Comment reconnaître un e-mail de phishing ? Faux colis, fausse banque, faux remboursement d'impôts

« Cher client, votre colis est retenu dans notre centre de distribution en raison d'une adresse incomplète. Sans paiement de frais de mise à jour sous 24 heures, il sera renvoyé à l'expéditeur. Cliquez ici pour mettre à jour votre adresse. »

Vous avez sans doute déjà reçu ce message sous une forme ou une autre. Parfois par SMS, parfois par e-mail ; le logo est là, le texte est propre, et le montant demandé est minime. C'est justement tout l'intérêt, car pour quelques euros, personne ne réfléchit à deux fois. Sauf que les coordonnées bancaires saisies sur cette page servent ensuite à des débits bien plus importants.

Le phishing (ou hameçonnage) est une escroquerie qui consiste à se faire passer pour un organisme de confiance afin d'obtenir votre mot de passe, vos coordonnées bancaires ou un code de vérification. Voici, point par point, où regarder pour savoir si un e-mail est faux. À la fin, vous trouverez une checklist et la marche à suivre si un tel message arrive dans votre boîte mail temporaire.

Les scénarios de phishing les plus courants

Les escrocs ne sont pas inventifs, ils sont constants. Ils réutilisent sans cesse les mêmes scénarios, parce que ça marche. Voici ceux qui reviennent le plus :

• Le colis en attente. L'exemple ci-dessus. Des objets comme « adresse incomplète », « frais de douane », « échec de livraison ». Si vous attendez réellement une commande, c'est d'autant plus crédible.
• L'alerte de sécurité bancaire. « Une opération suspecte a été détectée sur votre compte, votre carte va être bloquée. » Le lien mène à une copie conforme de la page de connexion de la banque.
• Le faux message de l'administration. « Un remboursement d'impôts vous attend », « Vous avez une amende impayée ». L'apparence officielle sert à provoquer la panique ou l'enthousiasme.
• Le compte suspendu. Plateformes de streaming, réseaux sociaux, fournisseur de messagerie. « Votre moyen de paiement a été refusé, votre compte va être fermé. »
• Le jeu concours et le cadeau. « Félicitations, vous avez gagné. Pour recevoir votre lot, réglez les frais de livraison. »
• La fausse facture ou commande. « Votre commande a bien été validée. Si vous n'êtes pas à l'origine de cet achat, cliquez pour annuler. » Le piège, c'est la précipitation à annuler.

Comment vérifier l'adresse de l'expéditeur ?

Le nom que vous voyez dans la boîte de réception, le « nom affiché », peut être n'importe quoi au choix de l'expéditeur. « Service client de votre banque » ne prouve rien. Ce qu'il faut regarder, c'est l'adresse réelle, à côté du nom ou qui apparaît quand vous cliquez dessus.

Les points à vérifier :

• Le domaine après le @ est-il le vrai domaine de l'organisme ? Méfiez-vous des substitutions comme un « 1 » à la place d'un « l », un « 0 » à la place d'un « o », un tiret ajouté au milieu.
• Le nom de l'organisme figure au début du domaine, mais la fin est différente ? Une adresse du type « nomdelorganisme.alerte-securite.xyz » n'appartient pas à cet organisme. C'est la fin du domaine qui compte.
• Une notification « officielle » envoyée depuis une messagerie gratuite est presque toujours fausse.

Sachez aussi que l'adresse de l'expéditeur peut être techniquement usurpée. Même si elle a l'air correcte, regardez les autres signes dès que le contenu paraît suspect. Une seule vérification ne suffit pas.

Pourquoi un ton pressant doit vous alerter

Dans presque tous les e-mails de phishing, on entend le tic-tac d'une horloge, avec « sous 24 heures », « dernier avertissement », « sans action immédiate de votre part ». La raison est simple. Quelqu'un de pressé ne vérifie pas. Une vraie banque peut aussi vous alerter, mais elle vous renvoie généralement vers son application ou son canal officiel, pas vers un lien dans l'e-mail.

Retenez une règle simple, plus un e-mail vous presse, plus il faut ralentir.

Où mène le lien ? Comment le savoir sans cliquer

Sur ordinateur, placez la souris sur le lien sans cliquer. L'adresse de destination réelle s'affiche en bas à gauche du navigateur ou du logiciel de messagerie. Un bouton marqué « Se connecter » peut mener n'importe où.

1. Laissez le curseur sur le lien ou le bouton.
2. Lisez la partie domaine de l'adresse qui s'affiche. Un « https:// » ne prouve pas à lui seul que le site est sûr, car les faux sites obtiennent eux aussi des certificats.
3. Les liens raccourcis (adresses très courtes de quelques caractères) cachent leur destination. Si un organisme officiel vous envoie ce genre de lien, méfiez-vous.
4. Sur téléphone, faites un appui long sur le lien et la plupart des appareils affichent l'adresse avant de l'ouvrir.
5. Au moindre doute, n'utilisez pas le lien. Tapez vous-même l'adresse du site de l'organisme ou ouvrez son application.

Avant d'ouvrir une pièce jointe, stop

« Facture.pdf.exe », « Infos_livraison.zip », un document Office qui vous demande d'activer les macros. Si vous n'attendiez pas cette pièce jointe, surtout s'il s'agit d'une archive compressée ou d'un document qui affiche « Activer le contenu », ne l'ouvrez pas. Si un organisme vous a vraiment envoyé une facture, vous pouvez aussi la consulter en vous connectant directement à son site.

Checklist anti-phishing

Dès qu'un e-mail vous semble suspect, parcourez ce tableau. Si vous répondez « oui » sur plusieurs lignes, il est très probablement faux.

Que faire si un e-mail suspect arrive dans ma boîte mail temporaire ?

Après avoir utilisé votre adresse temporaire sur un site, il peut arriver qu'un e-mail de phishing y atterrisse. En général, cela signifie que l'adresse s'est retrouvée dans une liste. La bonne nouvelle, c'est qu'elle n'est pas liée à votre identité, et elle sera de toute façon hors service dans quelques heures.

Sur Geçici Mail, les e-mails HTML sont affichés de manière sécurisée. Les scripts sont supprimés et le message s'ouvre dans un cadre séparé, isolé du reste de la page. Les pièces jointes ne sont pas affichées. Lire l'e-mail ne vous met donc pas en danger à lui seul.

Mais soyons honnêtes sur une limite. Si vous cliquez sur un lien dans l'e-mail, votre navigateur vous emmène vers ce site externe. À partir de là, nous n'avons plus la main. Si vous tapez votre mot de passe sur une fausse page bancaire, le fait que l'adresse soit temporaire ne change rien, c'est votre mot de passe qui est volé.

Donc :

• Ne cliquez pas sur les liens d'un e-mail suspect et ne remplissez aucun formulaire.
• Lisez l'e-mail puis fermez-le ; si vous voulez, libérez l'adresse avec le bouton SUPPRIMER et prenez-en une nouvelle.
• Si le message ressemble à une alerte concernant l'un de vos vrais comptes, vérifiez en ouvrant vous-même l'application ou le site de l'organisme.

Nous abordons le volet sécurité des adresses temporaires dans l'article une adresse mail jetable, est-ce vraiment sûr ?, et la gestion des e-mails indésirables dans 7 façons efficaces de se débarrasser des spams.

J'ai cliqué et saisi mes informations. Et maintenant ?

Pas de panique, mais agissez vite. Si vous avez saisi un mot de passe, changez immédiatement celui de ce compte, ainsi que celui de tous les comptes où vous utilisez le même. Si vous avez saisi vos coordonnées bancaires, appelez votre banque au numéro officiel de son service client pour faire bloquer la carte. Si la double authentification n'est pas activée, activez-la. Plus vous réagissez tôt, plus les dégâts restent limités.

Questions fréquentes