Comment reconnaître un phishing

Publié en janvier 2026 · ~ 5 min de lecture

Le phishing, ou hameçonnage, est la technique d'attaque la plus répandue au monde. Selon les statistiques de Verizon, plus de 36 % des violations de données commencent par un e-mail frauduleux. Le principe est simple : un cybercriminel se fait passer pour un organisme de confiance — votre banque, votre opérateur, un service administratif — pour vous soutirer des informations confidentielles : identifiants, numéros de carte bancaire, codes de vérification. Dans cet article, vous apprendrez à identifier un phishing en quelques secondes, avant de cliquer.

1. Vérifier l'adresse de l'expéditeur

Le premier réflexe doit être de regarder l'adresse e-mail de l'expéditeur, pas seulement le nom affiché. Les cybercriminels falsifient facilement le nom visible (« Service Client Banque Populaire »), mais l'adresse technique est plus difficile à tromper. Une adresse légitime de votre banque ressemblera à « noreply@banquepopulaire.fr ». Un phishing utilisera souvent une adresse suspects : « service@banquepopulaire-security.com », « noreply@banque-populaire.net » ou même « support@gmail-banque.com ».

Méfiez-vous aussi des adresses qui paraissent correctes au premier coup d'œil mais contiennent de subtiles différences : remplacement d'un « o » par un « 0 », d'un « l » par un « 1 », d'un « e » par un « é » ou ajout d'un tiret invisible. Cette technique s'appelle l'homoglyphie et trompe l'œil humain instantanément.

2. Inspecter les liens avant de cliquer

Dans un e-mail suspect, ne cliquez jamais directement sur un lien. Survolez-le avec votre souris : la véritable destination s'affiche en bas de la fenêtre. Si le lien affiché est « www.paypal.com/connexion » mais que la destination réelle est « www.paypa1-login.com/secure », c'est un phishing évident.

Méfiez-vous des liens raccourcis (bit.ly, tinyurl) dans des e-mails non sollicités : ils masquent la destination réelle. De même, les boutons « Se connecter » ou « Vérifier mon compte » peuvent pointer vers un site frauduleux parfaitement imité. La règle d'or : si on vous demande de cliquer pour régler un problème, ouvrez votre navigateur et tapez vous-même l'adresse du site officiel.

3. Détecter l'urgence et la menace

Les e-mails de phishing exploitent systématiquement l'émotion : peur, urgence, curiosité. Les formulations types sont : « Votre compte sera suspendu dans 24 heures », « Activité suspecte détectée — confirmez vos identifiants immédiatement », « Votre colis n'a pas pu être livré, payez 1,99 € de frais », « Vous avez hérité de 2 millions d'euros ».

Cette fabrication d'urgence vous pousse à agir impulsivement, sans prendre le temps de vérifier. Un organisme légitime ne vous demandera jamais de confirmer vos identifiants sous la menace d'une fermeture de compte. Si le message exige une action immédiate, c'est précisément le moment de ralentir et de vérifier.

4. Repérer les fautes d'orthographe et de syntaxe

Les e-mails de phishing contiennent très souvent des erreurs : fautes d'orthographe, grammaire approximative, syntaxe incorrecte, ponctuation anormale, majuscules au mauvais endroit. Ces erreurs peuvent sembler contre-intuitives — pourquoi un professionnel ferait-il des fautes ? — mais elles s'expliquent par deux facteurs : les phishing sont souvent rédigés par des non-francophones utilisant des traductions automatiques, et certains errors servent volontairement de filtre pour éliminer les internautes les plus vigilants, ne ciblant que les plus crédules.

Un e-mail officiel de votre banque ou d'un service administratif est relu et ne contient pratiquement jamais de fautes. Si vous en repérez, c'est un signal d'alerte immédiat.

5. Reconnaître les demandes d'informations sensibles

Aucune organisation légitime ne vous demandera jamais par e-mail :

• Votre mot de passe complet ou vos codes secrets
• Votre numéro de carte bancaire ou son cryptogramme (CVV)
• Un code de vérification reçu par SMS (le code 2FA)
• Vos coordonnées bancaires complètes (IBAN, BIC)
• Votre date de naissance couplée à d'autres données

Si un e-mail vous demande l'une de ces informations, c'est un phishing à 100 %. Les banques, les administrations et les services en ligne sérieux réitèrent systématiquement qu'ils ne demanderont jamais ces données par e-mail. En cas de doute, appelez directement le service concerné en utilisant le numéro figurant sur votre carte bancaire ou sur le site officiel (et non celui indiqué dans l'e-mail suspect).

6. Analyser la forme et la mise en page

Les e-mails de phishing imitent souvent l'apparence des messages officiels, mais la copie est rarement parfaite. Cherchez les indices suivants : logo flou ou pixelisé, couleurs légèrement différentes, polices incohérentes, images qui ne s'affichent pas (avec un texte alternatif suspect), mise en page désalignée, absence de mentions légales en bas de page. Un vrai e-mail de votre banque contiendra des mentions légales, un numéro SIRET, un lien vers la politique de confidentialité — des éléments qu'un phishing néglige souvent.

7. Le phishing par SMS (smishing) et par appel vocal (vishing)

Le phishing ne se limite pas aux e-mails. Le smishing (SMS frauduleux) est en pleine expansion : « Votre colis est bloqué, payez les frais sur ce lien », « Votre paiement de 39,99 € a été validé, annulez ici ». Le vishing (appel téléphonique frauduleux) est tout aussi dangereux : un faux conseiller bancaire vous appelle pour « sécuriser » votre compte et vous demande de dicter votre code secret ou de valider une transaction.

La règle reste la même : ne cliquez pas sur les liens des SMS non sollicités et ne donnez jamais d'informations confidentielles au téléphone. Raccrochez et rappelez le numéro officiel.

Que faire si vous avez cliqué ?

Si vous avez cliqué sur un lien frauduleux mais sans rien saisir, le risque est limité. Changez quand même le mot de passe du service concerné et surveillez vos comptes. Si vous avez saisi vos identifiants sur le site frauduleux, agissez immédiatement : changez le mot de passe du service piraté, activez ou vérifiez l'authentification à deux facteurs, signalez l'e-mail à votre fournisseur et à la plateforme PHAROS du gouvernement français.

Conclusion : la vigilance est votre meilleure défense

Aucun outil technique ne remplace la vigilance humaine face au phishing. Les filtres anti-spam bloquent la majorité des tentatives, mais certains messages frauduleux parviennent toujours à passer. En appliquant ces sept vérifications systématiquement, vous considérablement votre risque de tomber dans le piège. Renforcez en plus votre protection avec des mots de passe uniques et forts — générez-les gratuitement avec notre générateur de mot de passe — et vérifiez régulièrement si vos identifiants ont fuité grâce à notre vérificateur de fuite de données.