Savoir repérer le hameçonnage ou phishing en anglais est une compétence dont tout le monde a besoin aujourd'hui, pas seulement les professionnels de l'informatique. C'est utile à absolument tout le monde, chaque jour.
Le phishing est la cyberattaque la plus répandue au monde. Il ne nécessite aucune technologie sophistiquée du côté de l'attaquant. En revanche, il exploite quelque chose de profondément humain : la confiance, la précipitation et l'habitude de cliquer sans regarder.
Ce qu'est vraiment le phishing et pourquoi ça marche
Le phishing est une technique de manipulation qui consiste à se faire passer pour un organisme de confiance comme votre banque, La Poste, l'administration fiscale (impots.gouv.fr), l'Assurance Maladie (Ameli) ou votre employeur. L'objectif est de vous pousser à réaliser une action : cliquer sur un lien, saisir un mot de passe, confirmer un paiement ou rappeler un numéro.
La clé de son efficacité est qu'il cible directement votre jugement, et non une faille technique de votre appareil. Un message bien construit, une situation d'urgence plausible, un logo familier et votre cerveau fait le reste. Par conséquent, même les personnes habituées à l'informatique peuvent se faire piéger, notamment lorsqu'elles sont distraites ou fatiguées.
Le vecteur évolue constamment. L'email reste dominant. Cependant, le phishing arrive désormais aussi par SMS (smishing), appel téléphonique (vishing), code QR (quishing) et messages sur LinkedIn ou WhatsApp. La mécanique sous-jacente, par ailleurs, est toujours identique.
83 % des organisations françaises ont subi au moins une tentative de phishing en 2023.
Selon le Cybermalveillance.gouv.fr, le phishing est la première menace numérique en volume pour les particuliers comme pour les entreprises. Il n'est par conséquent plus une menace marginale. C'est le quotidien.
Reconnaître un phishing : les 5 signaux qui trahissent un message frauduleux
Un message de phishing est conçu pour ressembler à quelque chose de légitime. Cependant, il présente presque toujours au moins un signal d'alerte. En apprenant à les lire, vous pouvez donc reconnaître un phishing en moins de 30 secondes.
Signal 1 — Urgence fabriquée
« Votre compte Ameli sera suspendu dans 24 heures. » « Action immédiate requise concernant votre facture EDF impayée. » « Votre colis Chronopost sera retourné si vous n'agissez pas aujourd'hui. » L'urgence est l'outil principal du phishing. Elle court-circuite votre réflexion et vous pousse à agir avant de vérifier. Or aucun organisme sérieux, que ce soit la CAF, La Banque Postale ou la DGFiP, ne vous mettra jamais sous pression de cette façon dans un email ou un SMS.
En effet, plus un message semble urgent, plus il devrait déclencher de la prudence plutôt qu'une action immédiate.
Réflexe : Plus le message est pressant, plus vous prenez 30 secondes pour vérifier avant d'agir.
Signal 2 — L'adresse de l'expéditeur ne correspond pas
Le nom affiché peut indiquer « Ameli — Assurance Maladie » ou « Service des Impôts ». Cependant, l'adresse réelle derrière est quelque chose comme [email protected] ou [email protected]. Le domaine officiel d'Ameli est ameli.fr. L'autorité fiscale officielle du domaine est impots.gouv.fr. Tout le reste est donc suspect. Les attaquants enregistrent des domaines quasi identiques en modifiant un caractère ou en ajoutant un mot, par exemple amelii.fr, impots-gouv.net ou credit-agricole-alertes.com.
Par ailleurs, le nom affiché dans votre boîte de réception est entièrement contrôlé par l'expéditeur et peut dire absolument n'importe quoi. Par conséquent, ne faites jamais confiance au seul nom affiché.
Réflexe : Cliquez sur le nom de l'expéditeur pour révéler l'adresse complète et vérifier que le domaine correspond exactement à celui officiel.
Signal 3 — Le lien ne mène pas là où il prétend aller
Le texte cliquable indique www.impots.gouv.fr. Cependant, en passant la souris dessus sans cliquer, l'adresse réelle qui s'affiche dans le coin bas de votre navigateur est tout autre chose. Sur mobile, un appui long sur le lien révèle la destination réelle. C'est de plus l'une des ruses les plus efficaces car visuellement, le lien semble parfaitement légitime.
Les exemples courants en France incluent les fausses pages de suivi de colis La Poste, les faux portails de remboursement Ameli et les fausses pages de paiement de factures EDF ou Engie.
Réflexe : Survolez toujours un lien avant de cliquer. Sur mobile, un appui long permet de vérifier l'URL réelle avant toute action.
Signal 4 — On vous demande des informations qu'aucun organisme sérieux ne demande par ce canal
La Banque Postale ne vous demandera jamais votre mot de passe par email. La DGFiP ne vous demandera jamais vos coordonnées bancaires pour traiter un remboursement fiscal. Ameli ne vous demandera jamais votre RIB par SMS. En effet, aucun organisme légitime, que ce soit la CAF, France Travail ou votre opérateur téléphonique, ne collecte d'informations sensibles via des liens dans des messages.
C'est une règle universelle. Par conséquent, tout message demandant ce type d'informations doit être traité comme un signal d'alarme automatique, quelle que soit son apparence officielle.
Réflexe : Aucun organisme sérieux ne procède ainsi. Considérez-le comme un signal d'alarme automatique.
Signal 5 — Quelque chose « cloche » sans que vous sachiez exactement pourquoi
Une formulation maladroite, un logo La Poste ou Ameli légèrement déformé, votre prénom mal orthographié, une mise en page inhabituelle pour une facture EDF ou un ton qui ne correspond pas à la communication habituelle de l'expéditeur méritent tous d'être notés. Les attaquants améliorent leurs techniques, notamment grâce à l'IA qui génère désormais des messages grammaticalement parfaits en français. Néanmoins, l'intuition reste un signal valide. Si quelque chose vous gêne, c'est de plus une raison suffisante pour vérifier avant d'agir.
Réflexe : Le doute suffit. Faites une pause, vérifiez via un canal officiel et décidez ensuite si vous devez agir.
La règle des 30 secondes pour repérer le hameçonnage
Le phishing repose sur une seule chose : vous faire agir plus vite que vous ne réfléchissez. La parade est donc tout aussi simple. Prenez 30 secondes avant d'agir sur tout message inattendu. Vérifiez l'adresse complète de l'expéditeur. Survolez le lien. Demandez-vous si Ameli, La Poste ou votre banque vous contacterait vraiment de cette façon, par ce canal et avec ce niveau d'urgence.
Ces 30 secondes sont suffisantes, dans la grande majorité des cas, pour déjouer une attaque qui a pris des heures à préparer. En effet, la sensibilisation reste le premier rempart, avant tout outil technique.
Les 5 réflexes anti-phishing à mémoriser
-
Urgence = suspicion.
-
Je vérifie l'adresse e-mail complète de l'expéditeur
-
Je survole les liens avant de cliquer pour voir l'URL réelle. Sur mobile, un appui long révèle la destination.
-
Je vérifie toujours directement sur le site officiel.
-
Je le signale, même si je ne suis pas victime.
Plus un message vous met sous pression, plus vous devez vérifier avant d'agir. Vérifiez toujours l'adresse complète de l'expéditeur et pas seulement le nom affiché, car un seul caractère différent suffit à révéler un faux. Survolez les liens avant de cliquer pour voir l'URL réelle, et sur mobile utilisez un appui long pour vérifier la destination. Vérifiez toujours sur le site officiel, que ce soit ameli.fr, impots.gouv.fr ou laposte.fr, et jamais via le lien contenu dans le message suspect. Enfin, signalez-le même si vous n'êtes pas victime : un signalement sur Signal Spam ou un transfert au 33700 peut contribuer à identifier des réseaux criminels et protéger des milliers d'autres utilisateurs.
Vous avez repéré un message suspect et vous vous demandez quoi faire ensuite ?
Lisez notre article Phishing : que faire et comment le signaler pour le guide étape par étape complet.
Votre équipe est-elle prête à repérer le phishing dans des conditions réelles ?
Stroople propose des formations sur mesure et des simulations de phishing pour mesurer l'exposition réelle de vos collaborateurs et ancrer les bons réflexes durablement.