Phishing : comment reconnaitre un faux email

Qu'est-ce que le phishing ?

Le phishing (ou hameconnage) est une attaque d'ingenierie sociale ou des criminels envoient des emails deguises en communications legitimes d'organisations de confiance — banques, entreprises technologiques, administrations ou employeurs — afin de tromper les destinataires et leur faire reveler des informations sensibles, cliquer sur des liens malveillants ou telecharger des logiciels malveillants.

Le phishing a evolue bien au-dela des emails de « prince nigerien » du debut des annees 2000. Les campagnes modernes utilisent des emails au design professionnel qui reproduisent parfaitement la charte graphique, la mise en page et le ton des entreprises legitimes. Certaines utilisent l'IA pour generer des messages personnalises.

Les signaux d'alerte a surveiller

• Adresse de l'expediteur suspecte : Le nom affiche peut indiquer « Securite PayPal » mais l'adresse reelle est quelque chose comme « security@paypa1-verify.com ». Verifiez toujours l'adresse complete.
• Urgence et peur : « Votre compte sera suspendu dans 24 heures », « Acces non autorise detecte ». Les entreprises legitimes envoient rarement des emails alarmistes exigeant une action immediate.
• Salutations generiques : « Cher client » ou « Cher utilisateur » au lieu de votre nom. Les entreprises ou vous avez un compte connaissent votre nom.
• Liens suspects : Survolez (ne cliquez pas !) tout lien dans l'email. Si l'URL ne correspond pas au domaine legitime, c'est du phishing. Attention aux fautes subtiles : « arnazon.com » au lieu de « amazon.com ».
• Pieces jointes inattendues : Les entreprises legitimes envoient rarement des pieces jointes non sollicitees. Mefiance avec les .zip, .exe, .js ou documents Office avec macros.
• Fautes de grammaire : Beaucoup d'emails de phishing contiennent encore des erreurs grammaticales subtiles ou une mise en forme incoherente.

Les variantes les plus dangereuses

Le spear phishing cible des individus specifiques en utilisant des informations personnelles collectees sur les reseaux sociaux ou via des fuites de donnees. Un email qui mentionne votre poste, vos projets recents ou vos collegues par leur nom est bien plus convaincant.

La compromission de messagerie d'entreprise (BEC) consiste a usurper l'identite d'un dirigeant ou d'un fournisseur pour inciter des employes a effectuer des virements. Les attaques BEC ont cause plus de 2,7 milliards de dollars de pertes en 2022.

Le clone phishing prend un email legitime que vous avez reellement recu et le recree avec des liens malveillants, en l'envoyant depuis une adresse usurpee.

Que faire quand on repere un email de phishing

• Ne cliquez sur aucun lien et ne telechargez aucune piece jointe.
• Ne repondez pas a l'email.
• Si l'email pretend venir d'une entreprise que vous utilisez, ouvrez un nouvel onglet et allez directement sur le site de l'entreprise (tapez l'URL manuellement).
• Signalez l'email comme phishing dans votre client de messagerie.
• Si vous avez deja clique ou saisi vos identifiants, changez immediatement votre mot de passe et activez l'authentification a deux facteurs.

La prevention par la gestion des adresses

Une defense sous-estimee contre le phishing est la gestion des adresses email. Si vous utilisez une adresse unique par service, vous pouvez immediatement identifier les tentatives de phishing : un email pretendant venir de votre banque mais arrive a l'adresse utilisee pour un forum est evidemment faux.

Utiliser des adresses jetables de TempoMail pour les interactions a faible confiance reduit aussi votre exposition. Si une adresse temporaire recoit un phishing, vous savez que le service a ete compromis ou a vendu vos donnees — et vous pouvez simplement abandonner l'adresse sans risque pour votre identite reelle.