« Votre colis est en attente de livraison. » « Une activité inhabituelle a été détectée sur votre compte. » « Vous avez un remboursement de 87,40 € à réclamer. » Ces phrases, vous les avez probablement déjà lues dans votre boîte mail. La plupart sont des tentatives de phishing : des emails conçus pour ressembler à s'y méprendre à un message officiel, dans le seul but de vous faire cliquer sur un lien piégé ou de récupérer vos identifiants.

Pourquoi le phishing est plus convaincant qu'avant

Les emails frauduleux d'il y a dix ans étaient truffés de fautes d'orthographe et de logos mal reproduits. Ce n'est plus le cas. Les escrocs copient aujourd'hui des templates réels, reproduisent exactement la charte graphique d'une banque ou d'une administration, et rédigent des messages sans erreur grâce à des outils de génération de texte. Le seul repère visuel ne suffit plus : il faut vérifier des détails plus profonds que l'apparence.

Les 5 détails à vérifier avant de cliquer

  • L'adresse de l'expéditeur, pas seulement le nom affiché. « Impots.gouv » peut s'afficher alors que l'adresse réelle est « service@mail-impots-fr.info ». Voir la section suivante.
  • L'urgence artificielle. « Sous 24h », « compte suspendu », « dernier avertissement » : ces formulations sont conçues pour empêcher la vérification, pas pour informer.
  • Le lien affiché, en le survolant sans cliquer. Sur ordinateur, placer le curseur sur le lien (sans cliquer) affiche l'adresse réelle de destination en bas de l'écran. Si elle ne correspond pas au site officiel attendu, c'est une alerte.
  • La demande elle-même. Aucune banque, aucune administration ne demande un mot de passe, un code de carte bancaire ou un code reçu par SMS par email.
  • La pièce jointe non sollicitée. Une facture, un « constat », un document Word ou un fichier compressé que vous n'attendiez pas ne doit jamais être ouvert sans vérification préalable de l'expéditeur.
Le nom affiché dans votre boîte mail se falsifie en trente secondes. L'adresse complète, beaucoup plus difficilement.

Ce que révèle vraiment l'adresse de l'expéditeur

Sur smartphone comme sur ordinateur, il suffit généralement d'appuyer ou de cliquer sur le nom de l'expéditeur pour afficher l'adresse email complète. Une entreprise légitime utilise toujours son propre nom de domaine officiel, par exemple « @impots.gouv.fr », jamais une variante comme « @impots-gouv-fr.com » ou « @impots.gouv.fr.paiement-securise.net ». Le domaine réel se lit juste avant le premier « / » ou juste après le dernier « @ », et c'est la seule partie qui compte vraiment.

Point de vigilance

Ne cliquez jamais directement sur un lien reçu par email pour vous connecter à votre banque, vos impôts ou votre messagerie. Ouvrez un nouvel onglet et tapez vous-même l'adresse officielle, ou utilisez votre application habituelle.

Vous avez déjà cliqué ? Que faire maintenant

Si vous avez cliqué sur un lien sans saisir d'information, fermez simplement l'onglet : il n'y a généralement pas de conséquence. Si vous avez saisi un mot de passe ou des données bancaires, changez immédiatement ce mot de passe depuis le site officiel, activez la double authentification si elle est disponible, et surveillez vos comptes bancaires dans les jours qui suivent. En cas de doute sur un paiement, contactez directement votre banque par téléphone, jamais via un lien reçu par email.

Bon réflexe

Dans le doute, ne cliquez pas. Contactez directement l'organisme concerné par le moyen que vous utilisez habituellement, pas celui indiqué dans l'email suspect.

Se protéger sans avoir à y penser

Vérifier chaque email manuellement demande de la vigilance en continu, ce qui n'est ni réaliste ni souhaitable au quotidien. Avec PC PROTÉGÉ, un filtrage intelligent analyse en amont les liens et pièces jointes suspects, et bloque une grande partie des tentatives avant même qu'elles n'atteignent votre boîte de réception. En cas de doute persistant sur un message reçu, un technicien reste joignable directement pour le vérifier avec vous.