Reconnaître un email de phishing et vérifier un message

Un message peut annoncer un colis, un compte suspendu ou une amende. S'il usurpe une entreprise pour voler des identifiants ou des données, il s'agit d'hameçonnage, aussi appelé phishing. Le thème du message ne permet pas à lui seul de conclure.

Certains messages sont faciles à repérer, d'autres imitent très bien un organisme. Ce guide présente les indices à recouper et la démarche à suivre si vous avez cliqué.

Voici des exemples de prétextes utilisés dans les messages frauduleux :

• Le faux colis : un message au nom de La Poste, Colissimo, Chronopost ou Mondial Relay réclame « 1,99 € de frais de douane » ou de « reprogrammer la livraison ». Le vrai but : récupérer votre numéro de carte bancaire.
• La fausse banque : « une opération suspecte a été détectée, confirmez votre identité ». Le lien mène vers une copie du site de votre banque qui enregistre vos identifiants.
• Les faux impôts : un prétendu remboursement à percevoir, ou au contraire une régularisation urgente à payer.
• Le faux compte formation (CPF) : « vos droits vont expirer, connectez-vous vite ». Les vrais droits CPF n’expirent pas ainsi.
• La fausse amende : un email au nom de l’ANTAI vous réclame le paiement immédiat d’une contravention.

Ces indices justifient une vérification, sans prouver à eux seuls une fraude. À l'inverse, un message sans faute et avec votre nom peut être frauduleux.

• Le nom et l'adresse de l'expéditeur peuvent être imités ou appartenir à un compte compromis. Une adresse étrange est un indice, mais une adresse familière ne suffit pas à prouver l'authenticité.
• Le message crée l’urgence : compte à rebours, menace de suspension, dernière relance. La panique fait cliquer.
• On vous réclame une petite somme (1 à 3 €) : ce n’est pas le montant qui intéresse l’escroc, c’est votre numéro de carte.
• Des fautes ou des tournures bizarres : accents manquants, phrases traduites automatiquement.
• Une salutation impersonnelle : « Cher client », alors que votre banque connaît votre nom.
• Le lien ne mène pas au vrai site : sur un ordinateur, posez la souris sur le lien sans cliquer et regardez l’adresse qui s’affiche en bas de l’écran.
• Une pièce jointe inattendue : facture, scan, « document à consulter »… N’ouvrez jamais une pièce jointe que vous n’attendiez pas.

Retenez une seule règle si vous ne devez en retenir qu’une : ne cliquez jamais sur le lien d’un email pour accéder à un compte. Jamais. Même si le message semble parfaitement authentique.

Ouvrez vous-même le site ou l'application habituelle et consultez votre dossier. Si la demande reste incertaine, contactez l'organisme par des coordonnées déjà vérifiées, jamais par celles du message suspect.

La suite dépend de ce qui a été exposé : des données saisies, un fichier exécuté ou un accès accordé. Fermez la page et utilisez un appareil de confiance pour sécuriser les comptes concernés.

• Vous avez donné un numéro de carte bancaire : appelez votre banque immédiatement pour faire opposition.
• Vous avez saisi un mot de passe : changez-le tout de suite, ainsi que sur tous les sites où vous utilisez le même.
• Surveillez vos comptes dans les jours qui suivent et contestez toute opération inconnue.
• Gardez les messages et captures avant de les supprimer. Transférez un SMS suspect au 33700 ; pour un courriel, utilisez le formulaire ou l'extension de Signal Spam. Le site 17cyber.gouv.fr propose un diagnostic et une orientation ; un signalement ne remplace pas un dépôt de plainte.

Si vous lisez cet article pour un parent âgé, sachez que les filtres anti-spam arrêtent une partie de ces messages, mais jamais tout. La meilleure protection est une habitude simple à instaurer : « avant de cliquer ou de payer quoi que ce soit, on appelle quelqu’un ». Vous, un proche, une personne de confiance. Les escrocs gagnent quand la personne est seule face à l’écran, pressée par un faux compte à rebours.