Sur le forum, il y avait un fil dédié rien qu’à ça : les gens venaient coller la capture d’un mail douteux en demandant « vous en pensez quoi ? ». Avec le temps, les mêmes signaux revenaient, encore et encore, quel que soit l’expéditeur imité : banque, opérateur téléphonique, service de livraison. Le hameçonnage, ou phishing, suit toujours les mêmes recettes, une fois qu’on sait où regarder.
Le nom de domaine, premier réflexe à vérifier
Avant même de lire le contenu du mail, il faut regarder l’adresse de l’expéditeur, pas seulement le nom affiché. Un message qui semble venir de « Service Client Banque » peut très bien être envoyé depuis une adresse sans rapport avec la banque en question, avec un nom de domaine légèrement modifié : une lettre en plus, un tiret ajouté, une extension inhabituelle. C’est un détail facile à zapper quand on lit vite sur un téléphone, et c’est justement pour ça que les fraudeurs comptent dessus.
L’urgence, un signal presque systématique
Un compte qui va être « suspendu sous 24 heures », un colis « bloqué en douane » qui nécessite un paiement immédiat, une facture impayée avec menace de coupure : cette urgence artificielle est l’un des ressorts les plus utilisés du hameçonnage. L’objectif est simple, pousser à agir vite, sans laisser le temps de réfléchir ou de vérifier auprès de l’organisme concerné par un autre canal.
Les autres signaux qui ne trompent pas
- Une pièce jointe inattendue, surtout au format compressé ou exécutable, envoyée par un expéditeur qui n’a jamais communiqué de cette façon.
- Un lien dont l’adresse, une fois survolée sans cliquer, ne correspond pas du tout au site annoncé dans le texte.
- Des fautes d’orthographe ou une mise en page légèrement différente de celle des communications habituelles de l’organisme.
- Une demande de données bancaires ou de mot de passe par mail, alors qu’aucune banque ni administration sérieuse ne procède ainsi.
Aucun de ces signaux, pris isolément, ne suffit toujours à confirmer une arnaque. C’est leur accumulation qui doit alerter : une urgence, plus un lien suspect, plus une pièce jointe inattendue, c’est rarement une coïncidence.
Que faire une fois le doute confirmé
La bonne pratique reste de ne jamais cliquer sur les liens du mail suspect, et de se rendre directement sur le site officiel de l’organisme concerné en tapant l’adresse soi-même, ou en passant par une recherche classique. Le site cybermalveillance.gouv.fr propose un diagnostic gratuit pour les victimes d’une arnaque en ligne et des conseils pour réagir étape par étape. Pour signaler le mail lui-même, le service Signal Spam, soutenu par les pouvoirs publics et les grands fournisseurs de messagerie, permet de transmettre le message frauduleux pour qu’il soit bloqué plus vite pour les autres utilisateurs.
Ce réflexe de vérification vaut la peine d’être partagé autour de soi, en particulier avec les proches les moins à l’aise avec le numérique. Il rejoint d’ailleurs une logique plus large de vigilance sur les dépenses et les engagements pris en ligne, un peu comme lorsqu’on vérifie ses droits avant de valider un achat à distance : dans les deux cas, quelques secondes de contrôle évitent des complications bien plus longues à démêler ensuite.
Le faux message qui imite un proche
Une variante plus récente mérite d’être connue, même si elle passe le plus souvent par SMS plutôt que par mail : le message qui se fait passer pour un enfant ou un proche ayant changé de numéro, demandant un virement urgent pour une raison plausible. Le ressort est exactement le même que pour un mail d’entreprise usurpée : l’urgence artificielle et l’appel à l’émotion plutôt qu’à la réflexion. Le seul réflexe fiable reste d’appeler la personne au numéro habituel, jamais à celui indiqué dans le message suspect, avant d’envisager quoi que ce soit.
Ce qu’il ne faut surtout pas faire
- Répondre au mail pour « prévenir » l’expéditeur qu’on a compris l’arnaque : cela confirme seulement que l’adresse est active et surveillée.
- Cliquer sur un lien de désabonnement présent dans un mail dont on n’est pas certain de la légitimité.
- Transmettre le mail à des proches sans avertissement, au risque de propager la pièce jointe ou le lien piégé plus loin.
La meilleure protection reste, avec le temps, l’habitude : plus on prend deux secondes pour observer l’adresse d’expéditeur et la cohérence du message, plus les tentatives grossières deviennent évidentes du premier coup d’œil. Les fraudeurs le savent bien, c’est justement pour cela qu’ils renouvellent constamment leurs scénarios plutôt que de miser sur un seul modèle de mail.
