Vous avez reçu un message de votre banque vous demandant de « confirmer une opération suspecte » via un lien. Le logo est là, le ton est professionnel, l'urgence est crédible. Vous cliquez. Et là, tout part en vrille.
Je gère la sécurité informatique d'une PME de 40 personnes depuis quelques années maintenant. En trois ans, j'ai vu passer une bonne trentaine de tentatives de phishing rien que sur nos boîtes pro. Deux ont failli passer. Une est passée, et ça nous a coûté une journée entière de nettoyage plus un changement de coordonnées bancaires en catastrophe.
La vérité, c'est que reconnaître une tentative de phishing ne relève pas de la magie ni d'un sixième sens. C'est une méthode. Un ensemble de réflexes qu'on acquiert à force de se faire avoir une fois ou deux. Et une bonne dose de paranoïa saine.
Voici comment j'ai appris à repérer ces attaques, et comment vous pouvez faire pareil.
Points clés à retenir
- Un phishing réussi repose presque toujours sur l'urgence et l'usurpation d'une source de confiance.
- Survolez les liens sans cliquer : le domaine réel ne correspond presque jamais à celui affiché.
- HTTPS ne garantit rien. Un site en https peut parfaitement être malveillant.
- Le vrai signal d'alerte, c'est souvent une demande d'informations confidentielles formulée par mail ou SMS.
- En cas de doute, ne cliquez pas, ne répondez pas, signalez et supprimez.
- Un site institutionnel ne vous demandera jamais votre mot de passe par courriel.
Comment reconnaître une tentative de phishing, signal par signal
La première fois que j'ai vu un faux mail ANTAI, j'ai failli y croire. Une amende impayée, une date limite, un lien pour régulariser. Sauf que je n'avais pas conduit ce jour-là. Détail qui tue.
Le phishing joue sur trois leviers psy : la peur (vous allez payer une amende), la cupidité (vous avez gagné un iPhone) ou la curiosité (regardez cette photo de vous). Il en faut peu pour qu'un cerveau pressé baisse sa garde.
Les signaux d'alerte qui ne trompent pas
Voici les cinq points à examiner systématiquement, dans l'ordre.
- L'objet du message. Demande urgente (« valider votre compte ! »), ton menaçant ou trop attrayant. Si ça sent la précipitation, méfiance.
- L'adresse de l'expéditeur. Ne regardez pas le nom affiché, regardez le domaine après l'arobase. Un domaine gmail.com pour une prétendue communication officielle, c'est louche. Et voir le bon domaine ne suffit pas toujours : certains attaquants utilisent des sous-domaines trompeurs du type banque-securite.com au lieu de banque.com.
- Les liens. Survolez le lien sans cliquer. Si l'URL affichée ne correspond pas au domaine réel, c'est presque toujours malveillant.
- Les pièces jointes. Un fichier Word, PDF ou Excel inattendu, surtout venant d'un expéditeur inconnu, c'est un vecteur classique de malware.
- La demande d'informations. Toute requête de mot de passe, numéro de carte ou identifiant directement dans un mail ou via un site externe est très suspecte. Un organisme légitime ne vous demandera jamais votre mot de passe en dehors de son site d'authentification officiel.
Ce dernier point est celui qui m'a sauvé le plus souvent. Une institution sérieuse ne vous demande jamais vos identifiants par mail. Jamais. Si elle le fait, ce n'est pas elle.
La vérification technique des liens : ce que personne ne vous explique
Survolez un lien, et regardez la barre d'état en bas de votre navigateur ou de votre client mail. Le domaine qui apparaît avant le premier slash est le vrai domaine. Le reste, c'est du décor.
Prenons un exemple typique :
| Ce que vous voyez | Ce que c'est vraiment | Verdict |
|---|---|---|
| https://impots.gouv.fr/remboursement | impots.gouv.fr | Légitime (si le domaine est exact) |
| https://impots.gouv.fr.secure-pay.net | secure-pay.net | Phishing |
| http://impots-gouv.fr | impots-gouv.fr | Phishing (tiret au lieu du point) |
| https://impots.gouv.fr | impots.gouv.fr | Légitime |
La règle est simple : le domaine réel est celui qui se trouve juste avant le premier slash unique. Tout ce qui suit peut être inventé. Et attention aux sous-domaines trompeurs : banque.com.evil-site.net n'appartient pas à banque.com. Il appartient à evil-site.net.
Autre point : HTTPS ne veut rien dire. Un site malveillant peut avoir un certificat SSL valide. Le cadenas vert ne certifie que la connexion, pas l'honnêteté du propriétaire.
Analyser les en-têtes d'un mail suspect
Si vous voulez aller plus loin, ouvrez les en-têtes complets du message (dans Gmail : « Afficher l'original » ; dans Outlook : « Options de message »). Vous y verrez :
- L'adresse d'expédition réelle (Return-Path), souvent différente du « De » affiché.
- Le champ Reply-To, qui peut pointer vers une adresse totalement différente.
- Les résultats d'authentification SPF, DKIM et DMARC. Si l'un d'eux échoue, c'est un signal fort.
Sur les trente tentatives que j'ai traitées, une bonne moitié affichait un échec DKIM ou SPF. Ce n'est pas une preuve absolue, mais c'est un faisceau d'indices.
Exemples concrets : à quoi ressemblent les attaques réelles
La théorie, c'est bien. Les exemples, c'est mieux.
Exemple de mail de phishing
Un classique que j'ai reçu il y a quelques mois :
De : service-client@colis-suivi-info.com
Objet : Votre colis est en attente de livraison — action requise
Bonjour,
Votre colis n° FR847293 ne peut être livré car des frais de douane de 2,99 € restent à régler. Merci de cliquer sur le lien ci-dessous dans les 24 heures, sans quoi il sera retourné à l'expéditeur.
Trois signaux sautent aux yeux : le domaine de l'expéditeur qui ne correspond à aucun transporteur connu, le montant dérisoire (2,99 €, conçu pour ne pas éveiller les soupçons), et l'ultimatum des 24 heures. C'est du smishing par mail, version basique.
Exemple de phishing bancaire
Plus vicieux : un mail prétendant venir de votre banque, avec le bon logo, la bonne charte graphique, et un message du type :
« Une connexion inhabituelle a été détectée depuis un appareil inconnu. Pour sécuriser votre compte, veuillez confirmer votre identité en cliquant ici. »
Le lien renvoie vers une copie parfaite du site de la banque. Vous saisissez vos identifiants, et c'est terminé. Les attaquants se connectent dans la foulée.
Le vrai indice ? Votre banque ne vous demandera jamais de confirmer votre identité par mail. Elle vous invitera à vous connecter directement depuis son application ou son site officiel que vous aurez tapé vous-même.
Que faire en cas de phishing : la procédure pas-à-pas
Vous avez reçu un mail suspect. Voici ce que je fais, dans l'ordre.
J'ai reçu un mail suspect, que faire ?
- Ne cliquez sur rien. Ni lien, ni pièce jointe, ni bouton de désinscription.
- Ne répondez pas. Répondre confirme que votre adresse est active.
- Signalez. Transférez le message à l'adresse de signalement de l'organisme usurpé (les banques, les impôts, les transporteurs ont tous une adresse dédiée). En France, vous pouvez aussi signaler sur la plateforme internet-signalement.gouv.fr (PHAROS).
- Supprimez. Marquez-le comme spam pour entraîner votre filtre.
- Si vous avez cliqué : changez immédiatement vos mots de passe, activez la double authentification, et surveillez vos comptes.
Signaler une tentative de phishing par SMS
Le smishing suit la même logique. Sur Android et iOS, vous pouvez signaler un SMS comme spam directement depuis l'application Messages. En France, vous pouvez transférer le SMS au 33700, le dispositif officiel de lutte contre les spams SMS. Pensez à inclure le numéro de l'expéditeur dans votre transfert.
Si vous avez cliqué sur le lien et saisi des informations bancaires, contactez votre banque dans l'heure. Plus vous agissez vite, plus vous avez de chances de bloquer les transactions.
Comment savoir si on a été victime de phishing ?
Les signaux qui doivent vous alerter :
- Des prélèvements ou transactions que vous n'avez pas effectués.
- Des mails de confirmation pour des comptes que vous n'avez pas créés.
- Des mots de passe qui ne fonctionnent plus, comme si quelqu'un les avait changés.
- Des contacts qui reçoivent des messages étranges de votre part.
Si l'un de ces signaux apparaît, considérez que vos identifiants sont compromis. Changez-les partout où vous les avez réutilisés (et si vous les réutilisez encore, c'est le moment d'arrêter).
Comment reconnaître un faux mail ANTAI
ANTAI (Agence nationale de traitement automatisé des infractions) est l'organisme qui gère les amendes routières. Ses faux mails sont devenus un grand classique du phishing français.
Les signaux à surveiller :
- L'objet. « Dernier avis avant majoration », « Amende impayée », « Convocation au tribunal » — tout ce qui joue sur l'urgence.
- Le lien. ANTAI ne vous enverra jamais un lien direct pour payer une amende par mail. Vous devez passer par le site officiel antai.gouv.fr en tapant l'adresse vous-même.
- L'absence de référence. Un vrai avis de contravention comporte toujours un numéro d'avis et un numéro de dossier. Si le mail reste vague, c'est un faux.
- Le domaine expéditeur. Regardez après l'arobase. Si ce n'est pas un domaine en .gouv.fr, méfiance immédiate.
Ma règle personnelle : je ne paie jamais une amende depuis un lien reçu par mail. Jamais. Je vais directement sur le site officiel, je saisis mon numéro d'avis, et je vois si l'amende existe vraiment.
Éviter les tentatives de phishing : les réflexes à installer
Reconnaître, c'est bien. Éviter, c'est mieux. Voici ce qui fonctionne vraiment au quotidien.
- Activez la double authentification partout où c'est possible. Même si vos identifiants fuient, l'attaquant ne pourra pas se connecter.
- Utilisez un gestionnaire de mots de passe. Non seulement il génère des mots de passe solides, mais il refuse de les saisir sur un site dont le domaine ne correspond pas à celui enregistré. C'est une protection anti-phishing redoutable.
- Ne cliquez jamais sur un lien dans un mail pour vous connecter à un service sensible. Tapez l'adresse vous-même, ou passez par l'application officielle.
- Méfiez-vous de l'urgence. Aucun organisme sérieux ne vous menace d'une sanction dans les 24 heures par mail.
- Vérifiez par un autre canal. Un mail de votre « directeur » demandant un virement urgent ? Appelez-le. Le ton de sa voix vous en dira plus que n'importe quel header.
La fraude au président, soit dit en passant, reste l'une des plus efficaces. Elle ne repose pas sur un lien ni sur un malware, juste sur l'autorité et l'urgence. J'en ai vu passer deux en trois ans, et la deuxième a failli marcher.
Et si on arrêtait de croire que ça n'arrive qu'aux autres ?
La question n'est pas de savoir si vous recevrez un phishing. Vous en recevrez. La question est de savoir si vous cliquerez.
Ce qui m'a le plus surpris dans mon expérience, c'est que les personnes les plus à risque ne sont pas les plus naïves. Ce sont les plus pressées. Les plus fatiguées. Celles qui traitent 80 mails par jour et qui cliquent en pilote automatique sur le lien du transporteur parce qu'elles attendent un colis.
Le phishing ne trompe pas la bêtise. Il exploite l'attention en berne.
Alors la prochaine fois que vous ouvrez un message qui vous met la pression, posez-vous une seule question : est-ce que cette personne, cette institution, cette entreprise, me demanderait vraiment ça par mail ?
Si la réponse est non, vous avez déjà gagné. Le reste, ce ne sont que des détails techniques.
