L'adresse de l'expéditeur est le premier élément à examiner. Les attaquants ont plusieurs techniques pour la rendre crédible :

• Spoofing simple : usurpation du « display name » (« PDG Jean Dupont <[email protected]> ») — l'œil voit le nom, oublie l'adresse
• Domaines cousins : microsft.com au lieu de microsoft.com, amaz0n.fr, paypa1.com
• Homoglyphes : utilisation de caractères Unicode visuellement identiques (« rn » au lieu de « m », « Cyrillique а » au lieu de « a » latin)
• Sous-domaines trompeurs : banque.connexion-securisee.com (le domaine racine est connexion-securisee.com, pas banque)
• Compte légitime compromis : l'attaquant a réellement piraté le compte d'un fournisseur connu — le plus difficile à détecter

Bonne pratique : lire l'adresse de droite à gauche. Le domaine racine est le dernier élément avant le premier slash (ou la fin de l'adresse). paypal.com est légitime, paypal.securite-compte.com ne l'est pas (domaine racine = securite-compte.com).

L'urgence artificielle est l'un des marqueurs les plus fiables d'un phishing. Pourquoi ? Parce qu'elle désactive votre cerveau analytique et active votre cerveau réactif. Sous pression, vous cliquez avant de réfléchir.

Formules d'urgence typiques à reconnaître :

• « Action immédiate requise »
• « Votre compte sera suspendu dans 24 heures »
• « Dernière chance avant le... »
• « Confirmation urgente nécessaire »
• « Tentative de connexion suspecte — vérifiez maintenant »
• « Votre colis est en attente — réclamez-le dans l'heure »
• « Le directeur attend votre virement avant la fin de la matinée »

Règle d'or : toute urgence inhabituelle doit déclencher une pause. Les organisations légitimes (banques, administrations, employeurs) prennent rarement la peine de mettre des délais aussi serrés. Quand une vraie urgence existe, elle est généralement communiquée par plusieurs canaux et avec un cadre clair.

Demande d'identifiants : aucune organisation légitime ne vous demandera jamais votre mot de passe par email. C'est une règle absolue. Toute demande de saisie d'identifiants suite à un clic email doit être considérée comme suspecte par défaut — même si la page semble parfaite. Pour vérifier, ne jamais utiliser le lien fourni : ouvrir un nouvel onglet et taper soi-même l'adresse officielle dans la barre d'URL.

Pièces jointes inattendues : tout fichier non sollicité est à considérer comme potentiellement malveillant. Les formats à risque élevé en 2026 :

• .exe, .bat, .cmd, .ps1 — exécutables directs
• .zip, .rar, .7z — archives masquant souvent un exécutable
• .iso, .img — images disque, contournent les détections antivirus
• .docm, .xlsm, .pptm — Office avec macros activables
• .html, .htm — phishing local (s'ouvre dans le navigateur sans réseau)
• .lnk — raccourci Windows pouvant exécuter du code

URL trompeuse : sur ordinateur, passer la souris (sans cliquer !) sur un lien fait apparaître l'URL réelle en bas de l'écran ou dans une infobulle. Si elle ne correspond pas au texte affiché, c'est un drapeau rouge. Sur mobile, l'appui long fait apparaître l'URL — toujours vérifier avant de cliquer.

Pendant longtemps, les fautes d'orthographe et les tournures bizarres ont été l'un des signaux les plus fiables : un email « Chere Madam, vous compt a ete piraté, clique ici » trahissait instantanément le phishing. Cette époque est révolue depuis ChatGPT (2022-2023). Les attaquants utilisent désormais l'IA générative pour produire en quelques secondes un français parfait, idiomatique, adapté au registre attendu (corporate, juridique, technique).

Néanmoins, certains signaux subsistent :

• Formules trop générales : « Cher client » au lieu de votre nom — l'attaquant ne connaît pas votre identité personnelle
• Tournures hors contexte culturel : « Bien cordialement, votre serviteur » dans un contexte corporate français contemporain
• Mélange de registres : ton très formel suivi d'une formule familière
• Vocabulaire inhabituel pour l'expéditeur supposé : un banquier qui parle comme un avocat, un avocat qui parle comme un policier
• Incohérences temporelles : « Pour faire suite à notre conversation d'hier » alors qu'aucune conversation n'a eu lieu

Globalement, ne plus se fier uniquement à la qualité de la rédaction. Les 6 autres signaux deviennent prioritaires.

Le signal le plus subtil mais souvent le plus fiable : la demande sort du cadre habituel des échanges que vous avez avec cet interlocuteur supposé.

Exemples typiques :

• Votre PDG ne vous a jamais demandé de virement par email — c'est suspect
• Votre fournisseur de SaaS ne demande jamais votre mot de passe par mail — c'est suspect
• Votre banque ne vous envoie jamais de pièces jointes — c'est suspect
• Le service RH ne demande jamais de copie de carte d'identité par email — c'est suspect
• Un collègue ne vous demande jamais de changer son RIB par message instantané — c'est suspect

L'habitude des échanges est une protection précieuse. Quand une demande sort de cette habitude, même si elle est techniquement plausible, redoublez de vigilance et vérifiez par un canal indépendant.

« Si quelque chose semble bizarre, c'est probablement bizarre. La sécurité, c'est avant tout faire confiance à son intuition de bizarrerie. »

— Conseil récurrent des SOC (Security Operations Centers)

La plupart des messageries professionnelles modernes intègrent un bouton « signaler un phishing » directement dans le client mail (Outlook, Gmail, Thunderbird, Office 365, Google Workspace). Ce bouton fait 3 actions en un clic :

• Transmet l'email à l'équipe sécurité interne pour analyse
• Alimente les filtres anti-spam pour protéger vos collègues du même message
• Supprime l'email de votre boîte de réception

Si votre entreprise n'a pas ce bouton, un email type doit être configuré (ex : [email protected]) auquel transférer les messages suspects. La rapidité de signalement est essentielle : un phishing détecté dans les 5 minutes a un impact 10 fois moindre qu'un phishing détecté à J+1. C'est pour cela que les équipes SOC valorisent énormément les premiers signaleurs — n'hésitez jamais à signaler, même par excès de prudence. Mieux vaut 10 faux positifs qu'un faux négatif.