Phishing : comment repérer un faux e-mail en 7 réflexes
En bref :
- Le phishing (hameçonnage) est un faux message qui vous pousse à cliquer ou à donner des informations en se faisant passer pour votre banque, les impôts, un livreur ou une plateforme.
- Les 7 réflexes : vérifier l’expéditeur, se méfier de l’urgence, survoler les liens, ne rien saisir à la demande d’un mail, se méfier des pièces jointes, ne pas se fier à l’orthographe, contrôler par un autre canal.
- Un e-mail douteux se signale puis se supprime. Si vous avez cliqué, agissez vite.
Le phishing, ou hameçonnage en français, reste la principale porte d’entrée des arnaques en ligne : un message imite une organisation connue pour vous faire saisir un mot de passe, un numéro de carte ou un code. Pour une vue d’ensemble, lisez le guide des arnaques en ligne en France. Voici sept réflexes pour repérer un faux mail en quelques secondes.
Les 7 réflexes pour repérer un faux e-mail
1. Regardez l’adresse de l’expéditeur, pas seulement son nom
Le nom affiché peut dire « Ameli » ou « Impots.gouv ». C’est l’adresse complète qui compte : un message officiel vient d’un domaine comme ameli.fr ou impots.gouv.fr. Méfiez-vous d’un domaine approchant ou d’une adresse grand public (gmail, outlook) pour une entreprise.
2. Méfiez-vous de l’urgence et des menaces
« Compte suspendu sous 24 h », « dernier rappel », « remboursement à réclamer » : la pression est faite pour que vous n’ayez pas le temps de réfléchir.
3. Vérifiez les liens sans cliquer
Voir la section dédiée plus bas : l’adresse réelle d’un lien se lit avant de cliquer.
4. Ne donnez jamais d’informations sensibles à la demande d’un mail
Aucune banque, aucune administration ne vous demande par e-mail votre mot de passe, votre code de carte ou un code reçu par SMS.
5. Méfiez-vous des pièces jointes
Une facture que vous n’attendiez pas, un fichier .zip, .html ou un PDF qui renvoie vers un lien sont des classiques. Ne les ouvrez pas si vous ne connaissez pas l’expéditeur.
6. Ne vous fiez pas seulement aux fautes
Avec les outils de traduction et d’IA, les faux mails sont désormais souvent bien écrits. Une formule impersonnelle (« Cher client ») reste un signal, mais l’absence de faute ne prouve rien.
7. Contrôlez par un autre canal
Fermez le message, tapez vous-même l’adresse du site officiel ou ouvrez l’application. En cas de doute, appelez le numéro figurant sur votre carte bancaire ou sur le site officiel, jamais celui du message.
Exemples d’objets fréquents et signaux d’alerte
| Exemple d’objet | Signal d’alerte |
|---|---|
| « Remboursement d’impôt de 187,50 € à réclamer » | L’administration ne propose pas de remboursement par lien dans un mail. Voir le faux mail des impôts. |
| « Mettez à jour votre carte Vitale » | Ameli ne demande pas vos données bancaires par message. Voir les faux messages Ameli. |
| « Votre colis est en attente, frais de 1,99 € » | Petit montant pour récupérer votre carte bancaire. Voir les faux SMS de livraison. |
| « Votre abonnement a échoué » | Faux mail Netflix ou PayPal, lien vers une fausse page. Voir les faux mails PayPal et Netflix. |
Vérifier un lien sans cliquer
Sur ordinateur, survolez le lien avec la souris : l’adresse réelle s’affiche en bas à gauche de la fenêtre. Sur mobile, appuyez longuement sur le lien pour voir l’adresse avant d’ouvrir. Lisez le domaine de droite à gauche, avant le premier « / » : dans impots.gouv.fr.verification-compte.xyz, le vrai domaine est verification-compte.xyz, pas gouv.fr. Un lien raccourci cache sa destination : méfiance.
Que faire d’un e-mail suspect
- Ne cliquez sur rien, ne répondez pas et ne téléchargez rien.
- Signalez-le à Signal Spam (signal-spam.fr) ou avec le bouton « Signaler comme hameçonnage » de votre messagerie.
- Pour un faux SMS, transférez-le gratuitement au 33700.
- Supprimez le message, puis videz la corbeille.
Si vous avez perdu de l’argent, déposez plainte ; cybermalveillance.gouv.fr vous guide dans les démarches.
Si vous avez cliqué ou saisi des informations
- Mot de passe saisi : changez-le tout de suite sur le vrai site, et partout où vous l’utilisiez. Activez la double authentification. Si le compte est déjà verrouillé, récupérer un compte Google décrit la procédure.
- Carte bancaire saisie : appelez votre banque pour faire opposition sans attendre.
- Fichier ouvert : déconnectez le PC du réseau, lancez une analyse antivirus complète et changez vos mots de passe depuis un autre appareil.
Pour la suite à donner, voir compte piraté : les premiers réflexes à avoir.
Cas pratique : le faux remboursement des impôts
Julien reçoit un mail « Impots.gouv : remboursement de 187,50 € à réclamer sous 48 h ». L’adresse de l’expéditeur est service@remboursement-fiscal.top, le message le presse et propose un formulaire demandant son numéro de carte. Trois signaux d’alerte à la suite. Il ne clique pas, ouvre son espace officiel en tapant l’adresse lui-même, constate qu’aucun remboursement n’est en cours, signale le mail et le supprime.
Questions fréquentes
Qu’est-ce que le phishing, concrètement ?
C’est une technique où un faux message, souvent un e-mail, imite une organisation de confiance pour vous faire donner des informations ou cliquer sur un lien piégé.
Cliquer sur le lien suffit-il à être piraté ?
Pas forcément. Le danger vient surtout de ce que vous saisissez ensuite, ou d’un fichier que vous téléchargez. Mais mieux vaut ne pas cliquer.
Peut-on reconnaître un faux mail à ses fautes d’orthographe ?
Plus aussi facilement : les faux mails sont désormais souvent bien rédigés. Fiez-vous à l’adresse, aux liens et à la demande elle-même.
Que faire si le mail semble venir d’un ami ?
Son compte est peut-être piraté. Prévenez-le par un autre moyen, et n’ouvrez ni lien ni fichier.
Où signaler un e-mail de phishing ?
Sur Signal Spam, ou avec la fonction de signalement de votre messagerie. Un faux SMS se transmet au 33700.
