Reconnaître un e-mail de phishing en 6 signes

Le phishing (ou hameçonnage) reste la porte d'entrée n°1 des arnaques et des piratages : un e-mail imite une marque de confiance pour vous pousser à cliquer, à vous connecter ou à payer. La bonne nouvelle, c'est que les faux messages laissent presque toujours les mêmes traces. Voici les 6 signes à vérifier avant de toucher au moindre lien.

1. L'adresse d'expéditeur ne colle pas

Ne vous fiez jamais au nom affiché : regardez l'adresse réelle. Un message soi-disant de votre banque envoyé depuis [email protected] n'a rien d'officiel. Méfiez-vous des domaines approchants (micros0ft.com, paypa1.com), des sous-domaines trompeurs et des adresses en @gmail.com pour une grande entreprise.

2. Un ton d'urgence ou une menace

« Votre compte sera suspendu dans 24 h », « paiement refusé », « colis bloqué » : la peur fait cliquer avant de réfléchir. Une organisation sérieuse ne vous met jamais la pression pour agir immédiatement via un lien. En cas de doute, prenez le temps : c'est précisément ce que l'escroc veut vous empêcher de faire.

3. Un lien qui ne mène pas où il prétend

Survolez le lien avec la souris (sans cliquer) : l'URL réelle s'affiche en bas de l'écran ou dans une info-bulle. Si le texte dit « mabanque.fr » mais que l'adresse pointe vers un domaine inconnu, c'est un piège. Sur mobile, appuyez longuement pour révéler la destination. En cas de doute, tapez vous-même l'adresse du site dans le navigateur.

4. Une demande d'informations sensibles

Aucune banque, aucun service public, aucun fournisseur légitime ne vous demandera par e-mail votre mot de passe, votre code de carte, un code reçu par SMS ou une copie de vos papiers. Toute demande de ce type est, par définition, suspecte. Les vrais services vous invitent à vous connecter à votre espace, jamais à « confirmer » vos identifiants dans un formulaire lié à un e-mail.

Un e-mail qui crée l'urgence et réclame vos identifiants coche déjà deux cases sur six : ne cliquez pas, vérifiez.

5. Fautes, mise en page et pièces jointes douteuses

Fautes d'orthographe, logo pixelisé, formule d'accueil impersonnelle (« Cher client »), traduction maladroite : autant de signaux. Méfiez-vous surtout des pièces jointes inattendues — factures en .zip, documents demandant d'« activer les macros », fichiers .html à ouvrir. Une pièce jointe non sollicitée ne s'ouvre pas, on la vérifie.

6. Une offre trop belle ou un remboursement surprise

Gain à une loterie à laquelle vous n'avez pas joué, remboursement d'impôts « en attente », cadeau réservé aux premiers qui cliquent : si c'est trop beau, c'est faux. Ces appâts servent à récupérer vos coordonnées bancaires ou à installer un logiciel malveillant.

Le phishing ne passe plus seulement par l'e-mail

Les mêmes techniques se retrouvent désormais par SMS (on parle de smishing) et par téléphone (vishing) : un faux message de livraison qui réclame quelques euros de « frais de douane », un appel prétendant venir de votre banque. Les signaux restent les mêmes — urgence, lien inconnu, demande d'informations sensibles — et la bonne réaction aussi : ne cliquez pas, ne rappelez pas le numéro fourni, et passez par le canal officiel de l'organisme concerné.

Le réflexe qui protège vraiment

Au-delà de la vigilance, deux habitudes réduisent énormément le risque. D'abord, activez la double authentification sur vos comptes importants : même si un mot de passe fuite, l'escroc ne peut rien en faire sans le second code. Ensuite, utilisez un gestionnaire de mots de passe : il ne remplira jamais vos identifiants sur un faux site, car l'adresse ne correspond pas — un excellent détecteur d'hameçonnage, discret mais efficace.

Que faire si vous avez un doute

• Ne cliquez sur aucun lien et n'ouvrez aucune pièce jointe.
• Contactez l'organisme par un canal officiel (site tapé à la main, numéro au dos de la carte).
• Signalez le message comme hameçonnage dans votre messagerie, puis supprimez-le.
• Si vous avez déjà cliqué et saisi un mot de passe, changez-le immédiatement et activez la double authentification.

Le raccourci : laissez Yuna7 le faire

Analyser un en-tête d'e-mail, vérifier une URL suspecte ou repérer les traces d'un logiciel installé après un clic malheureux demande de l'expérience. Vous transférez le message douteux à Yuna7 : l'IA examine l'expéditeur, décortique les liens, contrôle votre PC à la recherche de menaces, applique le nettoyage nécessaire et vous explique chaque étape. Vous validez ce qui est sensible, elle s'occupe du reste.