Recevoir un e-mail qui semble venir de sa banque, un SMS annonçant un colis bloqué ou un message demandant de confirmer immédiatement son compte peut sembler banal. Pourtant, derrière un message parfaitement présenté peut se cacher une tentative de phishing.
Le phishing, également appelé hameçonnage, consiste à se faire passer pour une personne, une entreprise ou une administration de confiance afin de pousser la victime à communiquer des informations personnelles, des identifiants, des mots de passe ou des données bancaires. Les fraudeurs utilisent souvent des messages très crédibles et jouent sur l'urgence, la peur ou la curiosité.
Le problème est que les anciennes méthodes de phishing étaient parfois faciles à reconnaître à cause de fautes d'orthographe ou de messages mal construits. Aujourd'hui, certaines arnaques sont beaucoup plus soignées. Elles peuvent reprendre le logo d'une marque, imiter sa mise en page et utiliser des informations personnelles pour rendre le piège plus convaincant.
La bonne nouvelle, c'est qu'il existe plusieurs indices permettant de détecter une tentative avant de cliquer. Dans ce guide, vous allez découvrir 15 signes de phishing à connaître, mais aussi les réflexes à adopter si vous avez déjà ouvert un lien ou communiqué des informations.
L'objectif n'est pas de devenir expert en cybersécurité. Il suffit surtout d'apprendre à ralentir avant d'agir.
Signes de phishing : comment reconnaître une arnaque ?
Le phishing repose principalement sur une technique simple : créer suffisamment de confiance pour que la victime fasse elle-même l'action recherchée.
Le fraudeur peut vous demander de vous connecter à un faux site, de confirmer une transaction, de régler une facture, de récupérer un colis ou de résoudre prétendument un problème de sécurité. Une fois sur la fausse page, la victime peut être invitée à saisir son identifiant, son mot de passe, son numéro de carte bancaire ou d'autres informations sensibles.
Les signes de phishing sont donc souvent présents dans le message lui-même. Il faut examiner plusieurs éléments : l'expéditeur, le lien, le contenu, le contexte et surtout la demande formulée.
Un seul indice ne suffit pas toujours à conclure qu'un message est frauduleux. En revanche, plusieurs signaux réunis doivent vous inciter à ne pas cliquer.
Signes de phishing dans l’adresse de l’expéditeur
L'adresse de l'expéditeur est l'un des premiers éléments à vérifier. Un message prétendant venir d'une banque, d'une administration ou d'un grand service peut utiliser une adresse étrange, très longue ou sans rapport évident avec l'organisme présenté.
Par exemple, un message qui prétend provenir d'une grande entreprise mais utilise un domaine totalement différent doit attirer votre attention.
Cependant, il existe une nuance importante : l'adresse affichée n'est pas toujours une preuve suffisante. Une adresse peut être usurpée ou falsifiée. La CNIL recommande donc de ne pas se fier uniquement à l'identité affichée comme expéditeur et de vérifier le message dans son ensemble.
La meilleure attitude consiste à considérer l'adresse comme un premier indice parmi plusieurs autres.
Signes de phishing dans les liens et URL
Les liens sont particulièrement importants à contrôler.
Avant de cliquer sur un lien reçu par e-mail, placez le curseur dessus lorsque votre appareil le permet afin d'afficher l'adresse de destination. Vérifiez alors le domaine avec attention.
Les fraudeurs peuvent utiliser des adresses qui ressemblent à des sites connus avec une petite différence : une lettre supplémentaire, un mot ajouté, une extension inhabituelle ou une combinaison trompeuse.
Sur smartphone, cette vérification est parfois moins pratique. Dans ce cas, plutôt que de suivre directement le lien, ouvrez votre navigateur et saisissez vous-même l'adresse officielle du service concerné. Cette méthode permet d'éviter de se retrouver sur une copie frauduleuse.
Signes de phishing dans le contenu du message
Le contenu du message doit également être examiné.
Posez-vous quelques questions simples :
Pourquoi est-ce que je reçois ce message ?
Est-ce que je suis réellement client de ce service ?
Est-ce que j'attends un colis ?
Ai-je demandé cette opération ?
Est-ce que le message correspond à une situation que je connais ?
Un e-mail qui parle d'une facture, d'une livraison ou d'un abonnement qui ne vous concerne pas peut être un signal d'alerte. La CNIL recommande notamment de vérifier si le message est réellement destiné à son destinataire et si son contenu correspond à une situation connue.
Signes de phishing liés à l’urgence ou aux menaces
L'urgence est l'une des armes préférées des fraudeurs.
Le message peut vous dire que :
« votre compte sera fermé aujourd'hui » ;
« votre paiement a échoué » ;
« vous devez agir dans les 30 minutes » ;
« votre carte sera bloquée » ;
ou encore « une activité suspecte a été détectée ».
L'objectif est de vous empêcher de réfléchir.
C'est précisément dans ces situations qu'il faut ralentir. Une demande extrêmement urgente ne devient pas plus légitime parce qu'elle est urgente.
Prenez le temps de fermer le message, d'aller directement sur le site officiel ou de contacter l'organisme via un moyen de communication connu.
15 signes de phishing à vérifier avant de cliquer
Avant de cliquer sur un lien reçu par e-mail, SMS ou messagerie instantanée, prenez quelques secondes pour vérifier les éléments suivants.
Ces signes de phishing ne sont pas toujours présents simultanément. Certains messages frauduleux sont très bien conçus. L'objectif est donc d'identifier un ensemble d'indices plutôt que de rechercher une seule erreur évidente.
Signes de phishing n°1 à 5 : les indices les plus évidents
1. Le message vient d'un expéditeur inattendu
Vous recevez un message d'une banque que vous n'utilisez pas, d'un service auquel vous n'êtes pas inscrit ou d'une entreprise avec laquelle vous n'avez aucune relation. Ce manque de contexte est déjà un premier signal.
2. Le message vous demande des informations sensibles
Un e-mail ou SMS vous demandant votre mot de passe, votre code de connexion, des informations bancaires ou d'autres données confidentielles mérite une très grande prudence.
La CNIL rappelle notamment qu'il ne faut pas transmettre d'informations confidentielles en réponse à une demande suspecte.
3. Le message contient un lien inattendu
Un simple bouton « Confirmer », « Vérifier », « Payer » ou « Se connecter » peut conduire vers un faux site.
Ne cliquez pas automatiquement. Vérifiez d'abord la destination.
4. Le message crée une forte pression
Un délai très court, une menace de blocage ou une conséquence financière présentée comme imminente doivent vous faire prendre du recul.
5. Le contexte ne correspond pas à votre situation
Vous n'avez pas commandé de colis, vous n'avez pas demandé de remboursement ou vous ne possédez pas le compte dont parle le message ? Ne cherchez pas à résoudre un problème qui n'existe probablement pas.
Signes de phishing n°6 à 10 : les détails qui doivent vous alerter
6. L'adresse du site semble presque correcte
Les fraudeurs savent que les internautes regardent rapidement un domaine. Ils peuvent donc créer une adresse qui ressemble visuellement à la vraie.
Regardez le domaine réel et pas seulement le nom ou le logo affiché sur la page.
7. Le message comporte des erreurs ou des formulations étranges
Les fautes ne permettent plus à elles seules de détecter toutes les arnaques, car certains messages frauduleux sont très bien rédigés. Elles restent cependant un indice lorsqu'elles sont accompagnées d'autres anomalies.
La CNIL conseille notamment d'être attentif au niveau de langage, aux fautes et aux formulations inhabituelles.
8. Le message demande une action inhabituelle
Vous n'avez jamais eu besoin de confirmer votre identité de cette manière auparavant ? C'est un bon moment pour vérifier directement auprès de l'organisme.
9. Une pièce jointe inattendue est présente
Une facture, un document administratif ou un reçu que vous n'attendiez pas peut être utilisé comme appât.
Évitez d'ouvrir une pièce jointe provenant d'un message suspect. La CNIL recommande de ne pas ouvrir les pièces jointes d'un message douteux.
10. Le message semble trop parfait ou trop alarmant
Un texte très professionnel n'est pas nécessairement authentique. Inversement, une présentation étrange ne garantit pas toujours qu'il s'agit d'une arnaque.
Le contexte et la demande restent essentiels.
Signes de phishing n°11 à 15 : les techniques plus difficiles à repérer
11. Le fraudeur utilise une identité connue
Un message peut prétendre venir d'une banque, d'une plateforme de livraison, d'un collègue ou même d'un proche.
La technique consiste à vous faire baisser votre vigilance grâce à une identité familière.
12. Le message fait référence à une situation crédible
« Votre abonnement arrive à expiration », « votre paiement doit être confirmé » ou « votre colis est en attente » sont des scénarios qui semblent parfaitement normaux.
C'est justement leur banalité qui les rend efficaces.
13. Le lien vous demande de vous reconnecter alors que rien ne le justifie
Une fenêtre de connexion inattendue doit être traitée avec prudence. Pour accéder à votre compte, passez directement par le site ou l'application officielle plutôt que par le lien reçu.
14. Un QR code remplace le lien habituel
Un QR code peut sembler plus moderne ou plus pratique, mais il peut également rediriger vers un site frauduleux. Ne considérez pas un QR code comme automatiquement fiable.
15. Le message vous demande de garder l'opération secrète ou d'agir immédiatement
Certaines fraudes utilisent la pression psychologique : ne pas prévenir votre entourage, ne pas appeler votre conseiller, ne pas fermer la page ou effectuer l'opération avant une certaine heure.
Ce comportement doit vous alerter.
Un principe simple peut vous protéger : plus une demande est urgente, sensible et inhabituelle, plus vous devez prendre le temps de la vérifier.
Que faire après avoir identifié des signes de phishing ?
Identifier une arnaque est déjà une excellente réaction. Mais il faut ensuite éviter de transformer une tentative de fraude en problème réel.
Ne répondez pas au message. Ne cliquez pas sur les liens. N'ouvrez pas les pièces jointes. Ne fournissez aucune information.
Pour vérifier l'information, utilisez un autre chemin.
Par exemple, si un e-mail prétend venir de votre banque, n'utilisez pas le lien contenu dans l'e-mail. Ouvrez vous-même le site officiel de votre banque ou utilisez son application habituelle.
La CNIL recommande précisément de privilégier la saisie directe de l'adresse du site officiel depuis le navigateur lorsqu'un message paraît suspect.
Vous pouvez ensuite supprimer le message selon les procédures adaptées à votre service de messagerie. Dans un environnement professionnel, il est préférable de suivre les consignes internes et de transmettre le message au service informatique ou à la personne chargée de la sécurité.
Que faire si vous avez cliqué sur un lien de phishing ?
Avoir cliqué ne signifie pas automatiquement que vos comptes sont compromis. Tout dépend de ce qui s'est passé ensuite.
Si vous avez simplement ouvert une page puis refermé immédiatement la fenêtre sans saisir d'informations, le risque n'est pas nécessairement le même que si vous avez communiqué votre mot de passe ou installé un fichier.
Dans tous les cas, arrêtez l'interaction avec la page suspecte.
Si vous avez saisi un mot de passe, changez-le rapidement depuis le site officiel du service concerné, et surtout ne réutilisez pas ce mot de passe sur plusieurs comptes.
La CNIL recommande l'utilisation de mots de passe forts et uniques ainsi que l'activation de l'authentification multifacteur lorsqu'elle est proposée.
Que faire si vous avez communiqué vos informations ?
La réaction dépend des informations qui ont été communiquées.
Si vous avez donné un mot de passe, commencez par le modifier depuis le véritable site du service. Si le même mot de passe était utilisé ailleurs, changez-le également sur les autres comptes.
Si vous avez communiqué des informations bancaires, contactez rapidement votre banque en utilisant ses coordonnées habituelles. Ne rappelez pas un numéro présent uniquement dans le message suspect.
La CNIL recommande notamment de surveiller les opérations bancaires et de contacter sa banque en cas de doute.
Si vous pensez qu'un compte a été pris de contrôle, récupérez-le via les mécanismes officiels du service concerné et sécurisez immédiatement les autres accès associés.
Enfin, conservez les éléments utiles : message, adresse de l'expéditeur, URL suspecte, captures d'écran et date de l'incident. Ces informations peuvent être utiles pour un signalement.
Comment signaler une tentative de phishing ?
Le signalement permet de contribuer à la lutte contre les campagnes frauduleuses.
Pour un e-mail suspect, vous pouvez notamment utiliser le dispositif Signal Spam lorsque celui-ci est adapté au cas rencontré. Service-Public présente ce service comme un moyen de signaler un courriel indésirable ou suspect, notamment dans le contexte du phishing.
Cybermalveillance.gouv.fr recommande également différents moyens de signalement selon la nature du message ou du site concerné, notamment Signal Spam, l'organisme dont l'identité a été usurpée et les dispositifs dédiés aux sites de phishing.
Dans certains cas, il est également pertinent de signaler l'escroquerie aux autorités ou de se faire accompagner par les services officiels compétents.
Le point important est de ne pas transmettre vos données personnelles au fraudeur sous prétexte de vouloir résoudre le problème.
Comment éviter les signes de phishing à l’avenir ?
La meilleure protection repose moins sur un outil miracle que sur de bonnes habitudes.
Un antivirus peut contribuer à la sécurité d'un appareil, un filtre anti-spam peut réduire le nombre de messages frauduleux et un navigateur peut afficher des avertissements. Mais aucun outil ne remplace totalement la vigilance de l'utilisateur.
Les attaques de phishing jouent justement sur le comportement humain. La CNIL souligne l'importance de la sensibilisation et des bons réflexes face aux techniques d'ingénierie sociale.
Le réflexe le plus utile est donc simple : ne jamais confondre familiarité et authenticité.
Un logo connu, le nom d'une entreprise, une présentation professionnelle ou un message très bien écrit ne suffit pas à prouver qu'il est authentique.
Vérifier un message avant de cliquer
Avant d'ouvrir un lien, prenez quelques secondes.
Demandez-vous :
Est-ce que j'attendais ce message ?
Pourquoi me demande-t-on cette action ?
Quel est le véritable domaine du lien ?
Pourquoi dois-je fournir cette information ?
Puis-je effectuer cette opération directement depuis l'application ou le site officiel ?
Ces questions peuvent paraître simples, mais elles cassent le mécanisme psychologique sur lequel repose le phishing : la réaction automatique.
Il est également préférable de ne pas rechercher la solution dans le message lui-même. Si un e-mail vous demande de vérifier votre compte, ouvrez directement votre navigateur et rendez-vous sur le service concerné.
Protéger ses comptes contre le phishing
Même avec de bonnes habitudes, il est impossible de garantir qu'aucune tentative de phishing ne vous atteindra.
Il faut donc également réduire les conséquences possibles d'une compromission.
Commencez par utiliser un mot de passe différent pour chaque compte important. Votre adresse e-mail principale mérite une attention particulière, car elle peut servir à réinitialiser l'accès à d'autres services.
Utilisez également l'authentification multifacteur lorsque le service la propose. Elle ajoute une couche de protection supplémentaire en demandant une preuve additionnelle lors de la connexion. La CNIL recommande notamment de privilégier cette protection sur les services importants et de ne pas réutiliser un même mot de passe sur plusieurs services.
Maintenez enfin vos appareils et logiciels à jour. Les mises à jour ne servent pas uniquement à ajouter de nouvelles fonctionnalités : elles permettent aussi de corriger certaines failles de sécurité.
FAQ sur les signes de phishing
Comment savoir si un message est du phishing ?
Un message peut être considéré comme suspect lorsqu'il combine plusieurs signes de phishing : expéditeur inattendu, lien douteux, demande d'informations sensibles, forte urgence, incohérence avec votre situation ou adresse web inhabituelle.
Ne vous fiez cependant pas à un seul indice. Certaines arnaques sont très bien rédigées et peuvent imiter de façon convaincante des services connus.
En cas de doute, ne cliquez pas. Accédez directement au site officiel concerné ou contactez l'organisme via un moyen de communication que vous connaissez déjà.
Quels sont les signes d’un faux e-mail ?
Les principaux signes de phishing dans un e-mail sont une demande inhabituelle, un lien inattendu, une adresse suspecte, une forte pression pour agir, une pièce jointe inconnue ou un contexte qui ne vous concerne pas.
Les fautes d'orthographe peuvent également être un indice, mais elles ne suffisent plus à identifier une arnaque à elles seules. La CNIL recommande une analyse globale du message et de son contexte.
Peut-on être victime de phishing sans cliquer sur un lien ?
Oui, le phishing ne se limite pas aux faux liens.
Une fraude peut passer par un appel téléphonique, un SMS, un message sur un réseau social, une pièce jointe ou une fausse conversation. La technique peut également chercher à vous convaincre de communiquer une information directement, sans nécessairement vous envoyer vers une page de connexion.
Le phishing peut ainsi prendre différentes formes, et les fraudeurs adaptent régulièrement leurs méthodes.
Conclusion
Le phishing fonctionne parce qu'il cherche à provoquer une réaction rapide : cliquer, répondre, payer, confirmer ou transmettre une information.
La meilleure défense consiste donc souvent à faire exactement l'inverse : ralentir.
Les 15 signes présentés dans cet article permettent de repérer de nombreux indices : expéditeur inhabituel, URL suspecte, demande de données personnelles, urgence artificielle, pièce jointe inattendue, identité usurpée ou situation incohérente.
Mais le réflexe le plus important reste valable dans presque toutes les situations : lorsqu'un message vous demande une action sensible, ne passez pas par son lien. Accédez vous-même au site ou à l'application officielle.
Et si vous avez déjà cliqué ou communiqué des informations, ne paniquez pas. Sécurisez rapidement vos comptes, contactez les organismes concernés, surveillez vos opérations et effectuez les signalements appropriés.
La vigilance ne consiste pas à se méfier de tout. Elle consiste simplement à prendre quelques secondes avant de faire confiance à un message qui vous demande quelque chose d'important.