2.1 Anatomie d'un phishing : 7 signaux d'alerte à reconnaître en 5 secondes

L'adresse de l'expéditeur est le premier élément à examiner. Les attaquants ont plusieurs techniques pour la rendre crédible :

• Spoofing simple : usurpation du « display name » (« PDG Jean Dupont <[email protected]> ») — l'œil voit le nom, oublie l'adresse
• Domaines cousins : une lettre en moins, un chiffre à la place d'une lettre — entrepri5e.fr au lieu de entreprise.fr, fournisseur-sa.com au lieu de fournisseur.com
• Homoglyphes : utilisation de caractères Unicode visuellement identiques (« rn » au lieu de « m », « Cyrillique а » au lieu de « a » latin)
• Sous-domaines trompeurs : banque.connexion-securisee.com (le domaine racine est connexion-securisee.com, pas banque)
• Compte légitime compromis : l'attaquant a réellement piraté le compte d'un fournisseur connu — le plus difficile à détecter

Bonne pratique : lire l'adresse de droite à gauche. Le domaine racine est le dernier élément avant le premier slash (ou avant la fin de l'adresse). ma-banque.fr est le domaine racine dans ma-banque.fr/acces ; dans ma-banque.securite-compte.com, le domaine racine est securite-compte.com — le nom de la banque n'est qu'un sous-domaine choisi par l'attaquant.

L'urgence artificielle est l'un des marqueurs les plus fiables d'un phishing. Pourquoi ? Parce qu'elle désactive votre cerveau analytique et active votre cerveau réactif. Sous pression, vous cliquez avant de réfléchir.

Formules d'urgence typiques à reconnaître :

• « Action immédiate requise »
• « Votre compte sera suspendu dans 24 heures »
• « Dernière chance avant le... »
• « Confirmation urgente nécessaire »
• « Tentative de connexion suspecte — vérifiez maintenant »
• « Votre colis est en attente — réclamez-le dans l'heure »
• « Le directeur attend votre virement avant la fin de la matinée »

Règle d'or : toute urgence inhabituelle doit déclencher une pause. Les organisations légitimes (banques, administrations, employeurs) prennent rarement la peine de mettre des délais aussi serrés. Quand une vraie urgence existe, elle est généralement communiquée par plusieurs canaux et avec un cadre clair.

Demande d'identifiants : aucune organisation légitime ne vous demandera jamais votre mot de passe par email. C'est une règle absolue. Toute demande de saisie d'identifiants suite à un clic email doit être considérée comme suspecte par défaut — même si la page semble parfaite. Pour vérifier, ne jamais utiliser le lien fourni : ouvrir un nouvel onglet et taper soi-même l'adresse officielle dans la barre d'URL.

Pièces jointes inattendues : tout fichier non sollicité est à considérer comme potentiellement malveillant. Les formats à risque élevé en 2026 :

• .exe, .bat, .cmd, .ps1 — exécutables directs
• .zip, .rar, .7z — archives masquant souvent un exécutable
• .iso, .img — images disque, contournent les détections antivirus
• .docm, .xlsm, .pptm — Office avec macros activables
• .html, .htm — phishing local (s'ouvre dans le navigateur sans réseau)
• .lnk — raccourci Windows pouvant exécuter du code

URL trompeuse : sur ordinateur, passer la souris (sans cliquer !) sur un lien fait apparaître l'URL réelle en bas de l'écran ou dans une infobulle. Si elle ne correspond pas au texte affiché, c'est un drapeau rouge. Sur mobile, l'appui long fait apparaître l'URL — toujours vérifier avant de cliquer.

Pendant longtemps, les fautes d'orthographe et les tournures bizarres ont été l'un des signaux les plus fiables : un email « Chere Madam, vous compt a ete piraté, clique ici » trahissait instantanément le phishing. Cette époque est révolue depuis ChatGPT (2022-2023). Les attaquants utilisent désormais l'IA générative pour produire en quelques secondes un français parfait, idiomatique, adapté au registre attendu (corporate, juridique, technique).

Néanmoins, certains signaux subsistent :

• Formules trop générales : « Cher client » au lieu de votre nom — l'attaquant ne connaît pas votre identité personnelle
• Tournures hors contexte culturel : « Bien cordialement, votre serviteur » dans un contexte corporate français contemporain
• Mélange de registres : ton très formel suivi d'une formule familière
• Vocabulaire inhabituel pour l'expéditeur supposé : un banquier qui parle comme un avocat, un avocat qui parle comme un policier
• Incohérences temporelles : « Pour faire suite à notre conversation d'hier » alors qu'aucune conversation n'a eu lieu

Globalement, ne plus se fier uniquement à la qualité de la rédaction. Les 6 autres signaux deviennent prioritaires.

Le signal le plus subtil mais souvent le plus fiable : la demande sort du cadre habituel des échanges que vous avez avec cet interlocuteur supposé.

Exemples typiques :

• Votre PDG ne vous a jamais demandé de virement par email — c'est suspect
• Votre fournisseur de SaaS ne demande jamais votre mot de passe par mail — c'est suspect
• Votre banque ne vous envoie jamais de pièces jointes — c'est suspect
• Le service RH ne demande jamais de copie de carte d'identité par email — c'est suspect
• Un collègue ne vous demande jamais de changer son RIB par message instantané — c'est suspect

L'habitude des échanges est une protection précieuse. Quand une demande sort de cette habitude, même si elle est techniquement plausible, redoublez de vigilance et vérifiez par un canal indépendant.

« Si quelque chose semble bizarre, c'est probablement bizarre. La sécurité, c'est avant tout faire confiance à son intuition de bizarrerie. »

— Conseil récurrent des SOC (Security Operations Centers)

La plupart des messageries professionnelles intègrent un bouton « signaler un message suspect » directement dans le client mail. Ce bouton fait trois choses en un clic :

• Transmet l'email à l'équipe sécurité interne pour analyse
• Alimente les filtres anti-spam pour protéger vos collègues du même message
• Supprime l'email de votre boîte de réception

Si votre entreprise n'a pas ce bouton, une adresse dédiée doit être connue de tous (par exemple [email protected]) pour y transférer les messages suspects. L'intérêt du signalement n'est pas seulement de vous protéger vous : un message d'hameçonnage arrive rarement seul, et le premier signalement permet de bloquer la campagne pour tous les autres destinataires avant qu'ils ne l'ouvrent. Signalez même par excès de prudence : un faux positif ne coûte rien, un message non signalé peut coûter très cher.

La conduite à tenir quand le clic a déjà eu lieu est détaillée au chapitre 5.1.