Reconnaître un email de phishing : les signes qui alertent

Un email vous annonce que votre compte va être bloqué, qu'un colis attend une « petite » régularisation, ou que votre banque a détecté une opération suspecte ? Avant de cliquer, respirez. Le phishing (ou hameçonnage) consiste à imiter un organisme de confiance pour vous soutirer des identifiants, des données bancaires ou de l'argent. La bonne nouvelle : ces messages laissent presque toujours des indices. Voici comment les repérer.

Le phishing, en deux mots

Le phishing est une tentative de manipulation. L'expéditeur se fait passer pour une entité légitime — banque, administration, transporteur, grande plateforme — et vous pousse à agir vite : cliquer, saisir un mot de passe, payer ou télécharger un fichier. L'objectif est toujours le même : exploiter votre confiance et votre réflexe d'urgence.

Ce qui rend ces attaques efficaces, c'est leur réalisme croissant. Logos copiés, mise en page soignée, ton officiel : un email frauduleux ressemble de plus en plus au vrai. D'où l'importance de ne pas juger un message à son apparence, mais à une série de signaux concrets.

Les signaux d'alerte à connaître

1. L'adresse de l'expéditeur ne colle pas

Le nom affiché (« Service Client », « Assurance Maladie ») peut être trompeur. Ce qui compte, c'est l'adresse réelle, visible en cliquant sur le nom ou en l'affichant en entier.

• Domaine bizarre : service-ameli-secu.net au lieu d'un domaine officiel en .gouv.fr ou .fr.
• Sous-domaines trompeurs : paypal.securite-compte.com n'appartient pas à PayPal, mais à securite-compte.com.
• Caractères remplacés : un « l » par un « 1 », un « o » par un « 0 », ou des lettres d'alphabets étrangers.

2. Le message joue sur l'urgence ou la peur

C'est le levier numéro un. « Votre compte sera suspendu sous 24 h », « dernier rappel avant blocage », « activité frauduleuse détectée ». L'urgence vise à court-circuiter votre réflexion.

Un organisme sérieux ne vous menace pas de tout couper dans l'heure par email. La précipitation est l'arme préférée des escrocs.

3. Les liens ne mènent pas où ils prétendent

Avant de cliquer, survolez le lien avec la souris (sur ordinateur) : l'adresse réelle s'affiche en bas de l'écran. Sur mobile, appuyez longuement pour la prévisualiser. Si le texte dit « espace-client.mabanque.fr » mais que l'adresse réelle est tout autre, c'est un piège. Méfiez-vous aussi des liens raccourcis qui masquent la destination.

4. Une demande d'informations sensibles

Mot de passe, code de carte bancaire, code reçu par SMS, copie de pièce d'identité : aucun organisme légitime ne vous demandera ces données par email. C'est un signal d'alerte quasi infaillible.

5. Fautes, formulations étranges et ton impersonnel

Les fautes d'orthographe et de grammaire restent fréquentes, tout comme les tournures maladroites issues d'une traduction automatique. Méfiez-vous aussi des formules vagues comme « Cher client » ou « Bonjour utilisateur », alors qu'un vrai service vous connaît par votre nom.

6. Pièces jointes inattendues

Une facture, un « document à débloquer », un fichier compressé que vous n'attendiez pas : ces pièces jointes peuvent contenir un logiciel malveillant. En cas de doute, ne les ouvrez jamais.

Tableau récapitulatif : signal et réflexe

Signal d'alerte	Ce qu'il révèle	Le bon réflexe
Adresse expéditeur douteuse	Usurpation d'identité	Afficher l'adresse complète, comparer au domaine officiel
Urgence, menace, ultimatum	Tentative de manipulation	Prendre son temps, ne pas agir dans la précipitation
Lien différent du texte affiché	Redirection vers un faux site	Survoler le lien, ne pas cliquer, aller sur le site officiel
Demande de mot de passe ou code	Vol d'identifiants	Ne jamais répondre, aucun organisme ne demande cela
Fautes, ton impersonnel	Email mal conçu ou traduit	Lire attentivement, redoubler de prudence
Pièce jointe inattendue	Risque de logiciel malveillant	Ne pas ouvrir, supprimer en cas de doute

Les réflexes qui vous protègent

Même face à un message convaincant, quelques habitudes suffisent à déjouer la plupart des attaques :

• Ne cliquez pas, naviguez. Plutôt que de cliquer sur un lien, ouvrez votre navigateur et tapez vous-même l'adresse officielle du site, ou utilisez l'application dédiée.
• Vérifiez par un autre canal. Un doute sur un email de votre banque ? Appelez le numéro figurant au dos de votre carte, jamais celui indiqué dans le message.
• Activez la double authentification sur vos comptes importants : même avec votre mot de passe, un escroc reste bloqué.
• Ne réutilisez pas vos mots de passe d'un service à l'autre, et privilégiez un gestionnaire de mots de passe.
• Tenez vos logiciels à jour : navigateur, système, antivirus.
• Signalez les messages frauduleux à Signal Spam ou à la plateforme Phishing Initiative.

Quand le doute persiste

Certains messages sont bien conçus : pas de faute, expéditeur crédible, mise en page parfaite. Dans ce cas, ne vous fiez pas à un seul critère. Demandez-vous : est-ce que j'attendais ce message ? La demande est-elle logique ? Pourquoi cette urgence ? Si une seule réponse vous met mal à l'aise, abstenez-vous et vérifiez directement à la source.

Le phishing mise sur l'automatisme et l'émotion. En reprenant la main — un temps d'arrêt, une vérification, un canal officiel — vous neutralisez l'essentiel de la menace. Apprendre à reconnaître ces signaux, c'est se construire un réflexe durable qui protège aussi vos proches : n'hésitez pas à partager ces repères autour de vous.

Cet article est informatif. En cas d'arnaque avérée ou de préjudice, consultez cybermalveillance.gouv.fr et, si nécessaire, déposez plainte. Vérifiez toujours les informations auprès des sources officielles.