Reconnaitre et eviter les tentatives de phishing : le guide ultime

Vous avez sûrement déjà reçu ce SMS : « Votre colis est en attente de livraison, confirmez vos coordonnées sous 24h via ce lien. » Pas de nom de transporteur. Un numéro à douze chiffres. Un lien raccourci qui ne ressemble à rien. La première fois, j'ai failli cliquer. J'étais en déplacement, j'attendais vraiment un colis, et pendant deux secondes mon cerveau a accepté l'histoire. Deux secondes, c'est exactement le temps qu'il faut à une arnaque bien ficelée pour gagner.

Reconnaître et éviter les tentatives de phishing ne repose pas sur votre intelligence ou votre niveau en informatique. Mon ancienne comptable, qui gère des dizaines de dossiers, s'est fait avoir par un faux message de sa banque en 2024. Elle a saisi ses identifiants sur une page qui ressemblait à s'y méprendre à celle de son agence. Le mécanisme s'appuie sur autre chose : la fatigue, la routine, l'urgence.

Les signaux concrets qui trahissent un message piégé

La plupart des conseils qu'on lit restent dans le vague : « soyez vigilants ». Merci, ça aide beaucoup. Ce qui aide vraiment, c'est de savoir où regarder, précisément, et dans quel ordre.

Commencez par l'adresse de l'expéditeur, jamais par le nom affiché

Le nom affiché ne veut rien dire. N'importe qui peut écrire « Service Client BNP » dans le champ expéditeur. Ce qui compte, c'est la partie après le @. Un message qui prétend venir de votre banque mais qui part de contact@banque-securite-info.com est un faux. Toujours. Je regarde ça avant même d'ouvrir le mail, et ça élimine à lui seul la grande majorité des tentatives.

Survolez le lien, sans jamais cliquer

Sur ordinateur, posez la souris sur le lien sans appuyer. L'adresse réelle s'affiche en bas de la fenêtre. Sur mobile, appuyez longuement : une petite fenêtre montre la destination. C'est la vérification la plus utile, et c'est celle que presque personne ne fait.

• Une adresse qui commence par http:// sans le « s » sur une page de connexion : refusez.
• Un nom de domaine qui imite le vrai en décalant une lettre (arnaque classique).
• Un lien raccourci (bit.ly et compagnie) alors que l'entreprise envoie toujours ses vrais liens.
• Un formulaire qui demande votre mot de passe complet : aucune banque ne fait ça.

Et là, une nuance importante sur un point que beaucoup confondent.

Fishing ou phishing : quelle est la différence ?

Le mot correct est phishing, avec un « ph ». C'est un jeu de mots anglais sur fishing (la pêche) et phreaking, le piratage des lignes téléphoniques. « Fishing » désigne donc le fait de pêcher, au sens propre. Vous verrez souvent l'orthographe « fishing » dans des textes français, mais c'est une erreur : le terme technique, celui qu'utilisent les autorités et les entreprises, s'écrit avec le « ph ». En français, on dit aussi hameçonnage, ce qui résume parfaitement la mécanique.

Un exemple de mail de phishing, décortiqué

Prenons un cas que j'ai reçu il y a quelques mois, et qui était bien construit. Objet : « Action requise : régularisation de votre compte avant suspension ». L'expéditeur affiché était « Service Facturation ». Le logo de l'entreprise était présent. La charte graphique, correcte.

Trois détails l'ont trahi, et dans cet ordre :

1. L'adresse d'expédition réelle ne correspondait à rien de connu.
2. Le lien de « régularisation » pointait vers un domaine enregistré depuis quelques jours à peine.
3. Le texte imposait un délai de 24 heures, avec un ton menaçant (« à défaut, votre compte sera clôturé »).

Ce troisième point est le cœur du procédé. L'urgence anesthésie la vérification. Quand vous lisez « dans les 24 heures », « immédiatement », « dernier avertissement », votre réflexe doit être inverse : ralentir. Aucune administration sérieuse ne vous met une épée dans le dos par mail.

Exemple de phishing bancaire : ce qu'on vous demandera

Les faux messages bancaires suivent des scénarios récurrents, et les reconnaître revient à repérer l'information qu'on cherche à vous soutirer.

Scénario annoncé	Ce qu'on vous demande	Le signal
Opération suspecte détectée	Confirmer votre identité via un lien	Une banque appelle, elle n'envoie pas un lien de « confirmation »
Mise à jour de l'application	Saisir identifiant + mot de passe	Une mise à jour passe par le store, jamais par un formulaire
Remboursement à recevoir	Communiquer vos coordonnées bancaires complètes	Pour un virement, un IBAN suffit : jamais besoin du code
Colis en souffrance	Payer de petits frais de douane	Vous n'avez rien commandé, ou vous n'attendez rien

Le point commun de tous ces cas : on vous pousse à fournir un élément que l'émetteur légitime possède déjà. C'est la définition même de l'hameçonnage, et le test le plus rapide.

Que faire en cas de phishing par email ou par SMS ?

Vous avez cliqué. Ou vous avez entré vos identifiants. Respirez : la panique ne sert à rien, mais la vitesse compte. Voici la procédure, dans l'ordre, celle que j'ai appliquée quand un proche s'est fait piéger en pleine nuit.

Signaler et nettoyer

Signaler une tentative de phishing par SMS ou par mail se fait sans avoir cliqué. Sur votre téléphone, transférez le SMS au 33700, le dispositif officiel de signalement des spams par SMS en France. Pour un mail, ne répondez pas, ne cliquez sur aucun lien de désinscription, et supprimez le message. Si vous voulez aller plus loin, la plateforme cybermalveillance.gouv.fr propose un service de signalement, et PHAROS permet de signaler un contenu illicite.

Si vous avez cliqué ou divulgué des informations

1. Changez le mot de passe concerné immédiatement, depuis un autre appareil si possible.
2. Activez la double authentification partout où c'est proposé : même avec votre mot de passe, l'attaquant bute sur le second facteur.
3. Prévenez votre banque dans l'heure si des coordonnées bancaires ont été transmises. Un virement frauduleux peut être intercepté s'il est signalé assez vite.
4. Surveillez vos comptes pendant plusieurs semaines : les prélèvements discrets arrivent parfois après coup.

Comment savoir si on a été victime de phishing ?

Il n'y a pas toujours de signal immédiat, et c'est ce qui rend la situation délicate. Les indices à surveiller : des connexions que vous ne reconnaissez pas dans l'historique de votre compte, des mails de confirmation pour des choses que vous n'avez pas faites, des prélèvements de quelques euros d'abord (un test, avant une ponction plus grosse), ou une impossibilité soudaine à vous connecter à un service — signe que le mot de passe a été changé par quelqu'un d'autre. Dans ce cas, partez du principe que le compte est compromis et traitez-le comme tel.

Se prémunir au quotidien : les réflexes qui tiennent

La bonne nouvelle, c'est qu'il n'y a pas besoin d'être un expert en cybersécurité. Trois habitudes suffisent à faire échouer la quasi-totalité des tentatives.

• Ne jamais ouvrir un lien reçu par mail ou SMS si un doute existe : passez par l'application ou le site officiel directement, en tapant l'adresse vous-même.
• Un mot de passe unique par service, géré dans un gestionnaire plutôt qu'en mémoire.
• La double authentification activée sur la banque, la messagerie et les réseaux sociaux.

Et une règle que j'applique sans exception : je considère tout message urgent comme suspect par défaut. Le contraire serait plus confortable, mais ce confort-là se paie cher.

Il reste une chose que les guides ne disent pas assez. Le phishing ne cherche pas forcément votre argent tout de suite. Il cherche parfois simplement à savoir que votre adresse est active, pour vous inscrire sur des listes, ou à récupérer une seule information isolée qui servira plus tard. La petite arnaque qui ne vous coûte rien aujourd'hui peut être la première marche d'une opération plus large.

Alors la prochaine fois qu'un message vous presse d'agir, posez-vous une seule question : est-ce que cette urgence m'arrange, ou est-ce qu'elle arrange celui qui me l'envoie ? Si la réponse n'est pas évidente, vous avez déjà votre réponse.