Repérer un e-mail de phishing : 12 signaux d'alerte

Un e-mail de phishing (ou hameçonnage) est un message qui prétend venir d'une personne de confiance afin que vous cliquiez sur un lien, ouvriez un fichier, communiquiez un mot de passe ou envoyiez de l'argent. Vous pouvez en repérer la plupart en vérifiant qui a réellement envoyé le message, vers où ses liens pointent vraiment et s'il vous pousse à agir vite à propos de quelque chose que vous n'attendiez pas.

Le phishing emprunte la confiance : le logo d'une banque, le nom d'un collègue, le ton d'une société de livraison de colis. Les réflexes ci-dessous ne prennent que quelques secondes et fonctionnent dans n'importe quelle application de messagerie.

Les 12 signaux d'alerte d'un e-mail de phishing

1. Le nom d'affichage et l'adresse ne correspondent pas. « PayPal Support » peut être associé à n'importe quelle adresse. Touchez ou survolez le nom pour afficher l'adresse complète. Une marque qui écrit depuis un compte de messagerie gratuit ou depuis un domaine sans rapport est un signal d'alerte fort.
2. Un domaine qui imite ou qui se déguise. Les attaquants enregistrent des domaines qui diffèrent d'un seul caractère (rnicrosoft.com avec « r n » à la place du « m »), ajoutent des mots (paypal-secure-login.com) ou utilisent le vrai nom comme sous-domaine (paypal.com.account-check.net, qui appartient à account-check.net). Les noms de domaine internationalisés autorisent des lettres d'autres alphabets qui ressemblent à s'y méprendre aux lettres latines, comme un « а » cyrillique à la place du « a ». Leur forme sous-jacente commence par xn-- (punycode) ; si vous voyez ce préfixe dans un lien ou une adresse que vous n'attendiez pas, considérez-le comme suspect.
3. Urgence, peur ou pression. « Votre compte sera fermé dans 24 heures », « facture impayée », « poursuites judiciaires ». Les délais artificiels servent à vous empêcher de vérifier.
4. Des liens dont le texte et la destination diffèrent. Le texte visible d'un lien peut afficher n'importe quoi. La vraie cible apparaît quand vous survolez le lien avec la souris, dans la barre d'état ou dans une info-bulle. Si le texte annonce un site et que la cible en est un autre, ne cliquez pas.
5. Des pièces jointes inattendues. Méfiez-vous de tout fichier que vous n'attendiez pas, et en particulier des fichiers HTML (ils peuvent ouvrir une fausse page de connexion convaincante stockée sur votre propre ordinateur), des archives ZIP ou autres, des images disque ISO et IMG, des archives protégées par mot de passe dont le mot de passe figure dans le corps de l'e-mail, et des documents Office qui vous demandent d'« activer le contenu » ou les macros. Les archives et les images disque sont prisées parce qu'elles peuvent masquer le vrai type de fichier aux filtres de messagerie.
6. Une demande d'identifiants ou de données personnelles. Les entreprises légitimes ne vous demandent pas de confirmer votre mot de passe, votre code PIN, votre numéro de carte complet ou un code à usage unique par e-mail ou via un lien dans un e-mail.
7. Un code QR à scanner. Le phishing par code QR (« quishing ») place le lien dans une image, de sorte que les filtres ne peuvent pas le lire, et vous l'ouvrez sur votre téléphone, souvent moins protégé qu'un ordinateur professionnel. Méfiez-vous des codes QR dans les e-mails qui parlent de configuration de l'authentification multifacteur, de signature de document ou de problème de compte.
8. Une adresse Reply-To différente. La ligne From peut sembler correcte alors que les réponses partent ailleurs. Quand vous cliquez sur répondre, vérifiez l'adresse qui apparaît dans le champ À. Une divergence est fréquente dans les fraudes à la facture.
9. Une formule d'appel générique ou des informations erronées. « Cher client », « Cher utilisateur » ou votre adresse e-mail utilisée comme nom laissent penser à une campagne de masse. Un nom correct ne prouve rien, cependant.
10. Une offre trop belle pour être vraie. Remboursements inattendus, lots, héritage, gains en cryptomonnaies ou emploi auquel vous n'avez jamais postulé sont des appâts. Il en va de même d'un petit montant à payer pour débloquer une somme importante.
11. Un changement de coordonnées de paiement ou bancaires. Dans la compromission de messagerie professionnelle, un fournisseur, un collègue ou un dirigeant « met à jour » son compte bancaire ou demande un virement urgent ou des cartes-cadeaux. L'e-mail peut provenir d'un compte réellement piraté et passer ainsi tous les contrôles techniques.
12. Des demandes ou des codes d'authentification multifacteur que vous n'avez pas sollicités. Une rafale de demandes d'approbation sur votre téléphone, ou un e-mail qui vous demande de lire un code à voix haute, signifie que quelqu'un a peut-être déjà votre mot de passe et tente de franchir le second facteur. Refusez la demande et changez votre mot de passe.

Aide-mémoire : où regarder

Comment vérifier un lien sans l'ouvrir

1. Sur ordinateur, survolez le lien et attendez que la vraie adresse apparaisse en bas de la fenêtre ou dans une info-bulle.
2. Sur téléphone, appuyez longuement sur le lien pour voir l'adresse. Certains téléphones affichent un aperçu en direct de la page ; il est donc plus sûr de copier le lien et de le coller dans une application de notes.
3. Repérez le domaine enregistré : lisez le nom d'hôte en partant de la droite, jusqu'à la première barre oblique isolée. Dans https://login.example.com.secure-verify.io/account, le domaine est secure-verify.io, et non example.com.
4. Si vous devez vous rendre sur le service, saisissez vous-même son adresse, ou utilisez un favori ou l'application officielle plutôt que le lien.

Notre analyseur d'e-mails de phishing examine un texte ou des en-têtes collés à la recherche de liens trompeurs, d'expéditeurs usurpés et d'autres signaux d'alerte, sans que vous ayez rien à ouvrir.

Comment lire les en-têtes d'un e-mail en toute sécurité

Chaque e-mail contient des en-têtes cachés qui indiquent quels serveurs l'ont traité et s'il a réussi l'authentification. Les consulter est sans danger, car vous ne faites que lire du texte. Où les trouver :

• Gmail : ouvrez le message, choisissez le menu à trois points, puis Afficher l'original.
• Outlook sur le web et nouvel Outlook : ouvrez le message, choisissez le menu à trois points, puis Afficher et Afficher les détails du message.
• Outlook classique pour Windows : ouvrez le message, puis Fichier, Propriétés, et regardez dans En-têtes Internet.
• Apple Mail : Présentation, Message, Tous les en-têtes ou Source brute.

La ligne la plus utile est généralement Authentication-Results, ajoutée par votre propre fournisseur de messagerie :

Authentication-Results: mx.example.net;
  spf=pass smtp.mailfrom=bounce.example-shop.com;
  dkim=pass header.d=example-shop.com;
  dmarc=pass header.from=example-shop.com

Vérifiez que les domaines indiqués ici correspondent à la marque que vous attendez. Comparez aussi les adresses From, Reply-To et Return-Path, et lisez les lignes Received de bas en haut pour voir d'où le message est parti. Si vous collez les en-têtes dans notre analyseur d'en-têtes d'e-mail, il présente chaque étape et chaque résultat d'authentification sous une forme lisible.

Ce que SPF, DKIM et DMARC peuvent et ne peuvent pas vous dire

Ces trois standards permettent à un serveur destinataire de vérifier si un message vient réellement du domaine qu'il affiche :

• SPF liste les serveurs autorisés à envoyer du courrier pour un domaine ; la vérification porte sur l'expéditeur de l'enveloppe (le Return-Path).
• DKIM ajoute une signature cryptographique qui prouve qu'un domaine a pris la responsabilité du message et que les parties signées n'ont pas été modifiées.
• DMARC exige que SPF ou DKIM réussisse pour un domaine aligné sur l'adresse From visible, et indique aux destinataires quoi faire dans le cas contraire : rien, mettre en quarantaine ou rejeter.

Quand une marque publie une politique DMARC stricte, les criminels ne peuvent pas facilement placer ce domaine exact dans la ligne From. C'est pourquoi le phishing recourt si souvent à des domaines qui imitent le vrai, à des astuces sur le nom d'affichage ou à des comptes piratés. Un message de paypa1-billing.com peut réussir SPF, DKIM et DMARC à la perfection pour son propre domaine. Une réussite prouve qui a envoyé l'e-mail, pas que l'expéditeur est honnête. En revanche, un échec sur un message qui prétend venir d'une grande marque est une bonne raison de se méfier.

Si vous gérez un domaine, vérifiez que vos propres enregistrements sont en place avec notre vérificateur SPF et DMARC, et lisez SPF, DKIM et DMARC expliqués pour les détails de la mise en place.

Que faire d'un e-mail suspect

1. Ne cliquez sur aucun lien, n'ouvrez aucune pièce jointe, ne scannez aucun code QR et ne répondez pas.
2. Vérifiez par un canal distinct : appelez la personne à un numéro que vous possédez déjà, ou connectez-vous au service en saisissant vous-même son adresse.
3. Signalez-le. Au travail, utilisez le bouton « Signaler un hameçonnage » ou transférez-le comme le demande votre service informatique. Dans Gmail et Outlook, utilisez l'option intégrée Signaler l'hameçonnage (« Signaler comme hameçonnage » dans Gmail). Au Royaume-Uni, vous pouvez transférer les e-mails suspects au NCSC (le centre national de cybersécurité britannique) à l'adresse report@phishing.gov.uk ; aux États-Unis, vous pouvez signaler une fraude à la FTC (l'autorité fédérale de protection des consommateurs) sur reportfraud.ftc.gov.

Que faire si vous avez déjà cliqué

Ce qui compte, c'est ce qui s'est passé après le clic. Agissez vite :

1. Si vous avez saisi un mot de passe, changez-le tout de suite sur le vrai site, dont vous saisissez l'adresse à la main, ainsi que sur tout autre compte qui utilise le même mot de passe. Déconnectez-vous ensuite de toutes les autres sessions, ce que la plupart des grands services proposent dans leurs paramètres de sécurité.
2. Activez ou vérifiez l'authentification multifacteur. Supprimez tous les appareils, mots de passe d'application ou enregistrements d'authentificateur que vous ne reconnaissez pas. Les clés d'accès (passkeys) et les clés de sécurité matérielles résistent au phishing, car elles ne fonctionnent que sur le vrai site.
3. Vérifiez les paramètres de votre boîte aux lettres. Les attaquants qui accèdent à un compte de messagerie ajoutent souvent des règles de transfert ou des filtres qui masquent les réponses. Cherchez les règles que vous n'avez pas créées.
4. Si vous avez ouvert une pièce jointe ou exécuté un fichier, déconnectez l'appareil du réseau et contactez votre service informatique, ou lancez une analyse complète avec un logiciel de sécurité à jour s'il s'agit d'un appareil personnel.
5. Si vous avez envoyé de l'argent ou vos coordonnées de carte, appelez immédiatement votre banque ou l'émetteur de votre carte au numéro figurant sur la carte ou sur son site officiel. La rapidité augmente les chances d'arrêter un paiement.
6. Prévenez les personnes qui pourraient être visées ensuite, comme vos collègues ou vos contacts, si votre compte a servi à envoyer des messages.

Questions fréquentes

Peut-on être piraté simplement en ouvrant un e-mail de phishing ?

Pour les utilisateurs ordinaires dont les applications de messagerie sont à jour, ouvrir simplement un e-mail suffit rarement. Le danger vient du fait de cliquer sur des liens, d'ouvrir des pièces jointes, de saisir des informations ou de répondre. Le chargement d'images distantes peut confirmer à l'expéditeur que votre adresse est active.

Quelle est la différence entre le phishing et le spear phishing ?

Le phishing est envoyé à un grand nombre de personnes avec un leurre générique. Le spear phishing (hameçonnage ciblé) vise une personne ou une organisation précise et s'appuie sur de vrais noms, fonctions, projets ou fournisseurs pour paraître crédible, ce qui le rend plus difficile à repérer.

Si un e-mail réussit SPF, DKIM et DMARC, est-il sûr ?

Non. Une réussite montre seulement que le domaine de l'adresse From a autorisé le message. Les criminels peuvent enregistrer leurs propres domaines imitant le vrai avec des enregistrements valides, et les comptes réels piratés réussissent aussi. Jugez toujours le domaine lui-même et ce que le message vous demande de faire.

Comment vérifier si un lien dans un e-mail est sûr ?

Survolez-le ou copiez-le sans l'ouvrir, repérez le domaine enregistré en lisant de droite à gauche, et comparez-le au vrai domaine de l'organisation. En cas de doute, allez directement sur le site plutôt que de passer par le lien.

Pourquoi les e-mails de phishing utilisent-ils des codes QR ?

Un code QR cache le lien dans une image que beaucoup de filtres ne décodent pas, et il vous fait passer sur votre téléphone, qui peut manquer des protections d'un ordinateur professionnel géré et rend l'adresse complète plus difficile à inspecter.