Reconnaître un mail de phishing facilement : 7 signes qui ne trompent pas

Un mail de votre "banque" qui vous demande de confirmer votre identité. Un lien qui pointe vers secure-login-banque-verification.com. Et cette petite voix qui vous dit : ça sent l'arnaque. Parfois elle a raison. Parfois vous cliquez quand même, parce qu'il est 23h, que vous êtes fatigué, et que le message a l'air crédible. Ça m'est arrivé. J'ai cliqué. Rien de grave ce jour-là, mais j'ai passé la soirée à changer mes mots de passe.

Depuis, j'ai développé une méthode pour reconnaître un mail de phishing facilement, basée sur des vérifications concrètes plutôt que sur une intuition vague. Ce n'est pas une question de méfiance permanente. C'est une question de savoir précisément où regarder.

Comment reconnaître un mail de phishing sans se tromper

La plupart des conseils qu'on lit répètent les mêmes banalités : "vérifiez l'expéditeur", "ne cliquez pas sur les liens suspects", "méfiez-vous des pièces jointes". Merci, mais ça ne m'a jamais aidé à 23h devant une boîte de réception pleine.

Ce qui aide, c'est une procédure. Quelque chose qu'on applique mécaniquement, dans le même ordre, à chaque mail un peu douteux. Voici la mienne.

Vérifier l'adresse réelle, pas le nom affiché

Le nom qui apparaît dans votre boîte mail ("Service Client BNP", "Microsoft Support") est un champ libre. N'importe qui peut écrire ce qu'il veut à cet endroit. C'est la première chose que les arnaqueurs exploitent, et c'est aussi la première que les gens oublient de vérifier.

Sur Gmail, cliquez sur le nom de l'expéditeur : l'adresse réelle apparaît en dessous, entre chevrons. Sur Outlook, double-cliquez sur le message pour ouvrir la fenêtre complète, l'adresse est visible dans l'en-tête. Sur mobile, appuyez sur le nom.

• Une banque française vous écrit depuis une adresse en @gmail.com ? Non.
• Un domaine qui imite l'original d'un caractère : rnicrosoft.com au lieu de microsoft.com, paypa1.com avec un chiffre.
• Un sous-domaine trompeur : mabanque.secure-verification.xyz. Le vrai domaine est xyz, pas mabanque.

Cette dernière astuce m'a sauvé plusieurs fois. On lit une URL de gauche à droite, naturellement, et on s'arrête au premier mot rassurant. Il faut lire de droite à gauche : le domaine de premier niveau (.fr, .com, .xyz) et le mot juste avant déterminent qui possède réellement le site.

Survoler les liens avant de cliquer

Sur ordinateur, passez la souris sur un lien sans cliquer : l'URL réelle s'affiche en bas de la fenêtre. Sur mobile, appuyez longuement sur le lien pour faire apparaître la même information.

Un texte de lien peut dire n'importe quoi. Il peut afficher "www.impots.gouv.fr" et pointer vers impots-gouv-fr-remboursement.top. Ce que vous voyez dans le corps du mail n'est que du texte coloré.

Comparez toujours : le texte affiché et l'URL de destination doivent concorder. S'ils divergent, considérez le mail comme frauduleux. Pas de débat.

L'urgence artificielle, signal le plus fiable

Les arnaqueurs veulent court-circuiter votre réflexion. Ils créent une pression temporelle :

• "Votre compte sera suspendu dans les 24 heures."
• "Une transaction non autorisée a été détectée. Confirmez immédiatement."
• "Dernier avertissement avant fermeture définitive."
• Un ton menaçant, parfois avec des menaces juridiques ou financières.

Aucune institution sérieuse ne fonctionne comme ça. Une banque qui détecte une fraude bloque la carte puis vous appelle ou vous écrit, sans vous demander de cliquer sur un lien. Un service public ne vous envoie pas de "dernier avertissement" par mail avec un lien vers un formulaire.

Ce n'est pas un signal parfait. Mais dans mon expérience, c'est celui qui a le meilleur ratio signal/bruit.

Phishing, spear-phishing, fraude au président : ce qui change

Le phishing de masse ("cher client, veuillez confirmer vos coordonnées") vise le plus grand nombre avec un message générique. Tout le monde le connaît. Les variantes ciblées sont nettement plus redoutables, et c'est là que les réflexes habituels ne suffisent plus.

Type	Cible	Signal typique	Difficulté à détecter
Phishing de masse	Milliers de destinataires	Formule générique, fautes d'orthographe	Faible
Spear-phishing	Une personne ou un service précis	Message personnalisé, contexte crédible	Élevée
Fraude au président	Un collaborateur en position d'autorité	Demande de virement urgente d'un "dirigeant"	Très élevée

Le spear-phishing m'a fait tomber une fois. Le mail venait d'un "collègue" dont le nom était légèrement modifié, il référençait un vrai projet en cours, et demandait un document. Aucun signal évident. Ce qui m'a alerté, finalement, c'est que l'adresse complète ne correspondait pas à la convention interne — un détail que je vérifie automatiquement depuis.

La fraude au président repose sur un mécanisme différent : elle n'exploite pas votre méfiance envers un inconnu, mais votre respect de la hiérarchie. Un "directeur" qui demande un virement urgent et confidentiel, un vendredi après-midi, en vous demandant de ne pas en parler. Si vous recevez ce type de message, appelez la personne par un numéro que vous connaissez. Pas celui indiqué dans le mail.

Que faire concrètement en cas de doute

Ne répondez pas. Ne cliquez pas. Ne transférez pas tel quel à un collègue, vous risquez de propager le lien.

Vérifier par un canal indépendant

Si le mail prétend venir de votre banque, connectez-vous à votre espace client en tapant l'adresse vous-même dans le navigateur, ou via votre application officielle. Si quelque chose de grave était en cours, vous le verriez. Si le mail prétend venir d'un collègue, appelez-le. Ou écrivez-lui sur un canal différent (message interne, téléphone).

C'est la règle que j'applique systématiquement : ne jamais utiliser les coordonnées fournies dans le message suspect.

Signaler le mail

En France, plusieurs canaux existent :

• Signal Spam (signal-spam.fr) : extension et formulaire pour signaler les messages frauduleux.
• Pharos (internet-signalement.gouv.fr) : plateforme de signalement des contenus illicites, gérée par l'État.
• Le bouton "Signaler comme spam" de votre client mail — moins officiel, mais utile pour entraîner les filtres.

Signal Spam est celui que j'utilise le plus : l'extension s'installe dans le client mail et ajoute un bouton "signaler". Un clic, c'est parti.

Si vous avez cliqué (ou saisi des identifiants)

Pas de panique, mais pas de procrastination non plus. Changez immédiatement le mot de passe du compte concerné, et activez la double authentification si ce n'est pas déjà fait. Si c'est un compte bancaire, contactez votre agence. Si des données personnelles ont pu fuiter, signalez l'incident.

J'ai fait cette erreur une fois. J'ai changé le mot de passe dans l'heure, rien de grave. Mais j'ai vu des cas où le délai de 48 heures change tout : les identifiants sont revendus vite, et les tentatives de connexion commencent dans les minutes qui suivent.

Les erreurs fréquentes quand on cherche à reconnaître un phishing

Croire que tout mail douteux est frauduleux

Les vrais mails de votre banque ressemblent parfois à du phishing : ton alarmiste ("une connexion inhabituelle a été détectée"), lien vers un espace client, demande de vérification. La différence, c'est la cohérence : l'adresse expéditrice, le lien, le contexte.

Recevoir un mail de sécurité après un voyage à l'étranger est normal. Recevoir le même type de mail alors que vous n'avez pas bougé de chez vous mérite une vérification par canal direct.

Croire qu'un mail frauduleux a forcément des signaux visibles

C'est faux. Les campagnes sérieuses n'ont ni fautes d'orthographe, ni logo pixelisé, ni formule générique. Elles utilisent un domaine vieux de plusieurs mois, avec un certificat HTTPS valide, et un texte impeccable. Le cadenas dans la barre d'adresse ne garantit qu'une chose : la connexion est chiffrée. N'importe qui peut obtenir un certificat, y compris un site frauduleux.

De même, un mail sans pièce jointe, sans lien, sans urgence visible peut être une tentative de reconnaissance : on vous envoie un message anodin pour voir si vous répondez, pour confirmer que votre adresse est active. Répondre suffit à vous faire passer en cible prioritaire.

Se fier aveuglément aux protections techniques

Les protocoles SPF, DKIM et DMARC réduisent le risque d'usurpation directe du domaine expéditeur. Mais ils ne bloquent rien face à un domaine ressemblant (rnabanque.fr), et la lecture des en-têtes complets demande des compétences que peu de gens ont. Utilisez ces filtres comme une première barrière, pas comme une preuve d'authenticité.

En pratique, votre meilleur outil reste la vérification manuelle : l'adresse réelle, l'URL réelle, la cohérence du message avec le contexte. Aucun signal technique ne remplace ça.

Les réflexes qui finissent par devenir automatiques

Après des années à décortiquer ce genre de messages, certains réflexes se sont installés sans que j'y pense. Ouvrir l'adresse réelle avant de lire le corps du message. Survoler chaque lien, même dans un mail légitime. Ne jamais saisir un mot de passe depuis un lien reçu par mail, jamais, quelle que soit l'apparence du message.

Ces habitudes prennent cinq secondes. Elles ne vous rendront pas invulnérable — rien ne le fait. Mais elles réduisent tellement le nombre de cas où vous devez réfléchir sous pression que la question change complètement. Vous ne cherchez plus à reconnaître un mail de phishing : vous partez du principe que tout message non sollicité mérite vérification. C'est moins fatigant, paradoxalement.

La prochaine fois que votre boîte mail vous met un doute, la question n'est pas "est-ce que ce mail est légitime ?". La question est : "par quel autre canal je peux vérifier ça en trente secondes ?". La réponse est toujours plus rapide qu'un changement de mot de passe en urgence.