Reconnaître et éviter les emails de phishing : le guide anti-arnaque

La semaine dernière, une cliente m'appelle, paniquée. Elle venait de saisir ses identifiants bancaires sur une page qui ressemblait exactement à celle de sa banque. Même logo, même police, même message d'accueil. Sauf que l'URL n'avait rien à voir. Trois minutes plus tard, un virement de 1 800 € partait vers un compte à l'étranger.

Ce qui m'a frappé, ce n'est pas qu'elle soit tombée dans le piège. C'est qu'elle était persuadée d'être trop méfiante pour ça. Le phishing ne vise pas les naïfs, il vise les gens pressés. Et en 2026, avec l'IA générative qui rédige des emails sans la moindre faute et qui clône des voix, la vieille astuce du « regardez les fautes d'orthographe » ne suffit plus. Pas du tout.

Alors voici ce que j'ai appris en dépannant des proches, des clients et en me faisant moi-même avoir une fois (oui, une fois — j'y reviens plus bas). Comment reconnaître un mail de phishing, comment vérifier une adresse d'expéditeur pour de vrai, et surtout quoi faire quand on a cliqué.

Reconnaître un email de phishing : les signaux qui ne trompent pas

Bon, commençons par le concret. Un exemple de mail de phishing qui a circulé chez plusieurs de mes clients pros ressemblait à ça : un faux avis de colis en attente, avec un bouton « Suivre ma livraison ». Rien d'alarmant en apparence. Sauf trois détails.

Le premier, l'expéditeur affichait « Chronopost » mais l'adresse derrière était un truc du genre [email protected]. Le deuxième, le mail arrivait à 23 h 47, un dimanche. Le troisième, le lien pointait vers un domaine enregistré cinq jours plus tôt.

Les signaux qui doivent allumer une alarme

• L'urgence artificielle : « Votre compte sera suspendu dans 24 h », « Dernier avertissement ».
• Une demande d'informations sensibles : mot de passe, code à 6 chiffres, numéro de carte, pièce d'identité.
• Un expéditeur connu… mais dont le domaine ne correspond pas.
• Des liens qui ne mènent pas là où ils prétendent.
• Une pièce jointe inattendue, surtout en .zip, .html ou un faux PDF qui demande vos identifiants pour « s'ouvrir ».
• Un ton bizarre : trop familier pour un service officiel, ou au contraire écrasant et menaçant.

Et le signal que la plupart des gens ignorent : le mail est trop bien écrit. En 2026, l'IA a effacé la faute d'orthographe comme indicateur. Ce qui reste, c'est le décalage entre la forme impeccable et la demande absurde.

Vérifier une adresse mail frauduleuse : au-delà du simple survol

Survoler un lien sans cliquer, tout le monde le répète. C'est nécessaire, mais insuffisant. Les kits de phishing modernes utilisent des redirections : vous voyez une URL propre, vous cliquez, et vous atterrissez deux sauts plus loin sur le site pirate.

La vraie vérification, c'est l'en-tête. Ouvrez le mail, cherchez « Afficher l'original » ou « Voir les en-têtes » (l'option existe dans Gmail, Outlook, Proton). Vous y trouverez deux choses utiles :

1. Le champ « Received », qui remonte la route du message. Un mail qui prétend venir de votre banque mais qui a transité par un serveur inconnu à l'étranger, c'est louche.
2. Les résultats SPF, DKIM et DMARC. Ces trois mécanismes authentifient l'expéditeur. S'ils affichent « fail » ou « softfail », le message n'a pas été envoyé par le domaine qu'il prétend représenter. Point.

Franchement, c'est technique. Mais quand on m'envoie un mail « urgent » au nom d'un fournisseur, c'est la première chose que je regarde. Et neuf fois sur dix, le DMARC est en échec.

J'ai reçu un mail suspect : que faire concrètement

Vous ouvrez votre boîte, vous voyez un message qui vous met mal à l'aise. Voici l'ordre dans lequel je procède — et que je conseille.

Si vous n'avez pas cliqué

Ne répondez pas. Ne cliquez sur rien. Ne téléchargez aucune pièce jointe. Puis signalez : transférez le mail à [email protected] (le dispositif français de signalement des spams) et, s'il usurpe une marque, à l'adresse d'abus de cette marque. Le dépôt sur Cybermalveillance.gouv.fr permet aussi de signaler une tentative.

Un réflexe que peu de gens ont : ne pas toucher au mail pendant 24 h. Le phishing repose sur l'action immédiate. Le simple fait d'attendre casse le mécanisme.

Que faire en cas de phishing email après avoir cliqué

Là, on passe en mode dégradé, mais tout n'est pas perdu. La vitesse compte.

1. Changer le mot de passe du compte concerné, depuis un autre appareil.
2. Activer la double authentification partout où c'est possible (banque, mail, réseaux sociaux).
3. Prévenir la banque si des coordonnées bancaires ont été saisies. Un appel direct, pas un mail.
4. Vérifier les transactions et les connexions récentes dans les paramètres de sécurité.
5. Déposer plainte si un préjudice financier est constaté. Le dépôt se fait en ligne sur la plateforme de plainte en ligne du ministère de l'Intérieur.

J'ai vécu ce scénario de l'autre côté il y a deux ans. Un faux mail de mon hébergeur, menace de suspension du site, lien « Renouveler maintenant ». J'ai cliqué. J'ai saisi mes identifiants à moitié, puis j'ai senti que quelque chose clochait — le formulaire demandait mon mot de passe en clair, sans champ sécurisé. J'ai fermé l'onglet, changé mon mot de passe dans la foulée. Bilan : rien de perdu. Mais j'aurais pu perdre l'accès à mon site pendant des semaines.

Exemples récents : à quoi ressemblent les campagnes qui circulent

Trois familles dominent aujourd'hui, et elles ne se ressemblent pas.

Type de campagne	Levier utilisé	Cible typique
Fausse facture fournisseur	Un fournisseur habituel change ses coordonnées bancaires	Comptabilité, PME
Fraude au président	Un dirigeant demande un virement « confidentiel et urgent »	Assistants de direction, finance
Smishing livraison	SMS annonçant un colis bloqué, lien de reprogrammation	Grand public
Faux support informatique	« Votre compte a été compromis, cliquez pour sécuriser »	Salariés

La fausse facture fournisseur, c'est celle qui m'inquiète le plus. Le mail arrive du bon contact (usurpé ou compromis), avec la bonne référence de commande. Sauf que l'IBAN a changé. Et beaucoup d'entreprises ne vérifient pas systématiquement un changement de coordonnées bancaires par téléphone. Là, on ne parle plus de quelques centaines d'euros.

Signaler une tentative de phishing par SMS

Le SMS frauduleux suit la même logique que le mail, avec un taux de clic souvent supérieur — un SMS, on l'ouvre sans réfléchir, contrairement à un mail qu'on trie. En France, le réflexe officiel est de transférer le message au 33700. C'est gratuit, c'est le numéro national de signalement des spams par SMS.

Faites un copier du texte, transférez au 33700, puis supprimez la conversation. Ne cliquez pas sur le lien, même « juste pour voir ». Certains liens SMS sont conçus pour exécuter une tentative de collecte dès le chargement.

Prévention : ce qui marche, ce qui ne marche pas

J'ai testé plusieurs méthodes sur moi-même et sur des proches. Voici mon verdict, sans détour.

Ce qui marche

• La double authentification, partout. C'est la mesure la plus efficace, et de loin.
• Un gestionnaire de mots de passe : il ne sait pas remplir un formulaire sur un domaine inconnu, ce qui vous alerte.
• Un filtre anti-spam sérieux, mais jamais seul. Le filtre rate des mails, surtout les plus récents.
• La règle du « rappel téléphonique » : tout changement de coordonnées bancaires se vérifie par appel.

Ce qui ne marche pas (malgré ce qu'on lit partout)

Compter sur les fautes d'orthographe. En 2026, l'IA a réglé le problème. Compter sur « ça vient d'un proche, donc c'est fiable » : les comptes de proches se font pirater tous les jours. Et compter sur sa propre vigilance, tout seul, sans outil — c'est ce qui a échoué chez ma cliente de la semaine dernière.

Ce qui manque à presque tout le monde, c'est une procédure écrite. Deux ou trois réflexes rédigés noir sur blanc, affichés près de l'ordinateur. Pas une charte de sécurité de 30 pages. Trois lignes.

Le phishing ne va pas disparaître. Il va devenir plus fin, plus crédible, plus personnalisé. Ce qui va changer, c'est notre capacité à ralentir — et à vérifier avant de cliquer. Le reste, c'est de la littérature.