Comment repérer un e-mail de phishing : les signes qui comptent vraiment

Voici un exemple inventé, écrit pour cet article. Ses adresses sont injoignables, et il n'est là que pour vous permettre de vous entraîner à le lire.

Exemple de message de phishing, pas un vrai
De : « Support Messagerie » <helpdesk@mail-storage-notice.example>
Objet : Votre boîte e-mail est pleine à 98 %, des messages sont retenus

Cher utilisateur, 14 messages entrants n'ont pas pu être délivrés car votre espace de stockage est plein. Vérifiez votre compte sous 24 heures pour les libérer et éviter la suspension.
[Libérer mes messages]

Ce qui trahit ce message : le domaine de l'expéditeur, qui n'appartient à personne avec qui vous avez affaire, une formule d'appel qui ne connaît pas votre nom, un délai assorti d'une menace, et un bouton qui veut que vous vous connectiez. Rien n'est mal orthographié, et c'est devenu typique. Pour repérer un e-mail de phishing, vérifiez la vraie adresse de l'expéditeur, lisez vers où les liens pointent réellement, méfiez-vous de toute demande inattendue de mot de passe, d'argent ou d'ouverture de fichier, et confirmez tout ce qui est important par un chemin que vous connaissez déjà plutôt que par le message lui-même.

Le phishing est un message qui se fait passer pour une personne ou une organisation de confiance afin que vous livriez vos identifiants, payiez de l'argent, installiez un logiciel malveillant ou révéliez des informations utiles à une attaque ultérieure. Les conseils fondés sur la mauvaise grammaire et les logos maladroits ont mal vieilli : copier le graphisme d'une marque est trivial, et les outils de traduction et de rédaction sont à la portée de tous. Ce qui reste fiable, c'est ce que le message vous demande de faire, et ce que les preuves techniques disent de son origine.

Quels signaux méritent votre attention

Les signes d'alerte ne se valent pas. Ce classement est un jugement fondé sur le fonctionnement des attaques, pas une statistique mesurée, mais il montre où placer vos quelques secondes d'attention.

Signal	Ce qu'il vous apprend	Pourquoi
Le lien mène à un domaine qui n'est pas celui de l'organisation annoncée	Très élevé	Cette incohérence est le cœur du phishing d'identifiants
L'e-mail demande un mot de passe, un code à usage unique ou un numéro de carte complet	Très élevé	Les services légitimes ne collectent pas ces données par e-mail
Coordonnées de paiement modifiées « d'urgence » par e-mail	Très élevé	Le schéma classique de la fraude par e-mail en entreprise
Le domaine de l'expéditeur ne correspond pas à l'organisation	Élevé	Les domaines imitateurs et les adresses de messagerie gratuite sont courants
Archive, fichier HTML ou document à macros inattendu	Élevé	Moyens courants de livrer un logiciel malveillant ou une fausse page de connexion
DMARC échoue pour le domaine annoncé	Élevé	Forte preuve de falsification, alors qu'une réussite ne prouve pas grand-chose
Forte urgence ou menaces	Moyen	Courant dans le phishing, mais de vraies alertes de sécurité peuvent aussi être urgentes
Formule d'appel générique	Moyen	Les campagnes de masse l'utilisent, les campagnes ciblées emploient votre nom
Fautes d'orthographe et de grammaire	Faible à moyen	Le phishing moderne est souvent soigné, et le vrai courrier contient des coquilles
Le logo ou la mise en page semble bizarre	Faible	Copier le graphisme d'une marque prend quelques minutes

Remarquez que le haut du tableau porte sur la destination et la demande, et le bas sur l'apparence. Le changement d'état d'esprit le plus utile consiste à cesser de vous demander « est-ce que ça a l'air vrai ? » pour vous demander « qu'est-ce qu'on attend de moi, et comment le vérifier sans passer par ce message ? »

Lire un lien correctement

Si vous ne retenez qu'une compétence technique de cet article, que ce soit celle-ci, car le texte visible d'un lien et sa destination réelle n'ont rien à voir. Un bouton marqué « Connectez-vous à votre compte » peut pointer n'importe où. Sur un ordinateur, survolez le lien sans cliquer et lisez l'adresse qui s'affiche dans la barre d'état ou dans une info-bulle. Sur un téléphone, appuyez longuement sur le lien pour l'afficher en aperçu, puis annulez.

La plupart des gens lisent les adresses web depuis la gauche, et les attaquants comptent là-dessus. La propriété se décide à l'extrémité droite du nom d'hôte : le domaine enregistré et son extension, juste avant la première barre oblique simple. Tout ce qui est à sa gauche est un sous-domaine que le propriétaire peut régler sur le texte de son choix. Tout ce qui suit la barre oblique est un chemin, qui peut lui aussi dire n'importe quoi. Prenons ces quatre exemples, dont le deuxième, le troisième et le quatrième sont fictifs :

• https://accounts.google.com/signin appartient à Google, puisque le domaine est google.com.
• https://accounts.google.com.secure-login.example/signin appartient à secure-login.example. Le nom de la marque n'est qu'un sous-domaine.
• https://secure-login.example/accounts.google.com/ appartient lui aussi à secure-login.example, avec la marque dans le chemin.
• https://www.paypal.com@203.0.113.7/ utilise une vieille astuce. Tout ce qui précède le @ est traité comme un nom d'utilisateur, et la vraie destination est l'adresse IP qui suit.

Quelques autres formes de liens doivent vous faire ralentir. Les raccourcisseurs d'URL sont étranges dans un message d'une grande marque, qui n'a aucune raison de cacher son propre domaine. Les liens vers des outils de formulaires ou des services de partage de fichiers vous demandant de « vous connecter pour voir un document » sont un grand classique, car les pages de phishing sont souvent hébergées sur des plateformes cloud légitimes. Le nom d'un hébergeur de confiance dans l'adresse ne signifie donc pas que la page est sûre. La question est de savoir si le domaine appartient à l'organisation avec laquelle vous pensez avoir affaire.

Le cadenas n'aide pas non plus, dans un sens comme dans l'autre. HTTPS vous dit que la connexion est chiffrée, et des certificats gratuits sont à la portée de tous, y compris des criminels. Une fausse page de banque avec un cadenas est une connexion chiffrée vers un voleur.

Méfiez-vous aussi des sosies internationaux. Les domaines peuvent utiliser des caractères d'autres alphabets, identiques aux lettres latines, comme un « а » cyrillique à la place d'un « a » latin. Les navigateurs les affichent souvent sous une forme codée commençant par xn--, et voir ce préfixe là où vous attendiez une marque familière est un bon indice.

Lire l'expéditeur

Les applications de messagerie affichent le nom d'affichage en gros caractères et cachent souvent l'adresse, et ce nom est un texte libre que choisit l'expéditeur. Un message qui affiche « Équipe du compte Microsoft » peut venir d'un domaine sans rapport ou d'une boîte compromise au hasard. Sur un ordinateur, survolez le nom ou cliquez dessus. Sur un téléphone, touchez-le pour le développer. Regardez ensuite la partie après le @, en gardant ces schémas en tête (les domaines ci-dessous sont des illustrations) :

• Des caractères échangés, comme rn à la place de m, ou le chiffre 1 à la place de la lettre l.
• Des mots ajoutés, comme netflix-billing.example. Les marques emploient rarement des variantes de leur nom avec un tiret pour le courrier de compte.
• Une extension différente, comme yourbank.co là où vous attendez yourbank.com.
• Une boîte grand public gratuite qui prétend être une banque, un cabinet d'avocats ou votre directeur général.

Vérifiez ensuite l'adresse de réponse. Un message peut afficher une ligne From plausible et régler Reply-To sur la boîte de l'attaquant, de sorte que votre réponse parte ailleurs. Beaucoup d'applications montrent la destination quand vous appuyez sur Répondre : regardez avant d'envoyer.

La vérification de l'expéditeur a une limite claire : elle ne dit rien des comptes détournés. Si la vraie boîte d'un collègue ou d'un fournisseur a été prise, l'adresse sera parfaite. Dans ce cas, la demande elle-même est votre seul signal, ce qui nous amène au point suivant.

Les demandes qu'aucun expéditeur honnête ne fait par e-mail

Certaines demandes sont suspectes quelle que soit la qualité du reste du message. Votre mot de passe ou votre code PIN. Le code à usage unique que vous venez de recevoir par SMS ou par application. Un numéro de carte complet avec son cryptogramme. Un paiement par carte cadeau ou en cryptomonnaie, ou un virement vers un nouveau compte. L'accès à distance à votre ordinateur pour un problème que vous n'avez jamais signalé. Des fichiers confidentiels ou des données du personnel envoyés à une adresse extérieure « pour un audit ».

La demande de code à usage unique mérite d'être comprise, parce qu'elle paraît si anodine. Un attaquant qui a déjà votre mot de passe déclenche une connexion, ce qui vous envoie un vrai code depuis le vrai service. Il vous écrit ensuite en se faisant passer pour le support et vous demande de « confirmer » ce code. Quiconque vous demande un code que vous avez reçu essaie de se connecter à votre place.

Les administrations servent aussi souvent de couverture. L'IRS aux États-Unis, par exemple, indique qu'elle n'initie pas de contact par e-mail avec les contribuables pour demander des informations personnelles ou financières, et beaucoup d'administrations fiscales ailleurs publient des avertissements semblables. Si vous pensez qu'un remboursement ou une pénalité peut être réel, saisissez vous-même l'adresse de l'administration et connectez-vous là.

Pourquoi même les gens prudents se font piéger

Le phishing vise le comportement plus que les logiciels. Les messages bien construits cherchent à provoquer une réaction émotionnelle rapide pour que vous agissiez d'abord et réfléchissiez ensuite. L'urgence est le levier évident (« compte fermé dans 24 heures »), avec la peur (« connexion inhabituelle », « action en justice en cours ») et l'autorité, avec un directeur général, une banque ou le support informatique comme expéditeur prétendu. La récompense et la curiosité fonctionnent aussi, avec des remboursements, des lots et « voyez qui a consulté votre profil ». Il y a enfin la simple serviabilité, comme quand un collègue a un besoin urgent qu'on relise un fichier.

La routine est peut-être le levier le plus fort. Une fausse facture, un faux avis de livraison ou un faux document partagé ressemble à des dizaines de vrais que vous traitez chaque semaine, et vous êtes le moins attentif à ce que vous faites en pilote automatique. C'est pourquoi le but n'est pas de se méfier de chaque e-mail, ce que personne ne peut tenir. Le but est de remarquer le moment où un message demande quelque chose de sensible, et de passer à cet instant de la réaction à la vérification.

Les types d'attaque, et ce que chacun change

Les noms comptent moins que de savoir ce que chaque variante change aux conseils ci-dessus. Certaines déjouent les vérifications habituelles.

Type	De quoi il s'agit	Ce que cela change pour vous
Phishing de masse	Message générique envoyé à d'énormes listes, comme une boîte pleine ou un colis bloqué	Le plus facile à repérer, puisqu'il colle rarement à votre vie
Spear phishing (hameçonnage ciblé)	Sur mesure pour vous, avec des noms et des détails tirés des réseaux sociaux ou de fuites de données	Les détails personnels ne prouvent rien
Whaling (chasse à la baleine)	Spear phishing visant des dirigeants ou des personnes qui contrôlent de l'argent	Votre rang fait de vous une cible
Compromission de messagerie en entreprise	Se faire passer pour un dirigeant, un fournisseur ou un collègue, ou prendre son compte, afin de détourner de l'argent	Souvent ni lien ni pièce jointe, donc les scanners ne voient rien
Phishing par clonage	Un vrai e-mail antérieur copié et renvoyé avec le lien ou le fichier remplacé	Un contenu familier ne prouve rien
Détournement de conversation	Répondre au sein d'un vrai échange depuis une boîte compromise	La vérification de l'expéditeur réussit
Quishing	Un code QR remplace le lien	Vous fait passer sur téléphone, loin des protections de l'ordinateur et des scanners de liens
Phishing par consentement	Une application malveillante demande l'accès sur un véritable écran « Autoriser »	Aucun mot de passe n'est volé, et la page de connexion est la vraie
Phishing par rappel	Une fausse facture ou un faux renouvellement donne un numéro à appeler	Rien sur quoi cliquer, et la fraude se joue pendant l'appel
Phishing par code d'appareil	On vous demande de saisir un code sur une vraie page de connexion, ce qui autorise l'appareil de l'attaquant	La vérification du domaine réussit, donc c'est la demande inattendue qui est l'indice

Les trois derniers méritent une phrase de conseil pratique. Lisez la liste des autorisations sur tout écran « Autoriser l'accès », et refusez si une application inconnue veut lire votre courrier. N'appelez jamais un numéro imprimé sur une facture inattendue. Et ne saisissez jamais un code sur une page de connexion parce que quelqu'un dans un e-mail ou une discussion vous l'a dit, sauf si vous avez vous-même lancé la démarche sur un appareil qui est devant vous.

Exemples de messages annotés

Tout ce qui suit est inventé, d'après des schémas largement documentés. Les noms et les domaines sont fictifs.

Exemple : le document partagé

Exemple uniquement
De : « Jordan (via Docs) » <jordan.m@partnerfirm-mail.example>
Objet : Jordan a partagé « Calendrier des paiements T3 » avec vous

Ouvrir dans Docs

Ce message imite une notification de partage, mais l'expéditeur est une adresse extérieure que vous ne connaissez pas, et le bouton mène à une page qui demande le mot de passe de votre messagerie, souvent avec une rangée de logos de fournisseurs. Les vraies notifications viennent du domaine de la plateforme elle-même et s'ouvrent dans une session où vous êtes déjà connecté. Si vous connaissez un Jordan, demandez-lui. Quoi qu'il arrive, ne saisissez pas votre mot de passe dans une page atteinte depuis un e-mail de « fichier partagé ».

Exemple : le nouveau compte bancaire du fournisseur

Exemple uniquement
De : « Comptabilité clients » <ar@supplier-co.example>
Objet : RE : Facture 4471

Veuillez noter que nos coordonnées bancaires ont changé à la suite d'un audit. Merci d'utiliser les nouvelles coordonnées jointes pour ce règlement et les suivants. Le paiement est en retard, merci de le traiter aujourd'hui.

Il n'y a peut-être aucun lien ici, et le message peut venir de la vraie boîte compromise du fournisseur, au sein d'un vrai fil. Toutes les vérifications techniques peuvent réussir. Le signal d'alerte, c'est la demande : un changement de coordonnées de paiement par e-mail, avec urgence. Appelez le fournisseur à un numéro que vous avez déjà dans vos dossiers, pas à celui de l'e-mail ou de sa signature, avant de payer quoi que ce soit. Si l'argent est déjà parti, appelez votre banque tout de suite et demandez s'il est possible de rappeler le paiement, et aux États-Unis, signalez-le sur ic3.gov.

Exemple : les frais de colis

Exemple uniquement
Objet : Votre colis est en attente : frais de douane impayés

Nous avons tenté de livrer votre colis. Des frais modiques sont nécessaires pour reprogrammer la livraison. Payez maintenant pour éviter le retour à l'expéditeur.

La petite somme fait baisser votre garde, et le but est d'obtenir vos coordonnées de carte complètes, qui serviront ensuite à une fraude plus importante. Suivez vos livraisons avec le numéro indiqué sur la page de commande du détaillant ou dans l'application officielle du transporteur.

Exemple : le dirigeant qui est « en réunion »

Exemple uniquement
De : « Sam Rivera (PDG) » <sam.rivera.office@freemail.example>
Objet : petit service

Êtes-vous disponible ? J'ai besoin que vous vous occupiez discrètement d'un dossier pour un client. Je suis en réunion, donc uniquement par e-mail.

Une boîte personnelle, une demande de discrétion et « uniquement par e-mail » forment ensemble le schéma, et la suite demande généralement des codes de cartes cadeaux ou un virement. Le message lui-même ne contient rien à analyser. Contactez le dirigeant par l'annuaire de l'entreprise, la messagerie instantanée ou le téléphone, et prévenez le service informatique.

Exemple : le code QR

Exemple uniquement
Objet : Mise à jour de l'authentification multifacteur requise

Vos paramètres MFA expirent aujourd'hui. Scannez le code QR ci-dessous avec votre téléphone pour vous réinscrire.

Les paramètres d'authentification multifacteur n'expirent pas par e-mail. Le code vous fait passer sur un téléphone, où l'adresse est plus difficile à examiner et où les protections de l'entreprise peuvent ne pas s'appliquer. Ne le scannez pas. Renseignez-vous auprès du service informatique, ou consultez directement les paramètres de sécurité du compte.

Exemple : le remboursement d'impôts

Exemple uniquement
Objet : Vous avez droit à un remboursement d'impôts

Après le calcul annuel de votre activité, vous avez droit à un remboursement. Envoyez le formulaire sous 48 heures.

Un cadeau inattendu, plus un formulaire qui demande des données d'identité et de carte. Allez sur le portail officiel de l'administration en tapant son adresse, ou appelez le numéro publié de l'organisme.

Exemple : l'alerte de compte en partie vraie

Exemple uniquement
De : « Sécurité du compte » <no-reply@secure-acct-center.example>
Objet : Action requise : activité de connexion inhabituelle

Nous avons détecté une tentative de connexion depuis un nouvel appareil. Pour que votre compte reste actif, vérifiez votre identité dans les 24 heures. [Vérifier maintenant]

De vrais services envoient bien des alertes de connexion, cette catégorie demande donc plus de soin que les autres. Ici, le domaine est générique et le message ne nomme même pas le service. Ne raisonnez pas à partir de l'intérieur de l'e-mail. Ouvrez l'application du service ou tapez son adresse, et regardez la page d'activité récente. Si rien n'y figure, l'e-mail était faux. Cette habitude marche aussi pour les vraies alertes, puisqu'elles y apparaîtront également.

Vérifier les en-têtes en cas de doute

Les en-têtes contiennent les preuves techniques de l'origine d'un message. Dans Gmail, ouvrez le menu à trois points et choisissez Afficher l'original, qui donne aussi un court résumé en haut. Dans Outlook sur le web, utilisez Affichage, Afficher la source du message. Dans Apple Mail, utilisez Présentation, Message, Tous les en-têtes.

Trois normes se cachent derrière les résultats que vous verrez. SPF permet à un domaine de publier les serveurs autorisés à envoyer son courrier, et le destinataire compare le serveur d'envoi à cette liste. DKIM ajoute une signature cryptographique, vérifiée avec une clé publique dans le DNS du domaine signataire, qui montre que les parties signées n'ont pas été modifiées et que le domaine a pris la responsabilité du message. DMARC les relie au domaine de la ligne From visible, une propriété appelée alignement, et indique aux destinataires quoi faire en cas d'échec : rien, mettre en quarantaine ou rejeter. Depuis 2024, Google et Yahoo exigent des expéditeurs en masse qu'ils publient un enregistrement DMARC, ce qui a rendu ces résultats plus courants.

Trouvez la ligne qui commence par Authentication-Results:. Elle peut ressembler à ceci, dans un exemple fictif :

Authentication-Results: mx.example.net; spf=pass smtp.mailfrom=bank.example; dkim=pass header.d=bank.example; dmarc=pass header.from=bank.example

Ici, tous les contrôles réussissent et tous les domaines s'alignent. Un message falsifié pourrait afficher dmarc=fail, ou une réussite pour un domaine complètement différent de celui de la ligne From. Ce tableau explique comment interpréter ce que vous trouvez.

Résultat	Ce que cela signifie	Ce que cela ne signifie pas
DMARC réussi pour le vrai domaine de la marque	Envoyé par ce domaine ou pour son compte	N'exclut pas un compte compromis dans cette entreprise
DMARC réussi pour un domaine imitateur	L'attaquant possède ce domaine et l'a configuré correctement	Le message n'est pas sûr, et c'est fréquent dans le phishing
DMARC échoué pour le domaine de la marque	Forte probabilité de falsification, ou transfert qui a cassé la vérification	Les listes de diffusion et les transferts cassent parfois du vrai courrier
Pas d'enregistrement DMARC	Le domaine n'a publié aucune politique	Cela ne prouve rien seul, mais falsifier ce domaine est plus facile

La leçon est que l'authentification dit qui a envoyé le message, et que l'honnêteté est une autre affaire. Un e-mail aux résultats parfaits venant de bank-resolution-center.example reste du phishing. La vérification combinée qu'il vous faut : le domaine authentifié est-il bien l'organisation que vous croyez ?

Les lignes Received: consignent chaque serveur traversé, le plus récent en haut. Elles peuvent montrer qu'un e-mail d'une « banque locale » est parti d'un serveur sans rapport, mais tout ce qui est en dessous du point où votre propre fournisseur a pris le message peut être falsifié : ne vous fiez qu'aux entrées ajoutées par les serveurs de votre fournisseur. Pour la plupart des gens, la ligne d'authentification et la vérification du domaine suffisent.

Pièces jointes et images dans un e-mail de phishing

Les pièces jointes livrent un logiciel malveillant ou mènent à une fausse page de connexion. Les formats qui demandent le plus de prudence sont les archives et images disque comme .zip, .rar, .7z, .iso et .img, les fichiers HTML qui ouvrent une fausse page de connexion en local, les documents Office qui vous demandent d'« activer le contenu » ou d'« activer la modification », les doubles extensions comme invoice.pdf.exe, les scripts et raccourcis comme .js, .vbs, .lnk et .bat, et les PDF qui ne contiennent qu'un bouton ou un code QR. Notre guide de sécurité des pièces jointes explique comment juger chaque type et comment ouvrir un fichier douteux avec moins de risques.

Les images sont plus discrètes. Une image distante peut indiquer à l'expéditeur que votre adresse est active, c'est ainsi que se constituent les listes d'adresses « vérifiées ». Nous expliquons comment cela fonctionne, et quels réglages l'empêchent, dans notre article sur les pixels espions dans les e-mails. C'est une petite raison de régler votre application pour qu'elle demande avant d'afficher les images externes.

Plus de prudence sur téléphone

Les téléphones compliquent tout cela. L'écran est petit, les adresses sont cachées par défaut, et l'aperçu d'un lien demande un appui long. Quelques habitudes compensent. Touchez le nom de l'expéditeur pour révéler l'adresse avant de faire confiance à un message. Appuyez longuement sur les liens au lieu de les toucher. Pour les banques, les boutiques et les réseaux sociaux, ouvrez l'application officielle plutôt que de suivre quoi que ce soit dans un e-mail. Traitez les codes QR reçus par e-mail avec un doute particulier, puisque vous les scannez avec l'appareil même sur lequel vous lisez. Si votre appareil photo affiche un aperçu de l'adresse avant de l'ouvrir, lisez-le comme n'importe quel lien.

Les mêmes ruses arrivent aussi par SMS et applications de messagerie, ce qu'on appelle généralement le smishing, et un appel téléphonique peut suivre un e-mail pour le rendre plus convaincant, ce qu'on appelle le vishing. Un interlocuteur qui mentionne l'e-mail que vous venez de recevoir n'a rien confirmé, puisqu'il l'a peut-être envoyé lui-même. Raccrochez et appelez un numéro que vous avez déjà.

Que faire d'un message suspect

1. Ne cliquez pas, ne téléchargez pas, ne scannez pas de code et ne répondez pas. Répondre pour demander « est-ce vrai ? » atteint l'attaquant, qui dira oui.
2. Vérifiez l'adresse de l'expéditeur et la destination des liens comme décrit plus haut.
3. Vérifiez par un autre moyen. Ouvrez l'application officielle ou tapez l'adresse. Appelez le numéro au dos de votre carte, sur une facture que vous détenez déjà ou dans l'annuaire de l'entreprise.
4. Signalez-le à votre fournisseur. Dans Gmail, le menu à trois points propose Signaler l'hameçonnage. Dans Outlook, cherchez sous Signaler l'option Signaler l'hameçonnage. Au travail, utilisez le bouton de signalement ou suivez les consignes de votre équipe de sécurité, et ne transférez pas le message à vos collègues pour leur demander leur avis, car cela propage l'appât.
5. Signalez-le à l'organisation usurpée si elle publie une adresse dédiée au phishing sur sa page de sécurité. Apple, par exemple, utilise reportphishing@apple.com.
6. Utilisez un service public de signalement quand il en existe un. Au Royaume-Uni, le National Cyber Security Centre reçoit les e-mails transférés à report@phishing.gov.uk. Aux États-Unis, la FTC reçoit les signalements sur reportfraud.ftc.gov. L'Anti-Phishing Working Group accepte les messages transférés à reportphishing@apwg.org. D'autres pays ont des services semblables, généralement via un organisme de protection des consommateurs ou de lutte contre la cybercriminalité.
7. Supprimez-le une fois signalé.

Si vous avez déjà cliqué

Cliquer est courant et se répare généralement. Ne laissez pas la gêne vous retarder, car la rapidité aide plus que tout ici. Trouvez le cas ci-dessous qui correspond à ce qui s'est passé.

Vous avez cliqué sans rien saisir

Fermez l'onglet et ne téléchargez rien de ce que la page proposait. Vérifiez que votre navigateur et votre système sont à jour, et lancez une analyse de sécurité si quelque chose s'est téléchargé tout seul. Attendez-vous à recevoir d'autres messages, car le clic a pu confirmer que votre adresse est lue. Dans la plupart des cas, c'est tout.

Vous avez saisi un mot de passe

1. Allez sur le vrai site en tapant son adresse et changez le mot de passe maintenant.
2. Changez-le partout ailleurs où vous aviez le même mot de passe ou un mot de passe proche. Si le mot de passe volé était celui de votre messagerie, c'est urgent, car la messagerie permet de réinitialiser tout le reste.
3. Déconnectez les autres sessions. Dans un compte Google, vous pouvez consulter Vos appareils sur la page de sécurité et déconnecter ceux que vous ne reconnaissez pas, et les détails de Dernière activité du compte en bas de la boîte de réception Gmail montrent les accès récents. D'autres services ont un contrôle similaire.
4. Activez l'authentification à deux facteurs, de préférence avec une clé d'accès (passkey), une clé de sécurité ou une application d'authentification.
5. Cherchez les modifications que l'attaquant a pu faire : e-mail et téléphone de récupération, règles de transfert et filtres, applications connectées, appareils inconnus.
6. Pour un compte professionnel, prévenez immédiatement le service informatique. Les attaquants se servent souvent d'une boîte compromise pour piéger vos collègues en quelques heures.

Notre guide sur que faire après une fuite de données détaille le nettoyage des mots de passe, car les étapes se recoupent.

Vous avez saisi un code ou approuvé une demande

Partez du principe que l'attaquant a peut-être une session active. Changez le mot de passe, déconnectez toutes les sessions, passez en revue les paramètres de sécurité et alertez le service informatique pour un compte professionnel. Les kits modernes « adversary-in-the-middle » transmettent votre connexion au vrai site pendant que vous la saisissez et capturent le cookie de session qui en résulte. C'est pourquoi les codes à usage unique seuls ne les arrêtent pas.

Vous avez saisi des coordonnées de paiement

Appelez immédiatement votre banque ou l'émetteur de votre carte, au numéro figurant sur votre carte. Demandez-leur de bloquer la carte et de surveiller les fraudes, et examinez vos relevés pendant les semaines suivantes. Si vous avez aussi saisi des données d'identité, regardez ce que propose votre pays. Aux États-Unis, IdentityTheft.gov fournit un plan de rétablissement, et un gel de crédit est possible auprès des agences de crédit.

Vous avez ouvert une pièce jointe ou activé des macros

Déconnectez l'appareil du réseau si vous soupçonnez un logiciel malveillant, lancez une analyse complète et, au travail, contactez le service informatique avant de faire quoi que ce soit d'autre. Changez les mots de passe importants depuis un autre appareil, sain.

Vous avez accordé l'accès à une application

Allez dans les paramètres de sécurité de votre compte, trouvez la liste des applications tierces ayant un accès et supprimez l'application inconnue. Un simple changement de mot de passe peut ne pas couper l'accès d'une application qui l'a déjà obtenu : la suppression passe donc en premier. Changez ensuite le mot de passe par précaution et vérifiez les règles de votre boîte.

Se préparer pour qu'une erreur coûte moins cher

Vous ne repérerez pas tout, à chaque fois, surtout les jours où ça ne va pas. De bons réglages par défaut font qu'un seul faux pas fait moins de dégâts, et certains font une partie du repérage à votre place.

Les plus solides sont les clés d'accès (passkeys) et les clés de sécurité matérielles. La CISA, l'agence américaine de cybersécurité, décrit l'authentification multifacteur résistante au phishing comme la référence absolue, et cite FIDO et WebAuthn comme sa forme largement disponible. Ces identifiants sont liés au vrai domaine, ils ne fonctionneront donc tout simplement pas sur un faux site, même une copie parfaite. Les applications d'authentification arrêtent la plupart des attaques visant seulement le mot de passe mais sont plus faibles face à un relais en direct : c'est une bonne étape, pas la dernière. Si votre banque ou votre fournisseur de messagerie propose les clés d'accès, les activer est probablement la chose la plus utile que vous puissiez faire après avoir lu cet article.

Un gestionnaire de mots de passe offre un second contrôle, plus discret. Il enregistre le domaine exact de chaque mot de passe. Quand vous arrivez sur une page imitatrice et qu'il ne propose aucun identifiant enregistré, ce silence est un avertissement, et il détecte des pages qui paraissent parfaites au pixel près. Ne le contournez pas en copiant-collant le mot de passe. Une petite réserve : les gestionnaires de mots de passe ne reconnaissent parfois pas un vrai site qui a changé de domaine de connexion. Le silence signifie donc « arrêtez-vous et allez sur le site en tapant son adresse », pas « c'est certainement faux ».

Défense	Ce qu'elle fait	Effort
Clés d'accès ou clés matérielles	Arrêtent le phishing d'identifiants et les relais en direct, puisque l'identifiant est lié au vrai domaine	Faible à moyen
Gestionnaire de mots de passe avec remplissage automatique	Refuse de remplir sur les faux domaines et évite la réutilisation	Faible une fois installé
Application d'authentification	Arrête la plupart des attaques visant seulement le mot de passe	Faible
Protections du navigateur	La Navigation sécurisée de Chrome et SmartScreen d'Edge avertissent de nombreuses pages malveillantes connues	Généralement déjà activées
Mises à jour logicielles	Ferment les failles exploitées par les fichiers et pages malveillants	Faible
Extensions de fichiers visibles	Démasquent les astuces de double extension	Un seul réglage
Demander avant de charger les images distantes	Empêche de nombreux pixels de confirmer votre adresse	Un seul réglage
Règle écrite de rappel pour les changements de paiement	Arrête la plupart des fraudes à la facture, quel que soit l'aspect de l'e-mail	Un changement de procédure
Limiter les endroits où va votre vraie adresse	Moins de listes et de fuites la contiennent	Une habitude

Pour une entreprise, la règle de rappel est celle qu'il faut écrire noir sur blanc. Les consignes du FBI sur la compromission de messagerie et les conseils du secteur bancaire s'accordent sur l'essentiel : confirmer tout changement d'instructions de paiement en dehors de l'e-mail, avec un numéro que vous détenez déjà. Elle marche parce qu'elle ne dépend de personne qui repérerait quoi que ce soit, et elle donne aux employés débutants une raison de dire « je dois d'abord appeler » à quelqu'un qui semble être leur patron.

Garder votre adresse principale hors des listes

Les pirates du phishing écrivent à des adresses achetées, aspirées ou tirées de fuites de données. Chaque fois que vous donnez votre vraie adresse à un site peu fiable, elle risque de finir dans l'une de ces listes. Utiliser une adresse distincte pour les inscriptions ponctuelles réduit la fréquence à laquelle votre boîte principale est visée, et facilite aussi le jugement sur le courrier restant, car un message sur votre banque qui arrive à l'adresse donnée uniquement à votre banque a plus de sens.

Une boîte temporaire est une option pour le niveau le plus bas, quand les conditions du site le permettent. Avec VookMail, une adresse est prête dès le chargement de la page, sans inscription ni mot de passe. Vous pouvez appuyer sur Nouveau pour saisir un nom d'utilisateur et choisir parmi plus de 30 domaines, ou appuyer sur le bouton jaune « Aléatoire » pour une adresse aléatoire, qui est le choix le plus sûr puisque quiconque connaît ou devine une adresse peut ouvrir cette boîte. Les messages et les pièces jointes sont supprimés après environ un jour : si l'adresse reçoit plus tard du phishing, il atterrit dans un endroit déconnecté de votre banque, de votre travail et de vos comptes principaux.

Cela convient pour télécharger une ressource, poser une question sur un forum ou tester un formulaire qui vous appartient. Cela ne convient pas aux comptes que vous devez garder ou récupérer, et jamais aux comptes bancaires, administratifs, de santé, professionnels ou de réseaux sociaux principaux. La FAQ traite de l'usage approprié, et la politique de confidentialité explique comment le courrier entrant est traité.

Les signaux d'alerte valent dans toute boîte, y compris jetable. En fait, une adresse temporaire offre un test pratique : si un message qui y arrive vous demande de vous connecter à votre vraie banque ou à votre vraie messagerie, c'est presque certainement du phishing, puisque vous n'avez jamais donné cette adresse à ces services.

Les idées fausses qui aident l'attaquant

• « Il y a un cadenas. » Cela veut dire chiffré, pas honnête.
• « Le logo et le nom sont bons. » Les deux se copient trivialement.
• « La grammaire est parfaite. » Beaucoup de campagnes sont désormais bien écrites.
• « Je vais juste appeler le numéro de l'e-mail. » Ce numéro peut mener droit à l'attaquant.
• « Il vient de la vraie adresse de mon collègue. » Les comptes se font détourner : la demande doit donc quand même être vérifiée.
• « J'ai cliqué, mais prévenir le service informatique serait gênant. » Le silence donne plus de temps aux attaquants, et c'est généralement le choix le plus coûteux de tous.
• « Je n'ai rien qui vaille la peine d'être volé. » Votre boîte e-mail peut réinitialiser vos autres comptes et servir à piéger vos contacts.

Une liste de contrôle pour le message que vous avez sous les yeux

Quand un e-mail vous demande de faire quelque chose, ces questions prennent moins d'une minute. Si l'une des réponses vous inquiète, arrêtez-vous et vérifiez par un autre chemin.

1. Est-ce que je m'y attendais ?
2. La vraie adresse de l'expéditeur appartient-elle à l'organisation qu'il annonce ?
3. Où mènent vraiment les liens, en lisant le domaine depuis la droite ?
4. Me demande-t-il un mot de passe, un code, un paiement ou un fichier ?
5. Pousse-t-il à l'urgence, à la peur, au secret ou à une récompense ?
6. Y a-t-il une pièce jointe, un code QR ou une invitation à « activer le contenu » inattendus ?
7. Mon gestionnaire de mots de passe reconnaît-il la page de connexion ?
8. Puis-je vérifier cela en ouvrant l'application ou en appelant un numéro connu ?

Questions fréquentes sur le phishing

Peut-on se faire pirater juste en ouvrant un e-mail de phishing ?

Avec une application de messagerie à jour, ouvrir un message est en général peu risqué. Le danger vient du fait de cliquer sur des liens, de saisir des identifiants, d'ouvrir des pièces jointes, d'activer des macros ou de répondre avec des informations. L'ouverture peut confirmer que votre adresse est active si des images se chargent, une raison de plus de bloquer les images distantes.

Pourquoi les e-mails de phishing passent-ils les filtres antispam ?

Les attaquants enregistrent de nouveaux domaines, envoient depuis des comptes légitimes compromis, hébergent des pages sur des services cloud de confiance et changent constamment leurs formulations. Certains e-mails de phishing passent même SPF, DKIM et DMARC parce qu'ils viennent d'un domaine que l'attaquant contrôle réellement.

Les e-mails de phishing sont-ils toujours pleins de fautes ?

Non. Beaucoup sont bien écrits et semblent identiques aux vrais e-mails de la marque. Concentrez votre attention sur les signaux techniques et sur ce qui est demandé.

Une vraie entreprise m'a envoyé un lien pour me connecter. Est-ce toujours du phishing ?

Non. Les entreprises envoient bien des liens légitimes, et la demande de connexion peut être authentique. L'habitude sûre marche dans les deux cas : quittez l'e-mail, ouvrez le service vous-même et regardez si quelque chose demande votre attention. Vous perdez quelques secondes au plus.

Une adresse jetable me protège-t-elle du phishing ?

Elle réduit l'exposition. Le phishing visant cette adresse arrive dans une boîte sans lien avec vos vrais comptes et est supprimé après environ un jour. Elle ne fait rien pour le courrier qui atteint votre boîte principale, où les vérifications ci-dessus restent donc nécessaires.