Un client m'appelle un mardi matin, paniqué. Il vient de cliquer sur un lien dans un mail « des impôts » et a saisi ses identifiants bancaires. Trois minutes plus tard, un prélèvement de 890 € partait vers un compte à l'étranger. Le mail était pourtant bourré de fautes grossières que je repère en deux secondes. Alors pourquoi lui est-il tombé dedans ? Parce qu'il était pressé, fatigué, et que le message est arrivé pile le jour où il attendait un remboursement. Voilà toute la mécanique du phishing : elle ne vise pas votre intelligence, elle vise votre emploi du temps.
Reconnaître un email de phishing facilement, ce n'est pas mémoriser une liste de signaux. C'est adopter deux ou trois réflexes qui prennent moins de dix secondes et qui tiennent même quand vous êtes à bout de nerfs. Ce sont ces réflexes que je vais détailler ici, y compris ceux que j'ai mis des mois à intégrer moi-même.
Points clés à retenir
- Le nom affiché ne prouve rien : c'est l'adresse technique complète qu'il faut lire.
- Une urgence artificielle (« sous 24 h », « dernier avertissement ») est le signal numéro un.
- Survolez un lien sans cliquer : l'URL réelle apparaît, souvent sur un domaine qui n'a rien à voir avec la marque.
- « Bonjour » sans votre nom, ou un nom mal orthographié, doit vous faire lever un sourcil.
- Aucun organisme sérieux ne demande vos identifiants, votre mot de passe ou un code SMS par email.
- En cas de doute : ne cliquez pas, passez par le site officiel tapé à la main.
Comment reconnaître un email de phishing sans se tromper
La plupart des guides vous noient sous vingt critères. Franchement, personne ne retient vingt critères. J'en ai réduit la liste à ce qui attrape réellement les cas que je rencontre, dans l'ordre où je les vérifie.
Le réflexe numéro un : lire l'adresse, pas le nom
Le champ « De » affiche un nom d'expéditeur. Ce nom est du texte libre, votre facteur peut écrire « impôts » sur une enveloppe sans être le fisc. Ce qui compte, c'est la partie après le arobase.
Sur Gmail, cliquez sur le nom pour déployer l'adresse réelle. Vous verrez parfois quelque chose comme [email protected]. Le mot « laposte » est là pour rassurer, mais le domaine réel, celui qui suit le dernier point avant l'extension, n'appartient pas à La Poste. C'est le piège classique du sous-domaine trompeur.
Bon à savoir, mais pas infaillible : un domaine légitime peut être mal orthographié d'une seule lettre (impots.gouvv.fr au lieu de impots.gouv.fr). Mon œil saute sur ces doublons, mais je me fais encore avoir de temps en temps quand je lis trop vite.
L'urgence, ou comment un mail vous met sous pression
Compte suspendu. Colis bloqué au centre de tri. Facture impayée sous 48 heures. Amende à régler immédiatement. Le scénario change, la ficelle reste la même : on crée un compte à rebours pour court-circuiter votre esprit critique.
- Un délai très court annoncé dans l'objet
- Une menace de conséquence grave (suspension, poursuites, perte d'argent)
- Une promesse trop belle — un remboursement que vous n'attendiez pas, un colis que vous n'avez jamais commandé
- Un ton émotionnel, presque théâtral, avec des majuscules et des points d'exclamation
- Une signature bancale, ou une formule de politesse absente
Le point commun de tous ces mails ? Ils vous poussent à agir avant de réfléchir. C'est exactement le comportement inverse de ce qu'il faut faire.
Comment reconnaître un faux mail ANTAI
L'ANTAI, l'organisme qui gère les amendes routières, est l'une des usurpations les plus courantes en France, avec le CPF et l'Assurance Maladie. Le faux avis de contravention est redoutablement bien fait : logo, mise en page, jargon administratif.
Trois indices me mettent la puce à l'oreille.
D'abord, l'ANTAI notifie les infractions par courrier postal, pas par email, sauf si vous avez explicitement accepté la notification dématérialisée via le portail officiel. Ensuite, le mail vous demandera de régler via un lien, alors que les paiements légitimes passent par le site antai.gouv.fr. Enfin, l'adresse d'envoi : l'État écrit depuis des domaines en .gouv.fr, jamais depuis un .com ou une adresse Gmail.
J'ai testé un jour en survolant le lien d'un de ces faux avis. L'URL pointait vers un domaine enregistré deux semaines plus tôt. Ce genre de détail ne se voit pas au premier coup d'œil, mais il ne trompe pas quand on prend la seconde de vérifier.
Que faire en cas de phishing email : j'ai reçu un mail suspect
La règle d'or tient en trois mots : ne cliquez pas. Ni sur le lien, ni sur la pièce jointe, ni sur le bouton « se désabonner » qui, bien souvent, sert seulement à confirmer que votre adresse est active.
Signaler, puis vérifier par un autre canal
Si le mail se fait passer pour un organisme connu, signalez-le sur la plateforme officielle cybermalveillance.gouv.fr. Vous transférez le message, vous ne répondez jamais à l'expéditeur. Cette plateforme, portée par l'État, sert aussi de guichet unique si vous avez malheureusement déjà cliqué.
Pour vérifier qu'un message est authentique, ne passez pas par le mail. Ouvrez un nouvel onglet, tapez l'adresse du site officiel à la main, et connectez-vous à votre espace personnel. Si le message était réel, l'information y figurera. Si elle n'y est pas, vous avez votre réponse.
Une astuce que j'utilise pour tester un lien sans risque : je copie l'URL et je la colle dans un outil d'analyse comme urlscan.io ou VirusTotal, qui inspectent la page sans que je l'ouvre. Ça prend dix secondes et ça m'a évité plusieurs erreurs, notamment sur des liens raccourcis dont on ne voit pas la destination.
Vérifier une adresse mail gratuitement
Vous pouvez inspecter une adresse ou un lien sans rien installer. Trois pistes concrètes.
- Le survol : passez la souris sur le lien (sans cliquer) et lisez l'URL affichée en bas de la fenêtre.
- L'en-tête complet : dans Gmail ou Outlook, ouvrez le menu du message et choisissez « Afficher l'original » ou « Afficher les détails ». Vous y verrez le champ
Return-Path, qui révèle l'adresse technique réelle, souvent différente du « De » affiché. - Les outils en ligne : urlscan.io, VirusTotal, ou les vérificateurs d'en-tête gratuits qui analysent les mécanismes d'authentification SPF, DKIM et DMARC du message.
Ces trois mécanismes méritent deux mots, car ils expliquent pourquoi certains faux mails arrivent quand même. SPF vérifie que le serveur d'envoi a le droit d'écrire au nom du domaine. DKIM appose une signature cryptographique. DMARC indique quoi faire en cas d'échec. Quand un email échoue aux trois, c'est un signal fort. Mais tous les domaines ne sont pas protégés, et un faux mail bien construit peut passer entre les mailles.
Les signaux fiables et ceux qui ne le sont pas
Tous les indices n'ont pas la même valeur. Voici comment je les classe, du plus fiable au plus trompeur.
| Signal | Fiabilité | Pourquoi |
|---|---|---|
| Domaine de l'expéditeur incohérent | Très fiable | Difficile à falsifier côté domaine réel |
| Demande d'identifiants ou de mot de passe | Très fiable | Aucun service sérieux ne procède ainsi |
| Urgence artificielle | Fiable | Signal comportemental, mais les mails légitimes peuvent aussi être urgents |
| Fautes d'orthographe | Moyen | Les escrocs soignent de plus en plus leur copie |
| Logo présent et bien fait | Non fiable | Un logo se copie en deux clics |
| Nom d'expéditeur connu | Non fiable | Le nom affiché est du texte libre |
La leçon de ce tableau : ne vous fiez jamais à ce qui se voit, fiez-vous à ce qui se vérifie. Un beau logo ne prouve rien. Une adresse technique, si.
À quoi ressemble un mail de phishing, concrètement
Un exemple type que j'ai reçu récemment, et que je décortique pour vous.
Objet : « Votre colis est en attente — action requise sous 24 h ». Expéditeur affiché : « Chronopost ». Adresse réelle : [email protected]. Le corps du message annonce des frais de douane de 1,99 €, une somme ridicule qui baisse votre vigilance. Un bouton « Régler maintenant » pointe vers un domaine inconnu.
Ce que je vérifie, dans l'ordre : l'adresse réelle (chrono-suivi-colis.net, pas chronopost.fr), le délai de 24 h, la formule d'appel générique, le bouton vers un domaine tiers. Quatre signaux, dix secondes. Je n'ai pas cliqué.
Et là, la partie que les guides oublient souvent : le petit montant. Les escrocs adorent demander 1,99 € ou 2,50 €, car personne ne se méfie d'une somme aussi faible. C'est un leurre. Derrière, ils récupèrent vos coordonnées bancaires complètes.
Les erreurs que j'ai faites, et ce qu'elles m'ont apprises
Je ne suis pas infaillible. Pendant des mois, je me suis fié au nom affiché, persuadé que « ça se voit tout de suite ». Jusqu'au jour où un mail parfaitement imité m'a fait douter. Il n'avait aucune faute, la mise en page était impeccable, le ton crédible. Ce qui m'a sauvé, c'est uniquement le réflexe de survoler le lien — le domaine réel n'avait rien à voir.
Deuxième erreur : croire qu'un expéditeur connu est forcément sûr. Un compte email piraté envoie des messages depuis la vraie adresse de votre contact. C'est le cas le plus vicieux, car tous les signaux visibles sont verts. La seule parade, c'est de vérifier le contenu par un autre canal : un appel, un SMS, une question posée en personne.
Troisième leçon, plus générale : la fatigue est le meilleur allié des escrocs. Mes deux presque-erreurs sont arrivées en fin de journée, quand je lisais vite. Le phishing n'exploite pas votre naïveté. Il exploite votre attention en baisse.
Alors voilà ce que j'ai fini par retenir, et c'est peut-être l'idée qui compte le plus : un mail légitime n'a jamais besoin que vous agissiez dans la seconde. Le vrai courrier important peut attendre que vous ayez ouvert votre navigateur et tapé l'adresse officielle vous-même. Le phishing, lui, ne supporte pas ce délai. C'est précisément pour ça qu'il vous presse — et c'est précisément pour ça que ralentir suffit à le démasquer.
