Comment détecter un email frauduleux ou un lien de phishing

Comprendre le phishing : définition et ampleur du problème

Le phishing (ou hameçonnage en français) est une technique de fraude qui consiste à usurper l'identité d'une organisation ou d'une personne de confiance pour soutirer des informations sensibles — mots de passe, coordonnées bancaires, numéros de carte — ou pousser la victime à réaliser une action néfaste (virement frauduleux, installation de logiciel malveillant).

Le terme vient de l'anglais fishing (pêche à la ligne) : le fraudeur lance ses appâts en masse et attend que des victimes mordent. La différence avec une vraie pêche, c'est que les appâts sont de plus en plus sophistiqués. Les emails de phishing modernes sont souvent grammaticalement corrects, visuellement identiques aux communications officielles, et personnalisés avec votre nom ou vos dernières actions.

Les variantes du phishing

Le phishing classique (email de masse) n'est que la forme la plus connue. D'autres variantes ciblées existent :

• Spear phishing : attaque ciblée sur une personne précise, utilisant des informations personnelles (nom du manager, projets en cours, fournisseurs) pour maximiser la crédibilité.
• Whaling : spear phishing visant des dirigeants (PDG, DAF) pour des virements frauduleux de grande ampleur.
• Smishing : phishing par SMS — lien frauduleux dans un message texte (faux avis de livraison, fausse amende).
• Vishing : phishing vocal — appel téléphonique usurpant une banque ou un service officiel.
• Quishing : phishing via QR code — le code redirige vers un site frauduleux.

Les 8 signaux d'alerte d'un email frauduleux

Avant toute vérification technique, un email frauduleux laisse presque toujours des traces visibles à l'œil nu. Voici les 8 signaux à examiner dans l'ordre.

Signal 1 — L'adresse email expéditeur (pas seulement le nom affiché)

Dans la ligne De :, votre client mail n'affiche souvent qu'un nom — « Service Client PayPal », « Amazon », « Impôts » — qui peut être inventé par le fraudeur. Ce n'est pas la preuve de l'identité réelle de l'expéditeur. Ce qui compte, c'est l'adresse email complète, celle qui contient un arobase (@) : [email protected].

La règle : ne vous fiez jamais au nom affiché seul. Cherchez toujours la partie [email protected] et examinez ce qui se trouve après le @. Les organisations légitimes envoient depuis leur propre domaine officiel, jamais depuis Gmail, Hotmail ou un domaine générique.

Signal 2 — L'urgence artificielle

Le phishing joue sur la peur et l'urgence pour vous faire agir sans réfléchir. Toute formulation du type « votre compte sera suspendu dans 24h », « action requise immédiatement », « dernier avertissement » ou « votre accès expirera ce soir » doit déclencher votre méfiance. Les organisations légitimes ne vous mettent jamais sous cette pression par email.

Signal 3 — Les demandes d'informations sensibles

Aucune organisation légitime — banque, administration, opérateur téléphonique, plateforme de paiement — ne vous demande par email votre mot de passe, numéro de carte bancaire, code PIN, RIB, IBAN, numéro de sécurité sociale ou pièce d'identité. Ces informations ne se transmettent jamais par email. Point.

Signal 4 — La salutation générique

Un email légitime d'un service que vous utilisez s'adresse à vous par votre nom. « Cher client », « Bonjour » sans nom, « Monsieur/Madame » — ce sont des signaux que l'email est envoyé en masse sans personnalisation réelle.

Signal 5 — Les liens qui ne correspondent pas

Survolez (sans cliquer) le lien dans l'email. La vraie URL s'affiche dans la barre de statut du navigateur ou dans l'info-bulle. Si le texte dit « Cliquez ici pour accéder à votre espace PayPal » mais que l'URL affichée est https://secure-paypa1.xyz/login, c'est un phishing. Le domaine réel est toujours la partie juste avant le premier / après https://.

Signal 6 — Les pièces jointes inattendues

Une pièce jointe .exe, .zip, .docm, .xlsm (formats avec macros activées) ou même un PDF provenant d'un expéditeur inconnu peut contenir un malware. Ne jamais ouvrir sans vérification préalable.

Signal 7 — La qualité visuelle trop bonne ou trop mauvaise

Les emails de phishing basiques contiennent des fautes d'orthographe et de mise en page. Mais les attaques modernes utilisent des copies pixel-perfect des vrais emails de marque. La qualité visuelle seule n'est donc pas un critère de confiance.

Signal 8 — L'offre trop belle

Remboursement inattendu, gain de loterie, héritage d'un inconnu, investissement à rendement garanti — ces promesses sont toujours de faux appâts. Les arnaques aux « colis bloqués » (DHL, Chronopost) ou aux « amendes impayées » (trésor public) entrent aussi dans cette catégorie.

Le typosquatting : quand le domaine imite la marque

Le typosquatting consiste à enregistrer un nom de domaine délibérément proche d'une marque connue pour tromper les utilisateurs pressés. C'est l'une des techniques les plus efficaces car elle passe facilement inaperçue à la lecture rapide.

La règle d'or pour analyser un domaine : lisez de droite à gauche, du TLD (.fr, .com, .gouv.fr) vers la gauche. Le domaine réel est les deux derniers niveaux avant le premier /. Tout ce qui est avant (sous-domaines) peut être inventé par n'importe qui possédant ce domaine.

Vérifications techniques : SPF, DMARC et MX

Au-delà de la lecture visuelle, trois enregistrements DNS permettent de vérifier si un domaine est configuré pour envoyer légitimement des emails. Ces vérifications sont automatiquement réalisées par notre outil.

L'enregistrement MX (Mail eXchanger)

Un enregistrement MX indique quels serveurs sont autorisés à recevoir les emails d'un domaine. Si un domaine n'a pas de MX, il n'est pas conçu pour envoyer ou recevoir des emails — ce qui est un signal très fort de domaine frauduleux créé uniquement pour le phishing.

Le SPF (Sender Policy Framework)

SPF est un enregistrement DNS de type TXT qui liste les serveurs autorisés à envoyer des emails au nom d'un domaine. Quand un email arrive, le serveur destinataire vérifie que l'IP expéditrice figure dans la liste SPF du domaine. L'absence de SPF signifie que n'importe qui peut prétendre envoyer depuis ce domaine.

v=spf1 include:_spf.google.com include:sendgrid.net ~all

Le DMARC (Domain-based Message Authentication)

DMARC va plus loin que SPF : il définit une politique à appliquer quand un email échoue aux vérifications SPF ou DKIM (none, quarantine, reject). Il permet aussi d'envoyer des rapports à l'organisation pour qu'elle surveille les tentatives d'usurpation de son domaine.

Comment analyser une URL suspecte

Un lien peut sembler inoffensif mais mener vers un site frauduleux. Voici la méthode pour l'analyser sans jamais cliquer dessus.

L'ingénierie sociale : les techniques psychologiques

Au-delà de la technique, le phishing exploite des biais cognitifs humains bien documentés. Comprendre ces mécanismes est la meilleure protection.

Checklist rapide : 10 points à vérifier

Avant d'interagir avec un email suspect, parcourez cette checklist. Si vous cochez plus de 3 points en rouge, il s'agit très probablement d'une arnaque.

Que faire si vous avez reçu ou cliqué sur un phishing

Vous avez reçu l'email mais n'avez pas cliqué

• Signalez-le à Signal Spam (bouton dans votre client mail ou copier-coller sur le site).
• Signalez l'URL à Phishing Initiative pour la faire bloquer dans les navigateurs.
• Transférez l'email à abuse@ suivi du domaine de l'expéditeur pour alerter l'hébergeur.
• Si l'email usurpe une vraie marque, prévenez-la — PayPal a par exemple [email protected], Apple a [email protected].

Vous avez cliqué sur le lien mais n'avez rien saisi

• Fermez immédiatement l'onglet.
• Lancez une analyse antivirus sur votre appareil (Windows Defender suffit pour une analyse rapide).
• Vérifiez que votre navigateur n'a pas téléchargé de fichier à votre insu.

Vous avez saisi vos identifiants ou coordonnées bancaires

Questions fréquentes