Reconnaître et éviter les tentatives de phishing : le guide essentiel

La semaine dernière, un lecteur m'a transféré un message de sa banque. Objet : « Votre compte sera suspendu sous 24 h. » Logo impeccable, charte graphique respectée, signature du conseiller. Il m'a demandé : « C'est vrai, ça ? » Non. Et pourtant, il a fallu que je regarde l'adresse d'expédition à deux reprises avant de trancher.

C'est tout le problème du phishing (hameçonnage en français) : ces messages ne sont plus les fautes d'orthographe grossières qu'on nous décrivait il y a dix ans. La technique consiste à se faire passer pour une entité légitime — banque, transporteur, employeur, administration — pour vous soutirer identifiants, mots de passe ou coordonnées bancaires. Et en 2026, les copies sont bonnes. Trop bonnes.

J'ai fait l'exercice sur mon propre flux : sur les trente derniers messages frauduleux reçus en trois mois, la moitié aurait piégé quelqu'un de raisonnablement attentif. Voici comment je trie, concrètement.

Comment reconnaître une tentative de phishing sans se tromper

La réponse courte que je donne à chaque fois : ne regardez pas le message, regardez les métadonnées. Le contenu est falsifiable en cinq minutes. L'infrastructure, beaucoup moins.

Le domaine d'expédition, pas le nom affiché

C'est le point que personne ne vérifie, et c'est celui qui élimine 80 % des tentatives. Sur votre téléphone, le nom affiché ne veut rien dire : n'importe qui peut configurer un expéditeur « Service Client Banque X ». Sur ordinateur, cliquez sur le nom et regardez l'adresse complète.

Deux choses comptent alors : ce qui se trouve après l'arobase, et la structure exacte. Un message de votre banque qui arrive depuis banque-x-securite.info ou banquex.verification-client.net est frauduleux. Le sous-domaine est le piège classique : banquex apparaît, mais c'est le domaine final qui décide.

Une erreur que j'ai faite moi-même : j'ai cru qu'un expéditeur en @gmail.com censé venir d'un fournisseur d'énergie était légitime parce que l'adresse « existait ». Une adresse peut exister et être frauduleuse dans la seconde. L'existence ne prouve rien.

Survolez un lien avant de cliquer

Sur ordinateur, laissez la souris au-dessus du lien sans cliquer. L'URL réelle s'affiche en bas du navigateur. Si le texte visible dit moncompte-banque.fr et que la cible réelle pointe ailleurs, vous avez votre réponse.

Sur mobile, où le survol n'existe pas, appuyez longuement sur le lien : un aperçu de l'adresse apparaît généralement. Même logique.

Les détails de forme qui trahissent

• Une formule d'appel vague — « Cher client », sans votre nom complet, alors que votre banque le connaît.
• Un pied de page absent ou différent de l'habitude.
• Des liens dont la couleur ou la typographie diffère légèrement du reste.
• Une pièce jointe inattendue, surtout au format HTML ou archive.

Franchement, aucun de ces signes isolés ne suffit. C'est leur accumulation qui compte.

Quels sont les 4 signes qui permettent d'identifier un email de phishing ?

Quand on me demande une grille rapide, je réponds toujours la même chose. Quatre signes, dans cet ordre d'importance :

1. L'expéditeur incohérent — le domaine final ne correspond pas à l'organisme prétendu.
2. L'urgence artificielle — « Votre compte sera suspendu sous 24 h », « paiement refusé, régularisez immédiatement », « colis bloqué en douane ».
3. La demande d'informations sensibles — identifiants, mot de passe, code de carte, validation d'une opération. Aucune banque ne fait ça par e-mail.
4. Un lien ou une pièce jointe suspecte — l'URL réelle ne correspond pas au texte affiché.

Un seul signe : prudence. Deux : vous fermez le message.

Comment éviter un phishing au quotidien

Se protéger relève moins de la vigilance permanente que de la mise en place d'automatismes.

Trois règles que j'applique sans réfléchir

D'abord : je ne clique jamais sur un lien reçu par e-mail pour accéder à un espace client. Jamais. Je tape l'adresse moi-même, ou j'utilise mon favori. Cette seule habitude neutralise la majorité des attaques, puisque le phishing repose sur le lien.

Ensuite : je ne réponds pas, je ne transfère pas non plus à mes contacts. En revanche, je signale. En France, le dispositif public cybermalveillance.gouv.fr permet de signaler un message frauduleux, et les messageries permettent de marquer « spam » ou « phishing » en un clic. Le signalement nourrit les filtres pour tout le monde.

Enfin : un doute, un appel. Mais un appel que je passe, sur un numéro que je cherche sur le site officiel — jamais sur celui du message.

Le cas des SMS : signaler une tentative par texto

Le smishing suit la même logique par un canal plus brutal, parce qu'un SMS n'affiche presque aucune métadonnée. Vous recevez « Votre colis est en attente, réglez 1,99 € de frais », avec un lien court.

Le réflexe utile : transférez le SMS au 33700, le dispositif français de signalement des spams par SMS. Il fonctionne pour les escroqueries et les messages frauduleux. Et surtout, ne répondez pas, ne cliquez pas : répondre confirme simplement que votre numéro est actif.

Quels sont les signes qu'un téléphone a été piré ?

Question qu'on me pose de plus en plus, et qui n'a rien d'anodin : un lien ouvert sur mobile peut conduire à l'installation d'un logiciel malveillant. Les signaux qui doivent alerter :

• Une batterie qui se vide anormalement vite, sans changement d'usage.
• Une consommation de données inhabituelle, alors que vous n'avez rien modifié à vos habitudes.
• Des applications que vous n'avez pas installées, ou des publicités qui s'affichent hors de toute application.
• Des SMS sortants que vous n'avez pas envoyés dans votre historique.
• Des redémarrages ou ralentissements inexpliqués, répétés.

Aucun de ces signes n'est une preuve formelle à lui seul, mais plusieurs combinés justifient une remise à zéro avec sauvegarde préalable des données que vous contrôlez. Et un changement systématique des mots de passe depuis un autre appareil.

Que faire si vous avez cliqué ou transmis vos informations

Je vais être direct : l'action rapide change presque tout. Le délai moyen entre un virement frauduleux et sa détection par la victime se compte en heures, rarement en jours. Chaque heure gagnée compte.

Situation	Action immédiate
Vous avez saisi vos identifiants bancaires	Appelez votre banque, faites opposition sur les opérations, changez le mot de passe depuis un autre appareil.
Vous avez transmis un mot de passe de messagerie	Changez-le immédiatement et activez la double authentification.
Vous avez seulement cliqué sur le lien	Fermez l'onglet, ne saisissez rien, signalez le message.
Vous avez téléchargé une pièce jointe	Analysez l'appareil, désinstallez tout programme inconnu.

Et vous signalez. En France, un dépôt de plainte ou de main courante peut être nécessaire pour faire valoir vos droits auprès de la banque. Le signalement sur cybermalveillance.gouv.fr documente l'attaque, même si vous n'avez rien perdu.

Le cas particulier du phishing bancaire

C'est la variante la plus dangereuse, parce qu'elle joue sur une peur légitime : perdre l'accès à son argent. Les scénarios reviennent toujours au même schéma — une opération inhabituelle détectée, une carte à réactiver, une mise à jour de sécurité obligatoire.

Le détail qui trompe : ces messages reprennent souvent de vraies informations. Votre banque utilise effectivement un système d'authentification. Le fraudeur le sait, et il l'imite. Mais aucun système légitime ne vous demandera de communiquer un code reçu par SMS. Ce code est précisément là pour empêcher quelqu'un d'autre de l'utiliser.

Autre point qu'on oublie : votre banque ne vous enverra jamais un e-mail vous demandant de valider une opération par un lien. Les validations passent par l'application ou par un code que vous déclenchez.

Signaler un phishing : le réflexe qui protège les autres

Un message signalé vaut mieux qu'un message supprimé. Supprimer, c'est propre pour vous, inutile pour la suite. Signaler, c'est alimenter les filtres, et parfois déclencher le retrait d'un site frauduleux avant qu'il ne fasse d'autres victimes.

Les canaux sont simples : le bouton de signalement de votre messagerie, le 33700 pour les SMS, et la plateforme publique cybermalveillance. Rien de bureaucratique, quelques minutes.

Dernière chose. J'ai longtemps cru que le phishing était un problème de naïveté. Je me trompais. Les cibles les plus touchées que j'ai vues autour de moi n'étaient pas les moins informées, mais les plus pressées — et l'urgence, justement, est ce que ces messages fabriquent. Le meilleur anti-phishing reste une seconde de lenteur délibérée.