Reconnaître un e-mail suspect : checklist phishing

Qu'est-ce que le phishing ?

Le phishing (ou hameçonnage) est une forme de fraude sur Internet dans laquelle des criminels se font passer pour des organisations dignes de confiance afin de voler des données personnelles. Cela se fait souvent par e-mail, mais aussi par SMS (smishing) ou par téléphone (vishing). Les e-mails de phishing sont conçus pour paraître aussi légitimes que possible, si bien que même des internautes expérimentés peuvent tomber dans le piège. Vous apprendrez ici à reconnaître les e-mails suspects et à vous protéger contre cette forme courante de cybercriminalité.

Pourquoi le phishing est-il si dangereux ?

Le phishing est l'une des formes de cybercriminalité les plus courantes et les plus efficaces. Les conséquences peuvent être graves : usurpation d'identité, préjudice financier, accès à vos comptes, et même infections par ransomware sur votre ordinateur ou votre réseau. Ce qui rend le phishing particulièrement dangereux, c'est qu'il exploite la psychologie humaine (la peur, l'urgence, la curiosité) et pas seulement des failles techniques.

Préjudice financier

Si des criminels accèdent à vos coordonnées bancaires ou aux informations de votre carte de crédit, ils peuvent voler directement de l'argent. Réparer les dégâts peut prendre des semaines et n'est pas toujours entièrement possible.

Usurpation d'identité

Avec des données personnelles volées, des criminels peuvent ouvrir des comptes à votre nom, contracter des prêts ou mener d'autres activités frauduleuses.

La checklist phishing en 10 points

Utilisez cette checklist pour chaque e-mail suspect. Un seul point positif suffit à justifier la prudence, plusieurs points constituent un signal d'alerte clair.

1. Vérifiez l'adresse de l'expéditeur

Ne regardez pas seulement le nom affiché, mais l'adresse e-mail réelle. Les fraudeurs utilisent souvent des adresses qui ressemblent à celles de vraies entreprises, mais qui diffèrent légèrement. Par exemple : « support@faceb00k-security.com » au lieu de « support@facebook.com ». De petites modifications comme des lettres interverties, des caractères en plus ou d'autres domaines sont des signaux d'alerte.

2. Faites attention aux fautes d'orthographe et de grammaire

Les organisations professionnelles envoient rarement des e-mails contenant des fautes d'orthographe ou des tournures de phrase étranges. Les e-mails de phishing sont souvent rédigés par des personnes dont ce n'est pas la langue maternelle ou assemblés à la hâte, ce qui entraîne des erreurs. Soyez particulièrement attentif à un français peu naturel qui ressemble à une traduction automatique.

3. Analysez la formule d'appel

Les entreprises légitimes dont vous êtes client s'adressent généralement à vous par votre nom : « Bonjour Jean Dupont ». Les e-mails de phishing utilisent souvent une formule générique comme « Cher client », « Cher utilisateur », ou aucune formule d'appel.

4. Méfiez-vous de l'urgence et des menaces

Les e-mails de phishing créent souvent une urgence artificielle : « Votre compte sera bloqué dans les 24 heures », « Répondez immédiatement pour éviter des problèmes », « Dernier avertissement ». Les vraies entreprises vous laissent largement le temps de réagir et communiquent par plusieurs canaux pour les sujets importants.

5. Survolez les liens avant de cliquer

Passez votre souris sur les liens (sans cliquer) pour voir où ils mènent. L'URL affichée doit correspondre au site web officiel de l'entreprise. Les fraudeurs utilisent souvent des domaines qui imitent les vrais ou de longues URL qui cachent le vrai domaine.

6. Méfiez-vous des pièces jointes inattendues

N'ouvrez jamais les pièces jointes d'expéditeurs inconnus, surtout s'il s'agit de fichiers .exe, .zip, .scr ou de documents Office avec des macros. Même un PDF peut contenir du code malveillant. Si vous n'attendez pas de pièce jointe, vérifiez d'abord par un autre canal avant de l'ouvrir.

7. Vérifiez le HTTPS et les certificats

Si vous cliquez malgré tout sur un lien, vérifiez que le site web utilise le HTTPS (cadenas dans la barre d'adresse) et que le certificat est valide. Attention : le HTTPS ne signifie pas automatiquement qu'un site est fiable, il signifie seulement que la connexion est chiffrée.

8. L'e-mail demande-t-il des informations sensibles ?

Les banques, les administrations et les entreprises sérieuses ne demandent jamais par e-mail vos mots de passe, codes PIN, numéros de carte de crédit ou numéros de citoyen (BSN). Tout e-mail qui le fait est suspect par définition.

9. L'offre est-elle trop belle pour être vraie ?

Les e-mails annonçant des gains à une loterie à laquelle vous n'avez pas participé, des héritages de parents inconnus ou des réductions incroyables sont presque toujours des fraudes. Si quelque chose semble trop beau pour être vrai, c'est probablement le cas.

10. Vérifiez par un autre moyen

En cas de doute : contactez vous-même l'organisation via son site web officiel ou son numéro de téléphone officiel, et non via les coordonnées figurant dans l'e-mail suspect. Demandez-lui si elle a bien envoyé cet e-mail.

Exemples de techniques de phishing

Les fraudeurs sont de plus en plus habiles. Voici quelques techniques courantes qu'ils utilisent.

Le phishing bancaire

Un e-mail censé venir de votre banque, qui signale qu'une activité suspecte a été détectée. Vous devez « immédiatement » vérifier vos données via un lien qui mène à un faux site. Les vraies banques ne demandent jamais cela par e-mail.

Le phishing au colis

Un message de « PostNL » ou de « DHL » indiquant que vous avez manqué un colis et que vous devez payer pour une nouvelle livraison. Le lien mène à un faux site qui vole vos données de paiement. Ces e-mails arrivent souvent pendant les périodes où beaucoup de gens commandent en ligne.

La fraude au président

Un e-mail qui semble venir de votre responsable ou de votre directeur et qui vous demande d'effectuer rapidement un paiement ou d'acheter des cartes cadeaux. L'adresse e-mail est subtilement différente ou le message provient d'un compte personnel.

L'alerte de compte

« Votre compte Netflix/Spotify/Microsoft a expiré » ou « Une tentative de connexion à votre compte a eu lieu ». Le lien mène à une page de connexion qui semble identique, mais qui vole vos identifiants.

Que faire face à un e-mail suspect ?

Vous avez reçu un e-mail suspect. Voici les étapes à suivre.

Ne cliquez pas, n'ouvrez rien

Ne cliquez pas sur les liens et n'ouvrez pas les pièces jointes. Même l'affichage d'une image peut confirmer à l'expéditeur que votre adresse e-mail est active.

Signalez-le comme spam ou phishing

La plupart des logiciels de messagerie proposent une option pour signaler des messages comme phishing. Cela aide à améliorer les filtres et protège les autres utilisateurs.

Supprimez l'e-mail

Après le signalement, vous pouvez supprimer l'e-mail. Videz aussi votre corbeille pour ne pas cliquer plus tard par erreur sur un lien.

Prévenez les autres

Si l'e-mail de phishing semble venir d'une entreprise dont vous êtes réellement client, pensez à informer cette entreprise. Elle pourra avertir ses autres clients.

Et si vous avez déjà cliqué ?

Si vous avez déjà cliqué sur un lien ou saisi des informations, agissez immédiatement.

Changez vos mots de passe

Changez immédiatement le mot de passe du compte qui a pu être compromis. Si vous utilisez le même mot de passe ailleurs, changez-le là aussi.

Contrôlez vos comptes

Vérifiez vos comptes bancaires et vos cartes de crédit pour repérer des transactions non autorisées. Signalez immédiatement toute activité suspecte à votre banque.

Analysez votre ordinateur

Si vous avez ouvert une pièce jointe, lancez une analyse complète avec votre antivirus. Pensez à demander un deuxième avis avec un scanner en ligne.

Signalez l'incident

Aux Pays-Bas, vous pouvez signaler le phishing au Fraudehelpdesk (fraudehelpdesk.nl) et transférer l'e-mail à l'entreprise usurpée. En cas de préjudice financier : portez plainte auprès de la police.

Vous protéger contre le phishing

Mieux vaut prévenir que guérir. Voici des mesures pour vous protéger durablement.

Utilisez l'authentification à deux facteurs

Avec l'authentification à deux facteurs (2FA), votre mot de passe seul ne suffit pas aux criminels. Ils doivent aussi avoir accès à votre téléphone ou à votre application d'authentification. Activez la 2FA sur tous vos comptes importants.

Maintenez vos logiciels à jour

Veillez à ce que votre navigateur, votre système d'exploitation et votre antivirus soient toujours à jour. Les mises à jour contiennent souvent des correctifs de sécurité contre les menaces les plus récentes.

Utilisez un gestionnaire de mots de passe

Un gestionnaire de mots de passe génère et mémorise des mots de passe robustes et uniques pour tous vos comptes. Ainsi, un mot de passe divulgué ne donne pas accès à vos autres comptes.

Gardez un esprit critique

La meilleure protection est une bonne dose de scepticisme. Ne faites pas aveuglément confiance aux e-mails, même s'ils ont l'air professionnels. Prenez le temps de parcourir la checklist avant d'agir.

Conclusion

Le phishing est une menace sérieuse qui peut toucher tout le monde, quels que soient les connaissances techniques ou l'expérience. En apprenant à reconnaître les signaux et en appliquant la checklist de cet article, vous réduisez considérablement le risque d'être victime. Retenez ceci : les vraies organisations ne demandent jamais d'informations sensibles par e-mail, ne créent pas d'urgence inutile et utilisent toujours des adresses d'expéditeur correctes. En cas de doute : ne cliquez pas, ne répondez pas et prenez vous-même contact via les canaux officiels. Restez vigilant et protégez votre identité numérique.

Questions fréquentes

Un e-mail de phishing peut-il venir d'un contact connu ?

Oui, si le compte d'une personne que vous connaissez a été piraté, des criminels peuvent envoyer des e-mails de phishing depuis cette adresse. Méfiez-vous d'un langage inhabituel, de demandes étranges ou de pièces jointes que vous n'attendez pas, même de la part de contacts connus.

Un e-mail est-il sûr s'il contient le logo d'une entreprise ?

Non, les logos sont faciles à copier. Les fraudeurs utilisent souvent des copies exactes de logos officiels, de chartes graphiques et de modèles d'e-mails. La présence d'un logo ne dit rien sur la légitimité d'un e-mail.

Que dois-je faire si j'ai cliqué par erreur sur un lien de phishing ?

Changez immédiatement vos mots de passe, surtout si vous vous êtes connecté quelque part. Vérifiez vos comptes pour repérer une activité suspecte, analysez votre ordinateur avec un antivirus et signalez l'incident. Si vous avez saisi des données financières, contactez votre banque.

Comment savoir si un site web est authentique ?

Examinez attentivement l'URL pour repérer des fautes d'orthographe ou des différences. Vérifiez que le HTTPS est utilisé (cadenas). En cas de doute, tapez l'adresse vous-même dans votre navigateur au lieu de cliquer sur un lien. Utilisez des favoris pour les sites que vous consultez régulièrement.