Reconnaître et éviter les phishing par email : le guide qui sauve

Le mail est propre. Pas une faute. Le logo est le bon. Et pourtant, quelque chose cloche. C'est la phrase que j'entends le plus souvent quand on me transfère un message suspect : « il a l'air tellement vrai ».

Le problème, c'est justement ça. En 2026, les fautes d'orthographe ne sont plus un signal fiable. Un modèle de langage bien configuré écrit un français meilleur que la moitié des entreprises légitimes. Alors comment repérer un phishing par email quand l'arnaque est devenue grammaticalement parfaite ? Il faut arrêter de lire le texte et commencer à lire la structure. C'est là que tout se joue.

Reconnaître un phishing par email : les 4 signes qui ne trompent pas

La question revient sans arrêt, et elle mérite une réponse concrète plutôt qu'un énième discours sur la méfiance. Quatre vérifications, dans cet ordre, avant d'ouvrir quoi que ce soit.

Je les ai testées sur ma propre boîte. Je reçois, comme tout le monde, entre cinq et dix tentatives par semaine. Depuis que j'applique ces quatre points mécaniquement, je n'ai plus ouvert un seul message piégé. Pas par vigilance particulière. Par réflexe.

1. Le domaine d'envoi, et non le nom affiché

Le nom affiché, c'est du décor. N'importe qui peut mettre « Service Client BNP » dans ce champ. Ce qui compte, c'est ce qui suit l'arobase. Et là, deux techniques reviennent.

La première est le typosquatting : on ajoute, retire ou échange une lettre. banque-example.com au lieu de banqueexample.com. Un trait d'union, et le tour est joué. La seconde est plus vicieuse : un sous-domaine trompeur, du type banqueexample.fr.secure-login.xyz. On lit « banqueexample.fr » de gauche à droite et on croit avoir vérifié. Le vrai domaine, celui qui compte, est à droite : secure-login.xyz.

2. L'adresse de réponse qui n'est pas celle de l'expéditeur

Peu de gens le savent, et c'est dommage. Un email contient deux adresses distinctes : l'expéditeur affiché et l'adresse de réponse. Un fraudeur peut envoyer depuis une adresse usurpée tout en redirigeant les réponses vers une boîte qu'il contrôle. Dans un client mail classique, vous voyez la première. La seconde est cachée dans les en-têtes.

Concrètement, si votre banque vous écrit et que la réponse part chez contact@mail-gratuit-4821.com, c'est terminé. Vous avez votre réponse.

3. L'URL réelle masquée derrière le texte du lien

Un lien affiche un texte. Il pointe vers une adresse. Les deux n'ont rien à voir. C'est le mécanisme le plus utilisé, et le plus simple à démonter : passez la souris sur le lien sans cliquer. Sur mobile, c'est plus délicat — un appui long affiche souvent l'aperçu.

Ce que vous cherchez, c'est la cohérence. Si le texte dit « rendez-vous sur votre espace client » et que l'URL réelle pointe vers un domaine inconnu, ou vers une adresse IP brute, fermez le message.

4. L'incohérence entre le nom affiché et l'adresse réelle

Le nom dit « ANTAI » ou « impots.gouv ». L'adresse, elle, vient d'un domaine qui n'a rien à voir. On l'a tous vu passer, ce faux mail ANTAI annonçant un avis de contravention à régler dans les 48 heures. Le réflexe correct n'est pas de cliquer pour « vérifier ». C'est de se connecter au site officiel par vous-même, en tapant l'adresse à la main, et de regarder si l'avis existe vraiment.

Spoiler : il n'existe pas.

Comment vérifier concrètement un email suspect

Savoir quoi regarder, c'est bien. Savoir où regarder, c'est mieux. La plupart des gens s'arrêtent à l'aperçu de leur boîte mail et manquent toute l'information utile.

Inspecter les en-têtes : la méthode pas à pas

Chaque message transporte une série de lignes invisibles appelées en-têtes. Dans Gmail, c'est l'icône en forme de trois points, puis « Afficher l'original ». Dans Outlook, « Propriétés », puis « En-têtes internet ». Vous y trouvez trois champs : SPF, DKIM et DMARC.

• SPF : confirme que le serveur d'envoi est autorisé par le domaine.
• DKIM : une signature cryptographique qui garantit l'intégrité du message.
• DMARC : la politique que le domaine impose face à un message non authentifié. Un résultat fail ici signifie que l'expéditeur n'a pas su se prouver, alors qu'il prétend venir de ce domaine.

Franchement, ces trois-là suffisent à trancher la majorité des cas. Un dmarc=fail associé à un nom de marque connu : vous avez votre verdict.

Vérifier une adresse mail frauduleuse

Il n'existe pas de base publique officielle où l'on tape une adresse et où l'on obtient une réponse binaire. Mais il existe des méthodes qui s'en approchent. On regarde d'abord l'ancienneté du domaine : un domaine enregistré il y a trois semaines et qui prétend être le service client d'une entreprise installée depuis vingt ans, c'est rarement bon signe. On vérifie ensuite si le domaine correspond exactement à celui utilisé d'habitude par l'organisme — un détail près, et tout bascule.

Pour une liste d'adresses frauduleuses, les sites de signalement communautaire existent, mais leur intérêt est limité : les fraudeurs changent de domaine bien plus vite que les listes ne se mettent à jour. Mieux vaut apprendre les quatre réflexes ci-dessus que de dépendre d'un annuaire toujours en retard.

Spear phishing et faux fournisseur : quand l'email est vraiment bien fait

Le message grossier qui promet un colis bloqué, tout le monde le repère. Le problème, c'est l'autre catégorie. Celle qui vous connaît.

Il y a quelques mois, un confrère a reçu un message d'un fournisseur habituel. Bon logo, bon ton, historique cohérent. Sauf que la facture jointe portait un nouveau numéro de compte en banque. Rien de spectaculaire. Juste un IBAN différent. C'est exactement ce qu'on appelle la fraude au président ou l'arnaque au faux fournisseur, et c'est la version la plus rentable du phishing.

Ici, aucun des quatre signes classiques n'aide forcément. L'email part d'un domaine réel, l'adresse de réponse est cohérente, le lien — s'il y en a un — pointe sur un site légitime. La seule défense, c'est une règle interne : tout changement de coordonnées bancaires se confirme par un appel téléphonique au numéro connu, jamais par retour de mail. Un vrai virement vers un faux IBAN, c'est de l'argent qui disparaît en quelques heures.

Type d'attaque	Cible	Signal principal	Défense adaptée
Phishing de masse	Un large public	Domaine usurpé, lien masqué	Les 4 vérifications de base
Spear phishing	Une personne précise	Contexte trop bien rodé, demande inhabituelle	Vérifier par un autre canal
Fraude au faux fournisseur	Comptabilité, direction	Nouvel IBAN, facture urgente	Confirmation téléphonique obligatoire
Faux ANTAI / impôts	Tout le monde	Menace de sanction immédiate	Se connecter par le site officiel

Que faire en cas de phishing email ?

Vous avez cliqué. Ou vous n'avez pas cliqué mais vous avez transmis quelque chose. Voici l'ordre des gestes, du plus urgent au moins urgent.

1. Changez immédiatement le mot de passe du compte concerné, et partout où vous l'avez réutilisé.
2. Activez la double authentification sur les services sensibles : messagerie, banque, espaces administratifs.
3. Contactez votre banque si des coordonnées de carte ont pu être saisies — le plus tôt possible, certaines opérations peuvent encore être annulées.
4. Signalez l'email depuis votre messagerie, puis transférez-le à un service de signalement d'État.
5. Prévenez votre service informatique si vous êtes en entreprise. Un poste compromis peut infecter tout un réseau.
6. Ne supprimez pas le message tout de suite. Gardez-le comme pièce, on peut vous demander de le transmettre.

Signaler un phishing : pourquoi ça compte

Beaucoup considèrent le signalement comme un geste symbolique. C'est faux, et j'ai changé d'avis sur ce point après avoir discuté avec des personnes qui filtrent ces messages au quotidien. Un message signalé est analysé, puis ajouté à des filtres partagés. Un message supprimé en silence, lui, disparaît sans laisser de trace et repartira vers quelqu'un d'autre.

Le signalement n'a pas besoin d'être parfait. Il n'a pas besoin d'être sûr. Un doute, un clic sur « signaler », et c'est suffisant.

Un exemple concret, ligne par ligne

Plutôt qu'une description abstraite, déroulons un cas typique de faux avis de contravention, un grand classique du genre.

Le message annonce une infraction routière, un montant à payer sous 48 heures, et un lien vers un portail de paiement. Le logo officiel est là. L'adresse d'expédition, elle, est un sous-domaine construit pour ressembler au domaine réel. Le lien du bouton « Payer maintenant » affiche le nom du portail officiel mais pointe vers une adresse sans rapport. Et si l'on descend dans les en-têtes, la fameuse ligne dmarc indique fail.

Trois signaux. Un seul suffit. Le premier, vraiment : ce mail ne vient pas du tout du bon domaine.

La règle à graver : aucune administration n'exige un paiement immédiat par lien dans un email. Jamais.

Ce qui a changé ces dernières années

Il faut le dire clairement, parce que beaucoup de conseils qu'on lit encore sont datés. La qualité typographique n'est plus un indicateur. Pendant des années, « il y a des fautes » était le critère numéro un. Aujourd'hui, il faut l'oublier. Les textes générés automatiquement sortent propres, dans un français impeccable, adaptés au public visé.

Ce qui reste fiable, et qui le restera, c'est tout ce qui ne se génère pas : le domaine, la signature cryptographique du message, les en-têtes, la cohérence avec une relation commerciale réelle. On peut écrire un email parfait en quelques secondes. On ne peut pas falsifier le domaine d'envoi aussi facilement.

La règle de fond que je me répète : ne faites jamais confiance au contenu. Faites confiance à la structure.

Et quand la structure est propre jusque dans ses en-têtes, alors vous n'êtes probablement plus face à un problème de détection. Vous êtes face à un tout autre sujet. Celui-là est plus difficile, et personne n'a envie d'y penser un lundi matin.