Hameçonnage : 6 signes qui trahissent un courriel frauduleux

Chaque jour, des milliers de courriels frauduleux circulent dans les boîtes de réception. Le principe de l’hameçonnage (phishing) est toujours le même : imiter une organisation de confiance — une banque, un fournisseur, un employeur — pour vous pousser à cliquer, à télécharger un fichier ou à entrer vos identifiants.

Ces attaques ne visent pas seulement les grandes entreprises. Un simple clic sur un poste de travail peut suffire à compromettre tout un réseau. La bonne nouvelle : la majorité des courriels d’hameçonnage laissent des traces reconnaissables. Voici les principaux signaux d’alerte.

1. L’adresse de l’expéditeur ne correspond pas

Le nom affiché est facile à falsifier. C’est l’adresse réelle qui compte.

Passez la souris sur le nom de l’expéditeur (ou touchez-le sur mobile) pour afficher l’adresse complète. Méfiez-vous des domaines qui ressemblent à l’original sans l’être :

• service-desjardíns.com au lieu de desjardins.com
• micros0ft-support.net au lieu de microsoft.com
• une adresse générique comme @gmail.com pour un message soi-disant institutionnel

Un détail souvent oublié

Un courriel peut venir d’une adresse légitime si le compte d’un collègue a été piraté. L’adresse correcte rassure, mais elle ne garantit rien à elle seule.

2. Le message crée un sentiment d’urgence

« Votre compte sera suspendu dans 24 heures. » « Paiement refusé, action immédiate requise. »

L’urgence est l’outil principal de l’attaquant : elle vous empêche de réfléchir et de vérifier. Une organisation sérieuse ne vous menacera jamais de fermer votre compte dans l’heure par courriel.

3. Le lien ne mène pas où il prétend

Le texte d’un lien peut afficher n’importe quoi. Avant de cliquer, survolez-le : l’adresse réelle apparaît en bas de l’écran ou dans une infobulle.

Vérifiez surtout le domaine principal, juste avant le premier / :

• https://banque.com/connexion → domaine banque.com
• https://banque.com.securite-login.ru/connexion → domaine securite-login.ru

Dans le doute, n’utilisez pas le lien. Ouvrez votre navigateur et tapez vous-même l’adresse du site.

4. On vous demande des informations confidentielles

Aucune banque, aucun service gouvernemental et aucun service TI légitime ne vous demandera par courriel :

• votre mot de passe
• votre code d’authentification à deux facteurs
• votre numéro d’assurance sociale
• vos informations bancaires complètes

Cette règle est simple et elle ne souffre aucune exception. Si la demande arrive par courriel, c’est une fraude.

5. Une pièce jointe inattendue

Facture que vous n’attendiez pas, « document à signer », bon de commande d’un fournisseur inconnu : les pièces jointes restent un vecteur d’infection très efficace.

Portez une attention particulière aux fichiers .exe, .zip, .iso et aux documents Office qui demandent d’activer les macros. Un fichier peut aussi porter une double extension (facture.pdf.exe) pour paraître inoffensif.

6. Le ton et la forme détonnent

Formule d’ouverture impersonnelle (« Cher client »), fautes de grammaire, traduction maladroite, logo légèrement déformé, signature incomplète : chacun de ces détails est mineur, mais leur accumulation est révélatrice.

Attention toutefois : les attaques générées par intelligence artificielle sont aujourd’hui beaucoup mieux rédigées. L’absence de fautes n’est plus un gage de légitimité.

Que faire devant un courriel suspect ?

1. Ne cliquez pas et n’ouvrez aucune pièce jointe.
2. Ne répondez pas : une réponse confirme que votre adresse est active.
3. Vérifiez par un autre canal : appelez l’organisation au numéro figurant sur votre relevé ou son site officiel, jamais celui du courriel.
4. Signalez le message à votre service TI ou à votre fournisseur de courriel.
5. Si vous avez déjà cliqué, changez immédiatement le mot de passe concerné, activez l’authentification à deux facteurs et avertissez votre service TI sans attendre.

Conclusion

L’hameçonnage ne repose pas sur une prouesse technique, mais sur la confiance et la précipitation. C’est précisément ce qui en fait la principale porte d’entrée des cyberattaques — et aussi ce qui la rend évitable.

Le réflexe à retenir tient en une phrase : devant un message qui vous presse d’agir, prenez trente secondes de plus. C’est souvent tout ce qui sépare une tentative de fraude d’un incident de sécurité.