Reconnaître un e-mail ou un site de phishing (hameçonnage)
Un e-mail de votre banque qui demande de « confirmer vos informations », un SMS annonçant un colis bloqué pour 1,99 €, une page de connexion Microsoft qui ressemble trait pour trait à l'originale : le phishing (ou hameçonnage) consiste à se faire passer pour un organisme légitime afin de vous faire saisir vos identifiants, vos coordonnées bancaires ou installer un logiciel malveillant. C'est, de très loin, la première menace pour le grand public.
La bonne nouvelle : le phishing repose presque toujours sur les mêmes ficelles, et une fois qu'on sait où regarder, la plupart des tentatives se démasquent en quelques secondes. Voici les vérifications qui fonctionnent, celles qui ne fonctionnent plus, et la marche à suivre si vous avez déjà cliqué.
Le mécanisme : urgence + imitation
Tous les messages de phishing combinent deux ingrédients : une imitation crédible (logos, mise en page, ton officiel) et un motif d'urgence qui pousse à agir sans réfléchir — compte suspendu, colis en attente, remboursement à réclamer, amende à régler, tentative de connexion suspecte. L'objectif est de vous faire cliquer avant que votre esprit critique ne se réveille.
Retenez le principe de base : un organisme légitime ne vous demandera jamais de saisir votre mot de passe, votre code de carte ou vos codes reçus par SMS via un lien envoyé par e-mail ou SMS. En cas de doute, n'utilisez jamais le lien du message : ouvrez vous-même le site officiel en tapant son adresse ou via votre application habituelle, et vérifiez-y directement l'information.
Examiner l’expéditeur et le message
Commencez par l'adresse d'expédition réelle, pas le nom affiché : « Crédit Agricole » peut cacher service-client@notif-83.xyz. Sur mobile, appuyez sur le nom de l'expéditeur pour révéler l'adresse complète. Attention toutefois : une adresse d'apparence correcte ne suffit pas à innocenter un message, car l'expéditeur peut être usurpé lorsque le domaine de l'organisme est mal protégé (c'est précisément ce que SPF et DMARC empêchent).
Les fautes d'orthographe grossières se raréfient — l'IA générative rédige désormais des messages impeccables — mais d'autres indices subsistent : une formule générique (« Cher client ») là où l'organisme vous appelle par votre nom, une demande inhabituelle, une pièce jointe inattendue (surtout .zip ou .html), ou un ton pressant qui menace de conséquences immédiates.
Lire une adresse web comme un pro
Avant de cliquer, survolez le lien (ordinateur) ou laissez le doigt appuyé dessus (mobile) pour afficher l'URL réelle. La seule chose qui compte est le domaine principal : le dernier bloc avant le premier « / », lu de droite à gauche. Dans https://impots.gouv.fr.verification-compte.net/login, le vrai domaine n'est pas impots.gouv.fr mais verification-compte.net — tout ce qui précède n'est qu'un sous-domaine décoratif que l'escroc choisit librement.
Méfiez-vous aussi des domaines proches de l'original à une lettre près (paypa1.com, arnazon.fr), des extensions inhabituelles pour la marque, et des raccourcisseurs de liens (bit.ly…) qui masquent la destination. Le cadenas HTTPS, lui, ne prouve rien : la majorité des sites de phishing en ont un. Un cadenas signifie « connexion chiffrée », pas « site honnête ».
Vous avez cliqué ou saisi vos identifiants ? Les bons réflexes
Cliquer sur un lien sans rien saisir est rarement grave en soi : fermez la page et supprimez le message. En revanche, si vous avez saisi un mot de passe, changez-le immédiatement sur le vrai site, ainsi que sur tous les comptes où vous utilisiez le même — c'est exactement pour ce scénario qu'un mot de passe doit être unique par site. Activez la double authentification dans la foulée : elle rendra les identifiants volés inutilisables.
Si vous avez saisi des coordonnées bancaires, faites opposition sans attendre et surveillez vos relevés. Signalez ensuite le message : transférez les SMS frauduleux au 33700, signalez les e-mails sur signal-spam.fr ou phishing-initiative.fr, et conservez une copie si vous déposez plainte. Ces signalements alimentent le blocage des sites frauduleux et protègent les prochaines cibles.
Et si vous avez un site : ne devenez pas l’usurpé
Le phishing a deux victimes : la personne piégée, et l'organisme imité dont la réputation est utilisée. Si vous possédez un domaine, des enregistrements SPF et DMARC correctement configurés empêchent qu'on envoie des e-mails frauduleux « de votre part » — sans eux, n'importe qui peut expédier un message affichant votre adresse comme expéditeur.
Un audit CheckCyber vérifie en quelques secondes si votre domaine est protégé contre cette usurpation, parmi les autres points de contrôle. C'est l'un des correctifs au meilleur rapport effort/bénéfice : quelques lignes de DNS suffisent.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Quelle est la différence entre phishing, smishing et vishing ?
C'est le même principe — se faire passer pour un tiers de confiance afin de voler des informations — décliné selon le canal : e-mail pour le phishing, SMS pour le smishing (colis bloqué, vignette Crit'Air, compte CPF…), appel téléphonique pour le vishing (souvent un faux conseiller bancaire qui vous presse de « sécuriser » vos comptes). Les réflexes de vérification sont identiques.
▸J’ai cliqué sur un lien de phishing mais je n’ai rien saisi, est-ce grave ?
Dans la grande majorité des cas, non : un simple clic sur un navigateur à jour n'installe rien. Fermez la page, supprimez le message et, par précaution, mettez à jour votre navigateur. La situation change si vous avez saisi des identifiants, téléchargé un fichier ou autorisé une notification : là, agissez (changement de mot de passe, analyse antivirus, opposition).
▸Comment vérifier qu’une adresse web est la vraie ?
Identifiez le domaine principal : le bloc juste avant le premier « / » de l'adresse, lu depuis la droite (par exemple secure.paypal.com.login-verify.net appartient à login-verify.net, pas à PayPal). En cas de doute, ne cliquez pas : tapez vous-même l'adresse officielle ou passez par l'application de l'organisme.
▸Où signaler un phishing en France ?
Transférez les SMS frauduleux au 33700 (service gratuit). Pour les e-mails, utilisez signal-spam.fr ou phishing-initiative.fr, qui font bloquer les pages frauduleuses dans les navigateurs. Les sites d'arnaque se signalent sur internet-signalement.gouv.fr, et cybermalveillance.gouv.fr vous guide pas à pas si vous êtes victime.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-07-17 ]