Reconnaître un mail de phishing et éviter de se faire piéger facilement

Reconnaître un mail de phishing : les signaux qui ne trompent pas

Un client m'a appelé un mardi matin, paniqué. Il venait de saisir ses identifiants bancaires sur une page qui ressemblait trait pour trait à celle de sa banque. Trente secondes plus tard, un virement de 4 800 € partait vers un compte à l'étranger. Le mail était arrivé la veille. Il l'avait lu en diagonale sur son téléphone, entre deux rendez-vous.

C'est toujours comme ça que ça se passe. Pas dans un moment calme, où vous prenez le temps d'inspecter l'expéditeur. Non : au milieu d'une journée chargée, quand votre cerveau cherche juste à traiter le message le plus vite possible. Le phishing ne gagne pas parce qu'il est sophistiqué. Il gagne parce qu'il tombe au mauvais moment.

Dans cet article, je vous montre comment reconnaître un mail de phishing en quelques secondes, quoi faire quand vous avez déjà cliqué, et comment signaler la tentative. Pas de théorie : des réflexes que j'ai fini par acquérir après avoir failli me faire avoir moi-même.

L'anatomie d'un mail de phishing réussi

Je reçois plusieurs messages frauduleux par semaine. La grande majorité est facile à repérer : fautes, logos flous, adresse ridicule. Mais certains sont très bons. Et ceux-là méritent qu'on s'y attarde, parce que ce sont eux qui piègent les gens avertis.

Les signaux classiques, encore valables

Il y a une base qui n'a pas changé depuis des années. Le mail crée une urgence artificielle. Il vient d'un expéditeur que vous connaissez vaguement, ou qui prétend vous connaître. Il contient un lien ou une pièce jointe. Et il vous demande une action immédiate : payer, confirmer, mettre à jour, cliquer.

• Un objet alarmant : « Votre compte sera suspendu sous 24 h ».
• Une formule d'appel impersonnelle : « Cher client » au lieu de votre nom.
• Une adresse expéditrice qui ressemble sans être exacte : @banque-secure.fr au lieu de @banque.fr.
• Un lien dont l'URL réelle pointe vers un domaine inconnu.
• Une pièce jointe que vous n'attendiez pas.

Ce que les attaquants font maintenant

Spoofing d'affichage. Le nom expéditeur est identique à celui de votre banque, mais l'adresse réelle est cachée derrière. Sur un téléphone, vous ne voyez souvent que le nom. C'est exactement le but.

Le quishing aussi, qui m'a surpris la première fois : un mail avec un QR code à scanner soi-disant pour valider un colis. Vous scannez, vous atterrissez sur un faux site, et le téléphone ne vous montre jamais l'URL réelle avant le chargement. Redoutable.

Et les pièces jointes HTML. Un fichier « facture.html » qui s'ouvre dans votre navigateur et affiche une fausse page de connexion. L'antivirus ne bronche pas forcément, parce que ce n'est pas un exécutable classique. J'ai vu ça sur une campagne qui usurpait un transporteur, l'an dernier.

Exemple concret : le faux mail ANTAI et le faux avis de contravention

C'est probablement le phishing le plus efficace en France en ce moment, et je comprends pourquoi. Il usurpe l'ANTAI, l'Agence nationale de traitement automatisé des infractions. Le mail annonce une contravention impayée de 35 €, avec un lien pour régulariser sous peine de majoration.

Le truc vicieux, c'est que beaucoup de gens ont réellement une contravention en cours, ou pensent en avoir une. La peur de payer plus cher fait le reste.

Comment reconnaître un faux mail ANTAI

Trois choses à vérifier, dans cet ordre :

1. L'ANTAI ne réclame jamais un paiement directement par mail. Les avis de contravention arrivent par courrier postal, ou sur l'espace personnel de l'ANTS après identification.
2. L'adresse expéditrice. Un vrai message officiel vient d'un domaine en .gouv.fr. Pas d'un @gmail.com, pas d'un domaine approximatif qui contient « antai » sans être le bon.
3. La formulation. Beaucoup de ces faux mails sont bourrés de fautes ou d'un vocabulaire administratif approximatif. Mais attention : les plus récents sont bien écrits. Ne vous fiez pas qu'à l'orthographe.

Le réflexe qui marche : ne cliquez pas sur le lien du mail. Ouvrez vous-même votre navigateur et tapez l'adresse officielle. Si la contravention existe, elle apparaîtra dans votre espace personnel. Si rien n'apparaît, vous avez votre réponse.

Faux mail bancaire : la mécanique qui piège vraiment

Ma banque m'a envoyé un vrai message il y a quelques mois, pour me prévenir d'une connexion depuis un nouvel appareil. J'ai failli cliquer sans réfléchir. C'est là que j'ai compris à quel point le contexte compte plus que le contenu.

Un mail de phishing bancaire copie presque toujours la mise en page officielle. Logo, couleurs, mentions légales en bas de page. La différence se joue sur deux détails ténus :

Élément	Vrai message bancaire	Message frauduleux typique
Adresse expéditeur	Domaine officiel de la banque	Domaine approchant ou gratuit
Lien	Pointe vers le domaine bancaire	URL différente, souvent raccourcie
Demande	Vous invite à vous connecter vous-même	Vous demande vos identifiants directement
Urgence	Rarement urgente	Suspension de compte, opération suspecte sous 24 h
Champ « Répondre à »	Identique à l'expéditeur	Souvent différent, vers une adresse tierce

Le « reply-to » contre le « from » : un indice sous-estimé

Peu de gens le savent, mais on peut afficher l'en-tête complet d'un mail. Dans la plupart des clients, c'est une option cachée derrière un menu du type « Afficher l'original » ou « Voir la source ». Là, vous voyez deux champs : From (qui prétend écrire) et Reply-To (où la réponse partira réellement).

Quand ces deux adresses diffèrent, c'est un drapeau rouge. Sur un vrai message professionnel, elles sont en général identiques ou cohérentes. Sur un phishing, le « From » est maquillé et le « Reply-To » pointe vers une boîte que l'attaquant contrôle.

J'ai reçu un mail suspect : que faire, concrètement

La bonne nouvelle, c'est que la procédure est simple. Elle tient en trois minutes.

Que faire face à un mail suspect ?

Ne cliquez sur rien. Ne répondez pas. Ne téléchargez aucune pièce jointe.

1. Signalez le message comme spam ou phishing depuis votre client mail. Gmail, Outlook et les autres ont un bouton dédié. Cela protège aussi les autres utilisateurs.
2. Transférez le mail à Signal Spam, le service public français de signalement. Vous pouvez aussi passer par la plateforme Pharos pour les contenus frauduleux.
3. Si le mail usurpe une marque précise (banque, opérateur, administration), prévenez-la. La plupart ont une adresse du type abuse@ ou un formulaire de signalement.
4. Supprimez le message une fois signalé.

Et si vous avez déjà cliqué, mais sans rien saisir ? Fermez l'onglet, lancez un scan antivirus, changez par précaution le mot de passe du compte concerné. Dans la majorité des cas, rien ne se passe.

Si vous avez saisi vos identifiants, en revanche, chaque minute compte.

Comment savoir si on a été victime de phishing

Les signes arrivent vite, souvent dans les heures qui suivent :

• Des connexions que vous n'avez pas faites, visibles dans l'historique de votre compte.
• Des prélèvements ou virements inconnus sur votre relevé.
• Des mots de passe qui ne fonctionnent plus, quelqu'un les a changés.
• Des contacts qui reçoivent des messages étranges venant de votre adresse.

Dans ce cas, la marche à suivre :

1. Changez immédiatement le mot de passe du compte compromis, puis celui de tous les comptes où vous utilisiez le même.
2. Activez la double authentification si ce n'est pas déjà fait.
3. Contactez votre banque sans attendre. Elle peut bloquer une opération en cours si vous appelez assez vite.
4. En cas de fraude avérée, déposez plainte et conservez toutes les preuves : captures d'écran, en-têtes du mail, relevés.

Je le dis franchement : la rapidité fait toute la différence. Sur les cas que j'ai suivis, les personnes qui ont réagi dans l'heure ont récupéré l'essentiel. Celles qui ont attendu le lendemain ont perdu beaucoup plus.

S'en débarrasser et ne plus se faire avoir

Une fois le message signalé et supprimé, il reste un problème : les attaquants reviennent. Votre adresse est probablement dans une base revendue. Je reçois encore, trois ans après avoir eu un premier incident, des tentatives sur des adresses que j'avais pourtant nettoyées.

Réduire la surface d'attaque

Quelques habitudes qui changent tout :

• Utilisez des adresses distinctes pour vos usages critiques (banque, impôts) et pour le reste.
• Activez la double authentification partout où c'est possible, en priorité par application plutôt que par SMS.
• Ne réutilisez jamais un mot de passe. Un gestionnaire de mots de passe règle le problème en dix minutes.
• Méfiez-vous par principe de tout message qui vous demande une action immédiate.

Le meilleur filtre, au fond, n'est pas technique. C'est le ralentissement. Prenez systématiquement trois secondes pour vérifier l'expéditeur avant tout le reste. Ces trois secondes, elles m'ont évité au moins deux pièges que j'aurais pu avaler.

Et si un jour vous tombez dans le panneau, malgré tout : ce n'est pas une question d'intelligence, c'est une question de moment. On se fait tous avoir un jour ou l'autre. Ce qui compte, c'est ce qu'on fait dans l'heure qui suit.