Reconnaître un mail de phishing : quels signes voir ?

Pour reconnaître un mail de phishing ou un SMS suspect, regardez ce qu’il vous demande de faire, puis vérifiez cette demande en ouvrant vous-même le service concerné. Une urgence, un logo familier ou votre nom ne prouvent pas que l’expéditeur est légitime. Ne transmettez aucun secret pendant cette vérification.

Pourquoi un message peut-il sembler si crédible ?

L’hameçonnage (phishing) consiste à se faire passer pour un interlocuteur de confiance pour vous amener à livrer des informations ou à réaliser une action. Le message peut imiter une banque, un service public, un transporteur, un collègue ou un proche. Son objectif peut être de récupérer votre mot de passe, vos données bancaires ou une validation de connexion.

Le piège ne repose pas toujours sur une grossière erreur de français. Un fraudeur peut copier une présentation, reprendre un ancien échange ou disposer de renseignements vous concernant. La bonne question devient donc : « Cette demande est-elle confirmée dans le canal que j’utilise habituellement ? » Notre définition de l’hameçonnage permet de reconnaître le mécanisme derrière les différentes histoires proposées.

Vous trouverez ci-dessous des signaux à examiner ensemble. Ils ne constituent pas un test automatique : un vrai message peut être maladroit, tandis qu’un faux peut sembler impeccable. Dès qu’une demande paraît sensible ou inhabituelle, interrompre l’action pour vérifier est une réponse raisonnable.

L’urgence vous empêche-t-elle de réfléchir ?

Un compte prétendument bloqué, un colis qui repartirait ou une facture présentée comme impayée : le message cherche parfois à rendre toute attente coûteuse. Vous êtes invité à agir immédiatement, sans consulter votre espace personnel ni demander un avis. Cette pression mérite votre attention, même si vous attendez effectivement un colis ou une réponse administrative.

Dans un exemple fictif, une personne reçoit un SMS annonçant une livraison impossible alors qu’elle attend une commande. La coïncidence rend le récit plausible. Elle n’a pourtant pas besoin du lien reçu : elle peut ouvrir le suivi depuis le site marchand qu’elle connaît déjà. Si aucune anomalie n’y apparaît, elle poursuit sa vérification auprès du transporteur par un canal indépendant.

Un délai annoncé dans un message ne vous oblige pas à suivre son lien. Préservez le message le temps de vérifier, mais laissez la pression retomber avant de saisir une donnée ou de confirmer un paiement.

La demande concerne-t-elle un secret ?

Un mot de passe, un code temporaire ou un code de secours peut servir à ouvrir votre compte. Une demande de transmission de ces éléments doit vous alerter, même si l’interlocuteur affirme vouloir annuler une opération frauduleuse. Un secret de connexion n’est pas un justificatif à communiquer à une personne.

Un fraudeur peut commencer par une conversation rassurante, puis réclamer seulement « le code qui vient d’arriver ». Ce code peut justement correspondre à une connexion qu’il vient de lancer. Lisez le message qui accompagne le code et n’autorisez rien que vous n’avez pas vous-même demandé.

Le code de vérification peut sembler anodin parce qu’il change rapidement. Sa courte durée de validité ne le rend pas partageable. S’il arrive sans action de votre part, ouvrez directement le service pour examiner la sécurité du compte plutôt que de répondre au message.

L’expéditeur affiché est-il une preuve suffisante ?

Le nom qui apparaît au-dessus d’un courriel n’est pas une garantie d’identité. Il peut être choisi pour inspirer confiance et masquer une adresse différente. Un message peut aussi provenir du compte réellement piraté d’un contact : reconnaître son adresse ne suffit alors pas à rendre la demande normale.

Examinez l’adresse complète lorsque votre messagerie permet de l’afficher. Soyez attentif aux différences avec les échanges habituels, sans transformer cet examen en unique critère. Pour une demande inhabituelle d’un proche, appelez-le sur son numéro déjà enregistré. Pour une entreprise, utilisez des coordonnées trouvées ailleurs que dans le message.

Un SMS peut s’afficher sous un nom d’organisme ou se retrouver près de messages authentiques. Cette présentation facilite la lecture, mais ne doit pas décider à votre place. Vérifiez ce qui est demandé, surtout si le SMS réclame soudain une saisie de carte bancaire ou une reconnexion.

Le lien conduit-il vraiment au service attendu ?

Un lien peut afficher un texte rassurant et ouvrir une autre destination. Une adresse peut aussi reprendre le nom d’un organisme dans une partie secondaire pour donner une impression familière. Lire le nom de la marque quelque part ne suffit pas à reconnaître le site qui contrôle réellement la page.

Le nom de domaine est la partie de l’adresse qui permet d’identifier un site. Si vous n’êtes pas à l’aise avec sa lecture, vous n’avez pas besoin de résoudre l’énigme : revenez à votre application ou à une adresse connue. Le symbole de connexion sécurisée indique une protection des échanges ; il ne certifie pas l’honnêteté de la personne qui exploite le site.

Notre fiche contrôler un lien suspect sans ouvrir sa destination explique les précautions utiles. Sur téléphone, évitez les manipulations hasardeuses qui risquent d’ouvrir le lien en voulant seulement le consulter. Une vérification indépendante reste possible sans toucher ce lien.

Vous demande-t-on de payer pour recevoir quelque chose ?

Un remboursement qui exige une carte bancaire, un cadeau soumis à des frais inattendus ou une livraison à débloquer peuvent servir de prétexte. Le montant présenté comme modeste ne change pas la nature des données demandées. L’enjeu peut être l’accès à votre carte ou à votre compte, pas seulement le paiement annoncé.

Vérifiez l’opération dans votre espace personnel. Une véritable démarche peut demander des informations, mais elle doit pouvoir être retrouvée et expliquée par le service que vous contactez indépendamment. Ne confondez pas l’existence d’une facture avec l’authenticité du message qui prétend vous la faire régler.

La même prudence vaut pour un changement de coordonnées bancaires reçu par courriel. Avant de modifier un bénéficiaire ou de faire un virement, confirmez la demande avec votre interlocuteur habituel, par un canal connu. Une conversation déjà commencée peut elle aussi avoir été détournée.

La pièce jointe ou l’installation est-elle attendue ?

Une fausse facture, un document administratif ou un prétendu outil de sécurité peut vous inciter à ouvrir un fichier ou installer une application. Demandez-vous si vous attendiez ce document, si son expéditeur est confirmé et si la manipulation demandée correspond à votre démarche réelle.

Un fichier ne devient pas sûr parce que son icône ressemble à celle d’un document. Si l’ouverture exige soudain d’activer des fonctions inhabituelles ou d’installer un outil, arrêtez-vous. Pour un document professionnel, transmettez le doute à votre assistance selon les règles internes, sans diffuser la pièce jointe à vos collègues.

Un interlocuteur qui vous fait installer un logiciel pour prendre le contrôle de l’écran peut obtenir beaucoup plus que ce que vous pensiez partager. Ne poursuivez pas une telle installation à la demande d’une personne qui vient de vous contacter en prétendant résoudre une urgence.

Le contexte correspond-il à votre situation ?

Un achat que vous n’avez pas fait, une administration avec laquelle vous n’avez aucune démarche ou une salutation inhabituelle sont des indices utiles. Ils invitent à vérifier, mais l’inverse ne prouve rien : une demande peut tomber juste par hasard ou grâce à des informations déjà divulguées.

Des détails exacts peuvent même renforcer le piège. Connaître votre adresse, votre employeur ou le nom d’un service que vous utilisez ne prouve pas que l’expéditeur travaille pour cet organisme. Ne complétez pas spontanément les informations qu’il possède en lui donnant les éléments qui lui manquent.

Vous interdit-on de vérifier par vous-même ?

Un interlocuteur qui vous demande de garder le secret, de rester en ligne ou de ne pas appeler votre banque cherche parfois à isoler votre décision. Cette consigne est particulièrement préoccupante lorsqu’elle accompagne une demande d’argent ou de code. Vous avez le droit d’interrompre l’échange.

Raccrochez, puis contactez vous-même le service avec ses coordonnées habituelles. Ne rappelez pas simplement le numéro qui vient de s’afficher. Si vous êtes au travail, suivez le circuit interne prévu pour les demandes financières ou les incidents de sécurité.

Que faire selon ce que vous avez déjà fait ?

La réponse dépend de ce que vous avez transmis. Avoir lu un message n’équivaut pas à avoir donné un mot de passe. Reconstituez les actions sans vous juger : lien ouvert, fichier téléchargé, données saisies, application installée, validation acceptée. Cette liste permet de demander une aide adaptée.

Votre situation	Geste prioritaire	Ce qu’il faut conserver
Message reçu sans interaction	Vérifier puis signaler si nécessaire	Message et identité affichée
Page ouverte sans saisie	Fermer la page et vérifier les éventuels téléchargements	Adresse de la page si accessible sans la rouvrir
Mot de passe transmis	Le remplacer depuis le vrai service et examiner les connexions	Message initial et alerte éventuelle
Données de paiement communiquées	Contacter immédiatement votre banque par son canal habituel	Opération, échange et justificatifs
Outil installé ou accès à distance accordé	Arrêter l’échange et demander une assistance adaptée	Nom de l’outil et actions réalisées

Si vous avez réutilisé le mot de passe exposé ailleurs, remplacez-le également sur ces comptes. Examinez les moyens de récupération et les appareils connectés. La leçon comprendre le second facteur explique ensuite comment renforcer les connexions, sans oublier que cette protection ne justifie jamais de transmettre un code.

Où signaler sans poursuivre l’échange ?

Selon le site officiel du service 33700, consulté le 27 octobre 2026, le 33700 permet de signaler les SMS et appels indésirables en France. Suivez les indications de la plateforme pour le type de communication reçu. Ce signalement ne remplace pas un contact avec votre banque si des informations de paiement ont été exposées.

Pour vous orienter après une tentative ou une fraude, consultez la fiche officielle sur l’hameçonnage de Cybermalveillance.gouv.fr. En dehors de France, utilisez les dispositifs de votre pays et les coordonnées officielles de l’organisme concerné. Conservez les preuves avant de supprimer le message ou de bloquer l’expéditeur.