Comment reconnaître un email de phishing dangereux avant qu'il ne soit trop tard

Le mail est arrivé un mardi, à 7h42. Objet : « Votre colis est en attente de livraison — frais de douane à régler ». Logo Chronopost impeccable, mise en page propre, bouton bleu « Payer 1,99 € ». Et une petite ligne tout en bas, discrète : « Si vous ne réglez pas sous 24 h, le colis sera retourné à l'expéditeur ».

Un collègue m'a transféré ce message en me demandant si c'était vrai. Il avait commandé un livre trois jours plus tôt. Il attendait vraiment un colis. C'est exactement là que le phishing gagne : il ne vise pas votre intelligence, il vise votre contexte.

Depuis, je décortique systématiquement les mails suspects qu'on m'envoie. J'en ai accumulé une bonne centaine dans un dossier « arnaques » que j'ouvre quand j'ai cinq minutes. Pas pour le plaisir morbide — parce que les techniques évoluent vite et que la seule façon de reconnaître un mail dangereux, c'est d'avoir vu les versions précédentes.

Voici ce que j'ai fini par comprendre, y compris en me faisant avoir moi-même.

Anatomie d'un email de phishing réellement dangereux

Il faut arrêter de mettre tous les mails frauduleux dans le même sac. J'ai longtemps fait cette erreur, et elle m'a coûté cher — j'y reviens plus bas.

Ce qu'on reçoit le plus souvent, c'est du bruit de fond : une fortune héritée d'un prince nigérian, un loto espagnol qu'on n'a jamais joué, une veuve qui cherche à distribuer 12 millions. Ces messages-là sont dangereux pour une minorité de gens, mais ils sont surtout visibles. Ils se repèrent en trois secondes.

Le phishing qui fait mal, c'est l'autre catégorie. Celui qui arrive au bon moment, avec le bon prétexte, et qui ne vous demande pas de croire à une histoire extraordinaire. Il vous demande de faire ce que vous faites déjà dix fois par semaine.

Trois niveaux de dangerosité, pas un seul

Quand je reçois un mail suspect, je le classe mentalement. Ça prend dix secondes et ça évite de paniquer pour rien.

• Niveau 1 — arnaque opportuniste. Envoi massif, aucune personnalisation, fautes fréquentes, promesse invraisemblable. Risque réel : faible pour quelqu'un d'attentionné. Se supprime sans y penser.
• Niveau 2 — usurpation de marque grand public. Faux transporteur, faux opérateur télécom, faux impôts, faux remboursement d'énergie. Ciblage large mais crédible. C'est le gros du volume, et c'est là que la majorité des clics se produisent.
• Niveau 3 — ciblage personnalisé. Le message connaît votre nom, votre employeur, le nom d'un fournisseur, parfois le montant d'une facture en cours. Presque toujours un lien ET une pièce jointe. C'est celui qui vide des comptes professionnels.

La grille que j'utilise est simple : plus un mail combine plusieurs facteurs de risque simultanés, plus il faut le traiter comme du niveau 3, même si un seul élément paraît anodin. Un lien vers un domaine inconnu, seul, c'est banal (les newsletters en sont pleines). Un lien inconnu + une urgence + une demande de paiement + un expéditeur que vous ne connaissez pas : là, on ne discute plus.

Comment reconnaître un faux mail : les signaux qui tiennent encore

La liste habituelle circule partout : fautes d'orthographe, objet alarmiste, demande d'informations personnelles. Elle n'est pas fausse. Elle est juste en retard d'environ cinq ans.

Les modèles de langage ont réglé le problème des fautes. J'ai dans mon dossier des faux mails de la CPAM écrits mieux que la majorité des vrais courriers administratifs que je reçois. Donc si vous comptez encore sur l'orthographe pour trier, il faut changer de méthode.

Vérifier une adresse mail frauduleuse : regarder au bon endroit

Sur mobile, l'expéditeur affiché est souvent un simple nom d'affichage. « Service Client — Banque Populaire » peut très bien correspondre à une adresse du type contact@banque-populaire-securite[.]xyz. Le nom affiché ne prouve rien.

Ce que je fais, dans l'ordre :

1. J'affiche l'adresse complète (un tap sur le nom de l'expéditeur sur mobile, « Détails » sur la plupart des clients desktop).
2. Je lis ce qui se trouve après le arobase, de droite à gauche. Le domaine racine est le dernier segment avant l'extension : dans securite.banque-populaire.com, le domaine racine est banque-populaire.com, pas securite.
3. Je vérifie les sous-domaines trompeurs : banque-populaire.verification-client.net n'a rien à voir avec la banque. Tout ce qui compte est avant le dernier point.
4. Je regarde les extensions improbables. Une administration française n'écrit pas depuis un .top, un .xyz ou un .icu.

Ça, c'est la partie visible. Il y a une couche en dessous, plus fiable, que personne ne consulte : les en-têtes du mail. Dans Gmail, ouvrez le message, cliquez sur les trois points en haut à droite, puis « Afficher l'original ». Vous obtenez le chemin technique réel du message. Le champ Return-Path et les lignes Received ne peuvent pas être falsifiés aussi facilement que l'adresse affichée.

Franchement, c'est rébarbatif. Mais quand un mail vous demande un virement, ça vaut les trente secondes.

Le survol du lien ne suffit plus (et sur mobile, il n'existe pas)

Le conseil classique — « survolez le lien sans cliquer pour voir l'URL réelle » — fonctionne sur ordinateur avec une souris. Sur téléphone, il ne s'applique pas. Or la majorité des gens lisent leurs mails sur téléphone.

Deux choses à savoir. D'abord, le texte cliquable peut être totalement décorrélé de la destination : on peut afficher www.impots.gouv.fr et pointer vers n'importe quoi. Ensuite, certains liens utilisent des raccourcisseurs ou des redirections qui masquent la destination finale, y compris après survol.

La méthode qui marche partout : ne pas cliquer sur le lien du mail. Ouvrez votre navigateur, tapez vous-même l'adresse du service concerné, connectez-vous par vos favoris. Si le message était authentique, vous retrouverez l'information dans votre espace client. C'est plus lent. C'est aussi la seule approche qui élimine le problème à la racine.

Exemple de mail de phishing : deux cas que j'ai vus de mes yeux

La théorie, c'est bien. Deux exemples concrets valent mieux.

Le faux mail ANTAI et l'amende fantôme

Celui-ci revient par vagues. Le message annonce une infraction routière, un excès de vitesse de quelques km/h, et propose de régler l'amende en ligne « pour éviter la majoration ». Montant crédible, souvent entre 45 et 90 €. Logo de l'Agence nationale de traitement automatisé des infractions, référence de dossier, date et lieu plausibles.

Ce qui trahit le faux : l'ANTAI ne notifie pas les avis de contravention par simple email avec un lien de paiement. L'avis arrive par courrier, et le paiement passe par le site officiel de l'Agence nationale de traitement automatisé des infractions ou par un moyen indiqué sur l'avis papier. Une amende qu'on vous somme de payer par un bouton dans un mail, c'est une amende qui n'existe pas.

J'ai vu une variante particulièrement vicieuse : le mail indiquait un montant minoré de 45 € et précisait « si vous ne payez pas sous 48 h, le montant passe à 180 € ». La pression temporelle fait le travail. Pas besoin de menace, juste une horloge.

Le faux fournisseur qui change de RIB

Celui-là m'a coûté deux heures de sueur, à moi et à une personne de mon entourage professionnel. Un mail arrive d'une adresse qui ressemble à s'y méprendre à celle d'un fournisseur habituel — un caractère remplacé par un autre visuellement proche, du genre rn à la place de m. Le message explique un changement de coordonnées bancaires, joint une facture PDF avec un IBAN différent, et demande une mise à jour.

Le PDF était propre. L'IBAN était valide. La signature ressemblait à celle du contact habituel.

Ce qui a sauvé la situation : un appel téléphonique au numéro qu'on avait déjà en base, pas celui indiqué dans le mail. Le fournisseur n'avait rien envoyé. Règle simple : tout changement de coordonnées bancaires se confirme par un canal différent de celui qui l'annonce. Jamais par retour de mail.

Vérifier une adresse mail gratuitement : ce qui marche vraiment

Beaucoup de gens cherchent un outil qui dirait « oui, cette adresse est frauduleuse ». Je comprends l'envie. Mais aucun outil ne peut trancher à votre place, pour une raison simple : une adresse frauduleuse peut avoir été créée il y a une heure. Aucune base ne la connaît encore.

Ce qui existe vraiment, et qui aide :

• Les listes publiques de signalement (Signal Spam côté grand public, Phishing Initiative pour le côté collaboratif). Elles recensent des domaines déjà signalés. Utile pour confirmer un doute, inutile pour détecter du neuf.
• Les vérificateurs de réputation de domaine : vous collez le domaine, pas l'adresse complète. Si le domaine a trois semaines d'existence et héberge déjà un formulaire de connexion bancaire, ça se voit.
• Le gros bon sens documentaire : cherchez le nom du service + « phishing » dans un moteur. Quand une vague d'arnaques circule, elle laisse des traces dans les forums et sur les pages de signalement des marques concernées.

Un mot sur les listes d'adresses frauduleuses qu'on trouve en ligne : elles sont souvent obsolètes de plusieurs mois. Les escrocs abandonnent leurs domaines bien avant qu'ils n'apparaissent dans une liste publique. Considérez qu'une absence de signalement veut dire « pas encore détecté », pas « sûr ».

Que faire en cas de phishing : la procédure, dans l'ordre

La question qui compte vraiment n'est pas « comment le repérer » mais « qu'est-ce que je fais si j'ai cliqué ». Et là, l'ordre des actions change tout.

Vous n'avez pas cliqué

Ne répondez pas. Ne cliquez sur aucun lien de désinscription — vous confirmeriez que l'adresse est active. Signalez le message comme spam, puis transférez-le à Signal Spam ou à l'adresse de signalement de la marque usurpée si elle en publie une. Supprimez.

Vous avez cliqué mais rien saisi

Fermez l'onglet immédiatement. Ne touchez plus à rien. Faites un scan antivirus complet — une page piégée peut tenter un téléchargement en arrière-plan. Changez quand même le mot de passe du service concerné si vous vous êtes connecté, même partiellement. Et surveillez vos relevés pendant quelques semaines : les identifiants captés sont souvent revendus avant d'être utilisés.

Vous avez saisi vos identifiants

Chronologie. D'abord, changez le mot de passe depuis un autre appareil que celui qui a servi à cliquer — c'est important, la page piégée peut encore être ouverte. Ensuite, activez la double authentification si ce n'est pas déjà fait, en privilégiant une application d'authentification plutôt qu'un code par SMS. Puis prévenez votre banque si le service concerné touche à l'argent. Enfin, surveillez vos comptes pendant plusieurs jours.

Un détail qu'on oublie : si vous réutilisiez ce mot de passe ailleurs, changez-le partout. C'est la première chose que les attaquants testent automatiquement.

Comparer les canaux : où le danger est le plus élevé

Un mail n'arrive jamais seul. La question utile, c'est de savoir quel canal d'entrée vous expose le plus.

Ce qui ressort de ce tableau, et c'est ce que j'ai mis le plus longtemps à admettre : le téléphone est le canal le plus dangereux, pas l'email. Parce qu'à l'écrit, on a le temps de réfléchir. À l'oral, on est pris dans la conversation, et l'urgence est injectée en temps réel.

L'erreur que j'ai commise, et pourquoi elle m'a servi

Il y a quelques années, j'ai cliqué sur un lien dans un mail qui annonçait un problème de paiement sur un service que j'utilisais vraiment. Le mail était bon — je veux dire, il était bien fait. Rien de spectaculaire, aucune faute, un ton neutre. J'ai cliqué sans réfléchir, parce que le contexte était crédible.

Je n'ai rien saisi. La page a affiché un formulaire de connexion qui ne ressemblait pas tout à fait à l'original. C'est ce détail — pas la qualité du mail — qui m'a arrêté.

Ce que j'en ai tiré : ma vigilance n'était pas défaillante, elle était conditionnée par le contexte. Je repérais facilement les arnaques grossières et je baissais la garde dès que le sujet me concernait personnellement. C'est exactement le mécanisme que les attaquants exploitent, et ça ne se corrige pas avec une liste de signaux. Ça se corrige avec une règle mécanique : pour toute demande d'action, sortir du mail.

Le repérage, c'est bien. La règle fixe, c'est mieux.

Ce qui est en train de changer

La barrière de l'orthographe est tombée. La barrière du « ça a l'air amateur » tombe aussi. Les faux sites de connexion sont désormais des copies quasi parfaites, y compris sur mobile, y compris avec les bonnes polices et les bons logos.

Reste une barrière qui, elle, tient : un mail ne devrait jamais être le point d'entrée d'une action sensible. Pas de paiement, pas de changement de coordonnées, pas de saisie d'identifiants, pas de validation de code, directement depuis un message reçu.

Si vous retenez une seule chose de tout ça : sortez du mail. Ouvrez un onglet, tapez l'adresse vous-même. Ce réflexe-là vaut mieux que toutes les listes de signaux d'alerte réunies — parce que lui, il fonctionne encore quand le mail est parfaitement imité.

Et le prochain mail crédible qui vous demandera d'agir vite, vous le reconnaîtrez à ça : c'est précisément le moment où il ne faut pas se presser.