Comment reconnaître un e-mail de phishing

Un e-mail de phishing cherche à vous faire donner un mot de passe, un code, des coordonnées bancaires ou une information personnelle. Le message peut utiliser le logo et le ton d’une entreprise connue, mais son apparence ne prouve rien.

Lire l’adresse, pas seulement le nom

Le nom affiché peut être « Service client » alors que l’adresse réelle utilise un domaine sans rapport. Affichez l’adresse complète et examinez la partie située après l’arobase. Les fautes et les sous-domaines trompeurs sont des indices, mais une adresse compromise peut aussi être parfaitement écrite.

Se méfier de l’urgence

« Votre compte sera fermé aujourd’hui », « paiement à confirmer » ou « document à signer » sont des formulations conçues pour vous faire agir vite. Une demande importante mérite au contraire une vérification hors du message.

Ne répondez pas pour demander si le message est vrai. Contactez l’organisation depuis son application, un favori que vous connaissez ou un numéro trouvé sur un document officiel. N’utilisez pas le lien contenu dans le mail.

Inspecter le lien et la pièce jointe

Sur ordinateur, survolez le lien sans cliquer pour afficher sa destination. Sur téléphone, faites un appui prolongé si le système le permet. Un raccourcisseur d’URL ou un domaine qui imite une marque doit inciter à fermer le message.

Une facture inattendue au format document, archive ou fichier exécutable mérite la même prudence. N’activez pas les macros et ne désactivez pas la protection de l’appareil pour l’ouvrir.

Si vous avez cliqué

Fermez la page, ne saisissez aucune donnée et lancez une vérification de sécurité. Si vous avez entré un mot de passe, changez-le depuis le vrai site et sur tous les services où il était réutilisé. Si vous avez transmis des informations bancaires, contactez rapidement votre banque via son canal officiel.

Réflexe simple : un message qui demande une action sensible doit être vérifié depuis un autre chemin. Le doute est une bonne raison de ne pas cliquer.

Vérifier sans interpréter le ton

Un message professionnel n’est pas forcément fiable, et une faute n’est pas la seule preuve d’une fraude. Regardez l’adresse réelle de l’expéditeur, le domaine du lien, le contexte et l’action demandée. Les fraudeurs peuvent copier un logo et reprendre une signature publique. La question utile est : attendais-je ce message et puis-je effectuer la même action depuis l’application officielle ?

Sur ordinateur, affichez la destination d’un lien sans l’ouvrir. Sur mobile, utilisez l’aperçu disponible sans vous connecter. Méfiez-vous des adresses qui ajoutent un nom de marque avant un autre domaine, des variantes d’orthographe et des domaines raccourcis. Ne transmettez pas un message suspect à vos contacts pour leur demander leur avis si la pièce jointe peut être dangereuse.

Que faire d’un message douteux

Ne répondez pas, ne téléchargez pas la pièce jointe et ne renseignez pas de code. Signalez le message avec l’outil prévu par votre messagerie puis supprimez-le. Si l’organisation semble réelle, ouvrez vous-même son site depuis un favori ou tapez son adresse connue. Pour une banque, utilisez le numéro imprimé sur votre carte ou un relevé, jamais celui du message.

Réagir après une erreur

Si vous avez fourni un mot de passe, changez-le immédiatement depuis le site officiel et partout où il a été réutilisé. Activez la double authentification et déconnectez les sessions inconnues. Si vous avez communiqué des données bancaires, contactez l’établissement sans attendre. Conservez le message et les horaires : ces éléments peuvent aider le service concerné.