demande formulée.
1. Examiner l’adresse complète de l’expéditeur
Le nom affiché dans votre messagerie ne suffit pas. N’importe qui peut choisir un intitulé comme « Service clients » ou reprendre le nom d’un collègue. Dépliez les détails du message pour consulter l’adresse électronique complète.
Regardez particulièrement la partie située après le caractère @. Correspond-elle exactement au domaine habituellement utilisé par cet organisme ? Une lettre remplacée, un tiret ajouté ou des mots supplémentaires doivent attirer votre attention. Si une adresse de réponse différente apparaît, vérifiez également sa cohérence.
Une adresse apparemment correcte ne garantit toutefois pas l’authenticité du message. Elle peut être usurpée, et le compte d’un véritable contact peut avoir été piraté. Une demande inhabituelle mérite donc une vérification, même lorsqu’elle semble provenir d’une personne connue.
Le logo, la signature et la présence de votre nom ne constituent pas davantage des preuves : ces éléments peuvent être copiés ou récupérés.
2. Vérifier les liens sans les ouvrir
Un bouton intitulé « Consulter ma facture » peut masquer un lien frauduleux. Le texte visible et l’adresse de destination sont deux choses différentes.
Lire la véritable destination
Sur ordinateur, placez le pointeur sur le lien sans cliquer : votre logiciel ou votre navigateur affiche généralement sa destination. Sur téléphone, si vous ne pouvez pas consulter cette adresse sans risquer de l’ouvrir, passez directement par l’application officielle du service.
Examinez le nom de domaine, pas seulement les premiers mots de l’adresse. Dans cet exemple fictif, organisme.example.controle.example dépend de controle.example, et non de organisme.example. Le nom attendu peut ainsi être placé dans une adresse pour donner une impression trompeuse.
Un lien raccourci ou une adresse difficile à comprendre ne permet pas de confirmer la destination. En cas de doute, utilisez un favori enregistré ou saisissez vous-même l’adresse officielle connue.
Enfin, la mention HTTPS indique que la connexion est chiffrée. Elle ne prouve pas que le site appartient à l’organisme annoncé.
Se méfier aussi des pièces jointes
L’hameçonnage ne passe pas toujours par un bouton. Une fausse facture, une archive ou un document présenté comme urgent peut servir à diffuser un logiciel malveillant ou à conduire vers une fausse page de connexion.
N’ouvrez pas une pièce jointe inattendue avant d’avoir confirmé son origine. Un document qui demande d’activer des macros, d’autoriser un contenu ou de désactiver une protection doit éveiller votre méfiance. L’apparence d’un PDF ou d’un fichier bureautique ne garantit pas son innocuité.
3. Repérer les demandes inhabituelles
Le contenu du message apporte souvent davantage d’indices que sa présentation. Demandez-vous si l’action réclamée correspond à votre situation et aux habitudes de l’expéditeur.
Plusieurs scénarios doivent vous inciter à interrompre la démarche :
- une menace de suspension de compte assortie d’un délai très court ;
- un remboursement inattendu nécessitant vos coordonnées bancaires ;
- une demande de mot de passe ou de code de validation ;
- un changement soudain de coordonnées bancaires pour régler une facture ;
- une consigne de garder l’échange confidentiel ou de contourner une procédure habituelle.
Par exemple, une demande de paiement supplémentaire pour un colis mérite d’être vérifiée dans le suivi officiel de votre commande. Le fait d’attendre réellement une livraison ne suffit pas à authentifier le courriel.
Les fautes de français peuvent alerter, mais leur absence ne rassure pas à elle seule. Un message frauduleux peut être parfaitement rédigé, reprendre une conversation existante et employer le vocabulaire de votre entreprise.
4. Confirmer la demande par un autre canal
Quand un message vous pousse à transmettre une information sensible ou à payer, quittez l’échange pour vérifier.
Ouvrez l’application officielle ou votre espace client depuis un accès habituel. Vérifiez si la notification, la facture ou l’opération annoncée y figure. Si nécessaire, appelez l’organisme avec un numéro déjà connu, présent sur un contrat ou obtenu sur son site officiel.
Pour un collègue ou un fournisseur, utilisez les coordonnées enregistrées dans votre annuaire. Ne reprenez pas le numéro fourni dans le message suspect : il pourrait lui aussi appartenir au fraudeur.
Répondre à l’e-mail pour demander « Est-ce bien vous ? » ne constitue pas une vérification indépendante. Vous pourriez simplement poursuivre la conversation avec l’attaquant. Pour un changement de coordonnées bancaires, une confirmation téléphonique auprès de votre interlocuteur habituel est particulièrement utile.
5. Signaler le message frauduleux
Une fois le message identifié comme suspect, utilisez la fonction « Signaler comme hameçonnage » de votre messagerie lorsqu’elle existe. Dans un cadre professionnel, prévenez le service informatique en suivant la procédure interne et conservez le message original pour permettre son analyse.
En France, Signal Spam permet de signaler les courriels frauduleux. Phishing Initiative reçoit les signalements d’adresses de sites d’hameçonnage. Les démarches de signalement détaillées par Cybermalveillance.gouv.fr expliquent comment transmettre les informations utiles selon le cas.
Vous pouvez également avertir l’organisme dont l’identité a été usurpée, en passant par ses coordonnées officielles. Évitez le lien de désinscription d’un message manifestement frauduleux : il fait partie du contenu suspect.
Après avoir conservé les éléments nécessaires et effectué le signalement, supprimez le courriel de votre boîte de réception.
Si vous avez déjà cliqué ou communiqué des informations
Fermez la page suspecte sans poursuivre la saisie. Un clic ne signifie pas automatiquement que votre compte ou votre appareil a été compromis ; les mesures à prendre dépendent de ce qui s’est passé ensuite.
Si vous avez donné un mot de passe, changez-le immédiatement depuis le service officiel, ainsi que sur les autres comptes où vous l’utilisiez. Vérifiez les connexions actives et déconnectez les sessions inconnues. Activez l’authentification à deux facteurs lorsqu’elle est disponible.
Si vous avez transmis des données de carte bancaire ou effectué un paiement, contactez rapidement votre banque par ses coordonnées habituelles. Si vous avez ouvert ou exécuté un fichier suspect sur un équipement professionnel, avertissez sans attendre le service informatique en précisant les actions réalisées.