Phishing : comment reconnaître une tentative et réagir efficacement.

Un email de phishing n’a pas toujours l’air suspect. Il peut arriver dans la boîte de réception, afficher le nom d’une entreprise connue et contenir un lien dont l’adresse semble fiable. Certains messages frauduleux s’appuient même sur des services légitimes pour paraître authentiques.

Pour un entrepreneur, une petite entreprise ou un particulier, le risque est concret : un clic peut mener à une fausse page de connexion, au vol d’un mot de passe ou à l’accès à des données sensibles. Savoir repérer les signaux d’alerte et connaître les bons réflexes aide à limiter les dégâts.

Qu’est-ce que le phishing ?

Le phishing, appelé aussi hameçonnage en français, est une technique de fraude qui consiste à se faire passer pour un organisme, une entreprise ou une personne de confiance. Le but est de pousser la victime à transmettre des informations, à cliquer sur un lien, à ouvrir une pièce jointe ou à effectuer un paiement.

Les informations recherchées peuvent être des identifiants, des mots de passe, des coordonnées bancaires ou des données personnelles. Dans une entreprise, le phishing peut aussi servir de porte d’entrée pour accéder à la messagerie, aux fichiers partagés ou aux outils internes.

D’où vient le mot « phishing » ?

Le terme anglais phishing fait penser à fishing, qui signifie « pêche ». L’attaquant lance un appât — un faux message, une facture ou une alerte — en espérant qu’une personne mordra à l’hameçon. L’orthographe avec « ph » est souvent rapprochée du mot phreaking, une ancienne forme de piratage des systèmes téléphoniques.

Le phishing ne passe pas uniquement par email

Le courrier électronique reste un canal courant, mais les fraudeurs utilisent aussi les SMS, les appels téléphoniques, les réseaux sociaux et les applications de messagerie. Le principe reste le même : créer un sentiment de confiance ou d’urgence pour obtenir une action.

Le smishing désigne une tentative de phishing par SMS.
Le vishing désigne une tentative par appel téléphonique ou message vocal.
Le phishing ciblé, parfois appelé spear phishing, est un message préparé pour une personne ou une organisation précise.

Comment détecter un message de phishing ?

Il n’existe pas toujours de faute d’orthographe ou de détail grossier permettant de repérer une arnaque. Certains messages sont bien rédigés, personnalisés et cohérents avec les échanges habituels d’une entreprise. Il faut donc examiner la demande et le contexte, pas seulement l’apparence du message.

Une demande inattendue ou urgente

Méfiez-vous des messages qui vous pressent d’agir : un compte serait bloqué, un colis attendrait un paiement, une facture serait en retard ou un document devrait être signé immédiatement. L’urgence réduit le temps de réflexion et favorise les erreurs.

Une demande inhabituelle venant d’un collègue, d’un client ou d’un fournisseur mérite aussi une vérification, surtout si elle concerne un virement, un changement de coordonnées bancaires, l’achat de cartes-cadeaux ou la transmission de mots de passe.

Un lien ou une pièce jointe inattendus

Avant d’ouvrir un lien, vérifiez où il mène. Sur ordinateur, vous pouvez généralement placer le curseur dessus pour afficher l’adresse de destination. Sur téléphone, un appui prolongé peut révéler le lien, mais évitez de l’ouvrir pendant cette vérification.

Cette précaution est utile, mais elle ne garantit pas que le lien est sûr. Un lien peut passer par un service de redirection ou afficher une adresse associée à une entreprise légitime avant d’envoyer vers un site frauduleux. Le nom visible ne suffit donc pas toujours à juger la destination finale.

Une pièce jointe inattendue — notamment une archive, un document qui demande d’activer des macros ou un fichier exécutable — doit être traitée avec prudence. En cas de doute, ne l’ouvrez pas et vérifiez la demande auprès de l’expéditeur par un autre canal.

Une adresse d’expéditeur qui ne correspond pas

Regardez l’adresse complète de l’expéditeur, pas seulement le nom affiché. Un message présenté comme venant d’une banque ou d’un fournisseur peut utiliser une adresse qui n’a aucun rapport avec son domaine officiel, ou une variante très proche qui se remarque difficilement.

Mais une adresse cohérente ne prouve pas à elle seule que le message est sans danger. Un compte d’entreprise peut être compromis, ou un service légitime peut être utilisé de façon frauduleuse.

Un message qui semble techniquement valide

Les indicateurs SPF, DKIM et DMARC, parfois visibles dans les détails d’un email, servent à vérifier certains aspects de l’envoi et de l’identité du domaine. Un résultat positif indique que le message a été accepté comme autorisé pour le domaine concerné. Il ne prouve pas que la demande est honnête, que le compte de l’expéditeur n’a pas été piraté ou que le lien mène vers une page sûre.

De même, le cadenas affiché dans le navigateur indique que la connexion au site est chiffrée. Il ne garantit pas que le site appartient à la bonne entreprise : un site frauduleux peut lui aussi utiliser une connexion chiffrée.

Conseils simples pour débuter

Ne cliquez pas dans la précipitation. Prenez le temps de vérifier toute demande inattendue.
Ne transmettez jamais un mot de passe ou un code reçu par SMS ou application à la demande d’un message ou d’un appel.
En cas de doute, contactez l’organisme ou la personne par un moyen que vous choisissez vous-même : numéro enregistré, site officiel saisi dans le navigateur ou conversation déjà connue.
Ne répondez pas au message suspect et n’utilisez pas ses coordonnées pour vérifier son authenticité.
Utilisez un mot de passe différent pour chaque service. Un gestionnaire de mots de passe peut aider à les créer et à les conserver.
Activez l’authentification à plusieurs facteurs lorsque le service le propose. Elle ajoute une étape de vérification à la connexion.
Maintenez à jour votre ordinateur, votre téléphone, votre navigateur et vos logiciels de sécurité.
Si un message demande un virement ou un changement de coordonnées bancaires, vérifiez la demande par téléphone avec un interlocuteur connu, même si le message semble provenir d’un partenaire habituel.

Conseils pour aller plus loin

Vérifier le domaine, pas seulement le nom affiché

Un nom de marque dans l’adresse ne suffit pas. Lisez le domaine de droite à gauche en vous concentrant sur la partie juste avant l’extension, comme « .fr » ou « .com ». Les fraudeurs peuvent utiliser des variantes, des sous-domaines trompeurs ou des caractères qui se ressemblent. En cas de doute, ne suivez pas le lien : saisissez vous-même l’adresse officielle dans le navigateur ou utilisez un favori déjà enregistré.

Se méfier des liens de suivi et des redirections

Les entreprises utilisent parfois des services de suivi des clics dans leurs emails. Le lien visible peut alors passer par un domaine intermédiaire avant d’arriver sur le site voulu. Cette pratique existe aussi dans des campagnes légitimes, mais elle complique la vérification de la destination finale.

Si un lien inattendu concerne un compte important — messagerie, banque, hébergement ou gestionnaire de mots de passe — connectez-vous directement au service depuis son application ou son adresse habituelle. Vous pourrez vérifier s’il y a réellement une alerte ou une action à effectuer.

Comprendre les limites des protections email

Les filtres antispam et les contrôles d’authentification réduisent le nombre de messages frauduleux, mais ils ne les arrêtent pas tous. Un message peut passer les contrôles techniques si un compte ou un service autorisé a été compromis. Dans une entreprise, il est donc utile de prévoir une procédure simple pour signaler un email suspect et vérifier les demandes sensibles.

Protéger les comptes qui ouvrent d’autres portes

La messagerie est particulièrement importante : elle peut servir à réinitialiser les mots de passe d’autres services. Protégez son accès avec un mot de passe unique et une authentification à plusieurs facteurs. Vérifiez aussi régulièrement les appareils connectés, les règles de transfert automatique et les méthodes de récupération du compte.

Dans un environnement professionnel, limitez les droits d’accès au strict nécessaire et retirez rapidement ceux des personnes qui quittent l’organisation. Si un employé reçoit une demande de paiement inhabituelle, prévoyez une seconde vérification par un autre moyen avant d’effectuer le virement.

Que faire en cas d’attaque ou de clic accidentel ?

Un clic ne signifie pas automatiquement qu’un compte ou un appareil est compromis. La réaction dépend de ce qui s’est passé : simple ouverture du lien, saisie d’un mot de passe, transmission d’un code, téléchargement d’un fichier ou paiement. Agissez rapidement et ne cherchez pas à cacher l’incident : le signaler tôt aide à limiter ses conséquences.

Si vous avez seulement ouvert un lien

Fermez la page sans saisir d’information et ne téléchargez rien. Si le site a demandé une autorisation, n’acceptez pas. Surveillez le compte concerné et signalez le message à votre fournisseur de messagerie ou au service informatique de votre entreprise si vous en avez un.

Si vous avez saisi un mot de passe ou un code

Depuis un appareil de confiance, changez immédiatement le mot de passe du compte concerné.
Si vous réutilisiez ce mot de passe ailleurs, changez-le aussi sur ces autres services.
Déconnectez les sessions ouvertes et vérifiez les appareils connectés, les moyens de récupération et les règles de transfert de la messagerie.
Activez l’authentification à plusieurs facteurs si elle n’était pas déjà en place.
Si vous ne pouvez plus accéder au compte, utilisez la procédure officielle de récupération et prévenez les contacts qui pourraient recevoir des messages frauduleux depuis votre adresse.

Si vous avez donné des coordonnées bancaires ou effectué un paiement

Appelez immédiatement votre banque avec le numéro officiel figurant sur votre carte ou sur son site. Faites opposition si elle vous le recommande et demandez quelles démarches effectuer pour contester une opération. Ne rappelez pas un numéro fourni dans le message frauduleux.

Conservez les emails, SMS, numéros de téléphone, captures d’écran et justificatifs de paiement. Ces éléments peuvent aider la banque et les services compétents à comprendre ce qui s’est passé.

Si vous avez ouvert un fichier ou installé un logiciel

Si l’appareil se comporte de façon inhabituelle ou si vous avez lancé un fichier suspect, cessez de l’utiliser pour accéder à vos comptes. En entreprise, prévenez immédiatement le responsable informatique. À défaut, demandez conseil à un professionnel avant d’effectuer des opérations sensibles depuis cet appareil.

Si l’incident concerne une entreprise

Prévenez rapidement la personne responsable de l’informatique ou de la sécurité, ainsi que votre direction. Si des données de clients, de salariés ou de partenaires ont pu être consultées ou divulguées, associez la personne chargée de la protection des données afin d’évaluer les démarches à effectuer.

En France, les messages indésirables ou frauduleux peuvent être signalés à Signal Spam. Les SMS suspects peuvent être transmis au 33700. La plateforme Cybermalveillance.gouv.fr propose également des conseils et une orientation pour les victimes. Selon la situation, vous pouvez aussi contacter votre banque, déposer plainte ou signaler l’escroquerie aux services compétents.

En cas de doute

Si un email, un SMS ou une demande de paiement vous semble étrange, ne cliquez pas et ne répondez pas dans la précipitation. Vérifiez la demande par un canal indépendant. Et si vous hésitez sur la marche à suivre, vous pouvez me contacter pour en parler avant d’agir.