Reconnaître et éviter les attaques de phishing : le guide essentiel

Le mail est arrivé un mardi matin, à 7h58. Objet : « Votre colis est en attente de livraison — frais de douane à régler ». Le logo du transporteur était parfait. La mise en page aussi. Et pourtant, un détail m'a fait tiquer : le montant réclamé, 2,99 €, était ridiculement bas pour des frais de douane. C'était un piège. Un de plus.

J'ai failli cliquer. Franchement, à 8h du matin, avant le café, quand on attend un colis pour de vrai, on ne réfléchit pas toujours. Et c'est exactement là que les attaques de phishing gagnent. Pas en cassant une protection technique, mais en exploitant un moment de fatigue ou de distraction. Pour reconnaître et éviter une attaque de phishing, il faut comprendre comment ces messages sont conçus, quels signaux trahissent leur origine, et quoi faire quand on a cliqué trop vite.

Reconnaître et éviter les attaques de phishing : les signaux qui ne trompent pas

La définition est simple, et c'est justement ce qui la rend trompeuse. Le phishing, c'est une usurpation : quelqu'un se fait passer pour une entité de confiance afin de vous soutirer des identifiants, un numéro de carte, ou de vous pousser à un virement. Le mot vient de l'anglais fishing, « pêcher » : on lance un hameçon en espérant qu'une proie morde. On l'écrit parfois « fishing », mais la forme correcte est bien « phishing », avec le « ph ». Et ça se prononce « fichingne », approximativement, comme « fishing ».

Ce qui change tout, ce n'est pas la définition. C'est la liste des indices concrets. Voici ceux que je vérifie systématiquement, dans cet ordre.

L'adresse d'expéditeur, jamais le nom affiché

Un nom d'expéditeur comme « Service Client » ou « Livraison Express » ne prouve rien : n'importe qui peut configurer ce champ. Ce qui compte, c'est l'adresse technique complète. Une banque ne vous écrira pas depuis [email protected]. Regardez ce qui suit l'arobase, et surtout ce qui précède le domaine principal.

• Le domaine doit correspondre exactement à l'officiel : michelin.fr, pas michelin-securite.fr.
• Un tiret ajouté ou un préfixe (« secure- », « info- », « no-reply- ») est souvent le signe d'un domaine acheté pour l'occasion.
• Une extension bizarre après le domaine légitime (par exemple un nom officiel suivi de « .xyz ») doit immédiatement alerter.

L'URL réelle derrière le lien

Le texte affiché d'un lien n'a rien à voir avec la destination. Sur ordinateur, passez la souris au-dessus sans cliquer : l'adresse apparaît en bas de l'écran. Sur mobile, appuyez longuement pour prévisualiser. J'ai arrêté de compter le nombre de mails où le bouton disait « suivi-de-colis.fr » mais pointait vers un sous-domaine inconnu.

Le problème ? Même un œil exercé se fait avoir par des caractères Unicode qui imitent une lettre latine. Un « a » cyrillique ressemble à s'y méprendre à un « a » normal. C'est pour ça que je ne me fie pas au visuel, jamais. Je regarde le domaine racine, celui qui se trouve juste avant le premier slash après « http:// » ou « https:// ». Tout le reste peut être un leurre.

L'urgence et la pression émotionnelle

C'est le vrai carburant du phishing. Un compte qui va être suspendu. Un paiement non reçu. Une amende à régler sous 24 heures. Le but est de court-circuiter votre réflexion le temps que vous cliquiez. La règle que je me suis fixée : si un message me pousse à agir tout de suite, c'est suspect, par défaut. Aucune institution sérieuse ne met une échéance de deux heures sur un problème administratif.

Les détails du contenu

Les fautes d'orthographe sont devenues un indice moins fiable qu'avant, car les modèles de langue corrigent désormais presque tout. Mais d'autres traces persistent :

1. Un logo légèrement flou ou pixelisé, agrandi à partir d'une version basse résolution.
2. Une formule de politesse générique (« Cher client ») alors que votre banque vous appelle toujours par votre nom.
3. Un numéro de téléphone ou une adresse postale qui ne correspondent pas à ceux du site officiel.
4. Une pièce jointe inattendue, souvent une facture ou un reçu au format PDF ou HTML.
5. Un mélange de plusieurs langues dans le même message.
6. Un lien de désinscription qui pointe vers la même destination que le bouton principal.

Le sixième point est celui que je vérifie en dernier, mais il est très révélateur. Un vrai mail d'information a un système de désabonnement distinct. Une arnaque recycle le même lien partout.

Un exemple de phishing, démonté ligne par ligne

Reprenons le mail du colis. Voilà comment je l'ai disséqué, dans l'ordre.

Élément du message	Ce qu'il prétendait	Ce que j'ai vérifié
Nom d'expéditeur	Le transporteur connu	Chaîne aléatoire après l'arobase, domaine inconnu
Objet du mail	Colis en attente	Cohérent avec une commande réelle — c'est le piège
Bouton « Suivre mon colis »	Site du transporteur	Sous-domaine d'un domaine générique acheté la veille
Montant des frais	2,99 €	Trop bas pour de vrais frais de douane
Délai annoncé	Avant 18h aujourd'hui	Pression artificielle

Le point le plus dérangeant, c'est que le mail est tombé pile pendant une période où j'attendais vraiment un colis. Les attaquants ne travaillent pas au hasard. Ils envoient des millions de messages et il suffit qu'une fraction tombe au bon moment. Le mien est tombé au bon moment.

Le phishing n'arrive pas que par mail

Le mail reste le canal dominant, mais il n'est plus le seul. Le SMS, appelé smishing, est souvent plus efficace, parce qu'on lit ses textos plus vite qu'on ne traite sa boîte mail. J'ai aussi vu des tentatives par appel téléphonique (le « vishing »), où une voix se présente comme votre conseiller bancaire et vous demande de confirmer un code reçu par SMS. Et depuis un moment, les messages directs sur les réseaux sociaux ou les plateformes de messagerie professionnelle servent aussi de vecteur.

Chaque canal a son indice propre. Sur SMS, méfiez-vous des numéros à cinq chiffres qui prétendent venir d'une administration, et des liens raccourcis impossibles à vérifier avant de cliquer. Sur appel, aucun conseiller légitime ne vous demandera jamais de lire à voix haute un code de validation à usage unique.

Phishing : que faire si vous avez cliqué ?

Personne n'est infaillible. J'ai cliqué une fois, il y a quelques années, sur un faux site de messagerie. J'ai saisi mes identifiants avant de comprendre. Ce qui a limité les dégâts, ce n'est pas ma vigilance sur le moment — elle a échoué. C'est ce que j'ai fait dans les dix minutes qui ont suivi.

La chronologie compte. Chaque minute passée entre le clic et la réaction réduit la marge de l'attaquant.

• Déconnectez tout et changez immédiatement le mot de passe du compte visé, depuis un autre appareil.
• Changez aussi les mots de passe des comptes liés, en priorité ceux qui utilisent la même combinaison.
• Si des données bancaires ont été saisies, appelez le numéro au dos de votre carte, celui imprimé physiquement. Ne composez jamais le numéro figurant dans le message suspect.
• Activez la double authentification, si ce n'est pas déjà fait.
• Signalez le message : votre fournisseur de messagerie et la plateforme cybermalveillance.gouv.fr permettent de remonter une tentative.
• Surveillez vos relevés pendant plusieurs jours, même sans débit inhabituel immédiat.

Le changement de mot de passe n'a de sens qu'accompagné du changement des autres comptes partageant le même secret. C'est l'erreur que je faisais au début : je modifiais un seul mot de passe, et l'attaquant testait la même combinaison ailleurs. Une fois que je m'en suis rendu compte, j'ai migré vers un gestionnaire de mots de passe avec des secrets distincts pour chaque service.

La double authentification, la barrière qui sauve vraiment

Si vous ne retenez qu'une chose de cet article, retenez celle-ci. La double authentification transforme un identifiant volé en identifiant inutilisable. Même si un attaquant obtient votre mot de passe, il lui manque le second facteur, généralement un code temporaire envoyé sur votre téléphone ou généré par une application.

Il existe plusieurs formes, et elles ne se valent pas. Le code par SMS reste vulnérable au vol de carte SIM. Une application d'authentification ou une clé physique résiste beaucoup mieux. En entreprise, les protocoles d'authentification renforcée limitent considérablement la casse quand un compte est compromis.

Les erreurs que je vois le plus souvent

Au fil des années, trois erreurs reviennent sans cesse chez les personnes que je côtoie.

Croire que seuls les crédules se font avoir. Faux. Les victimes sont souvent des gens attentifs, mais fatigués, pressés, ou confrontés à un message qui tombe au mauvais moment. Le facteur humain est le maillon faible de n'importe quelle défense technique, et ce n'est pas une question d'intelligence.

Se fier au logo ou à la mise en page. Un mail propre ne prouve rien. Les kits de phishing que l'on trouve en vente prêts à l'emploi reproduisent fidèlement l'interface d'une banque ou d'un opérateur. La qualité visuelle n'est plus un signal fiable.

Vérifier en cliquant. Le réflexe de cliquer pour « voir si c'est vrai » est précisément ce que l'attaquant attend. La bonne méthode consiste à quitter le message et à se rendre directement sur le site officiel, par une adresse tapée à la main ou un favori enregistré.

J'ai commis les trois. Pas parce que je ne savais pas, mais parce que dans le feu d'une situation, le réflexe l'emporte sur la connaissance. C'est pour ça que la prévention repose moins sur le fait de connaître les arnaques que sur l'installation de routines qui se déclenchent indépendamment de la fatigue.

La routine qui tient sur la durée

La sensibilisation ponctuelle, les affiches dans les couloirs, les formations annuelles : ça marche un temps, puis ça s'efface. Ce qui tient, ce sont les gestes intégrés. Voici la routine que j'applique, et que je recommande dans les équipes où je passe.

• Un gestionnaire de mots de passe avec un secret unique par service.
• La double authentification généralisée, application ou clé physique plutôt que SMS.
• La règle « pas de clic depuis un mail » : le site officiel se rejoint par un favori.
• Un canal de signalement simple, connu de tous, pour remonter une tentative suspecte en interne.
• Un rendez-vous trimestriel, court, pour rejouer les cas récents et les nouvelles techniques observées.
• Une politique claire sur ce que personne ne doit demander par mail : mot de passe, codes temporaires, données de carte.

La régularité bat l'intensité. Un rappel de dix minutes tous les trois mois ancre mieux les réflexes qu'une session de deux heures une fois par an, que tout le monde oublie au bout d'une semaine.

Ce qui reste après avoir lu tout ça

Le phishing s'améliore en même temps que les outils qui le génèrent. Les messages frauduleux sont plus propres, mieux écrits, plus contextuels qu'il y a quelques années. La vigilance seule ne suffit plus, parce que le niveau de finition a rattrapé la moyenne de ce qu'on croise dans une boîte mail normale.

Ce qui continue de faire la différence n'est pas la défiance permanente, épuisante et contre-productive. C'est l'installation de quelques réflexes qui se déclenchent sans qu'on ait à y penser : vérifier un domaine avant de cliquer, ne jamais saisir un mot de passe depuis un lien reçu, appeler sa banque par le numéro imprimé sur la carte. Ces gestes-là ne demandent aucune compétence. Ils demandent juste d'être décidés une fois, puis répétés.

Le mail du colis, je l'ai signalé et supprimé. Mais je garde le doute : un jour, il tombera un matin où je serai pressé, et où le montant sera crédible. C'est cette lucidité-là qui protège mieux que n'importe quelle certitude.