Reconnaître une tentative de phishing : 7 signes qui ne trompent pas

La semaine dernière, un lecteur m'a transféré le mail qu'il venait de recevoir de sa banque. Objet : « Opération suspecte détectée sur votre compte ». Ton menaçant, logo impeccable, bouton « Vérifier mon identité » bien vert. Il était à deux doigts de cliquer. Sauf qu'il m'a écrit avant. On a passé dix minutes dessus, et le mail était faux de bout en bout. Pas de manière évidente, non. De manière chirurgicale.

C'est ça, le problème avec le phishing en 2026 : ce n'est plus le mail nigérian truffé de fautes que tout le monde repérait à dix mètres. Les tentatives actuelles copient le gabarit de votre banque, votre opérateur, votre mutuelle, votre service des impôts. Et elles arrivent au moment précis où vous êtes vulnérable : un colis en attente, un remboursement à venir, un compte soi-disant bloqué.

Donc voici ce que je vais tenter de faire ici : vous donner une méthode concrète pour reconnaître une tentative de phishing, pas une liste de principes vagues. Avec les détails que personne ne vous explique jamais, notamment la façon de tester un lien sans jamais cliquer dessus.

Les 4 signes qui trahissent un email de phishing

Quels sont les 4 signes qui permettent d'identifier un email de phishing ? Voici la réponse, dans l'ordre où je les vérifie moi-même, systématiquement, avant de faire quoi que ce soit d'autre.

1. L'adresse d'expéditeur ne correspond pas exactement

Regardez toujours l'adresse email complète, pas seulement le nom affiché. Un message qui affiche « Crédit Agricole » peut en réalité provenir d'une adresse comme [email protected]. Ce domaine n'a rien à voir avec la banque. Le nom affiché, lui, est un simple champ de texte que l'expéditeur peut écrire librement. C'est le premier réflexe à acquérir, et c'est celui que la majorité des gens zappent.

2. Un sentiment d'urgence artificiel

« Votre compte sera bloqué sous 24 h. » « Action requise immédiatement. » Ce genre de formule apparaît presque toujours dans les messages frauduleux, parce qu'elle vise à vous empêcher de réfléchir. Une entreprise sérieuse ne vous met jamais dans une urgence extrême par email. Elle vous informe, elle vous laisse un délai raisonnable, elle vous propose un canal de contact.

3. Des liens qui ne correspondent pas à leur texte

Sur ordinateur, survolez un lien sans cliquer : l'adresse réelle s'affiche en bas du navigateur. Si le texte dit « Se connecter à mon compte » mais que le lien pointe vers une adresse inconnue, c'est un signal d'alerte franc. J'y reviens en détail plus bas, parce que c'est là que se joue la partie la plus technique.

4. Une demande d'informations confidentielles

Mot de passe, numéro de carte, code de sécurité, identifiants bancaires. Aucun organisme légitime ne vous réclame ce genre d'élément par email ou par SMS. Point. Si le message vous demande de « confirmer votre identité » en saisissant vos coordonnées, considérez-le comme suspect par défaut.

Ces quatre signes peuvent apparaître isolément. Quand deux ou trois se cumulent dans le même message, vous n'avez plus vraiment de doute à avoir.

Comment tester un lien pour savoir s'il s'agit d'un phishing

La question revient souvent, et c'est normal : elle n'a presque jamais de réponse praticable. Alors voici la méthode que j'applique, étape par étape.

Étape 1 : survoler, jamais cliquer

Sur ordinateur, survolez le lien avec la souris. En bas à gauche du navigateur, l'URL réelle apparaît. Sur mobile, appuyez longuement sur le lien : une fenêtre s'ouvre avec l'adresse complète, sans que la navigation se déclenche. C'est le seul geste qui vous permet de voir où vous iriez réellement, avant d'y aller.

Étape 2 : lire l'URL de droite à gauche

C'est le réflexe qui change tout, et personne ne l'enseigne. Le domaine réel se lit toujours en partant de la fin. Dans secure-login.credit-agricole.xyz, le domaine c'est xyz. Pas « credit-agricole ». Tout ce qui précède le domaine principal peut être fabriqué par l'attaquant pour vous rassurer. Une adresse qui commence par le nom d'une banque connue ne prouve donc absolument rien.

Étape 3 : repérer les pièges classiques

• Les homoglyphes, ces caractères qui se ressemblent au point de tromper l'œil. Un « 1 » à la place d'un « l », un « rn » qui imite « m ». L'adresse paypa1.com ressemble à s'y méprendre à la vraie, mais ne l'est pas.
• Les raccourcisseurs du type bit.ly ou t.co. Ils masquent la destination. Légitimes dans certains contextes, ils deviennent suspects dès qu'ils prétendent vous emmener sur le site de votre banque.
• Les sous-domaines trompeurs, très allongés, qui noient le vrai domaine au milieu d'une bouillie de mots rassurants.
• Et bien sûr, la cohérence : si le texte du lien annonce votre banque mais que l'URL affichée pointe ailleurs, il n'y a même pas à chercher plus loin.

Faites le test une fois sur un mail légitime, puis une fois sur un mail douteux. En deux essais, vous aurez le coup d'œil. Franchement, c'est le geste le plus rentable que vous puissiez apprendre en matière de sécurité personnelle.

Quels sont les signes qui aident à reconnaître un message d'hameçonnage ?

Au-delà de l'email, la mécanique d'hameçonnage s'étend au SMS et à l'appel téléphonique, et les indices restent largement les mêmes.

Le smishing et le vishing

Sur SMS, l'expéditeur affiché peut être usurpé. Un message qui semble venir d'un numéro court officiel peut très bien avoir été envoyé par un tiers, parce que certaines passerelles techniques le permettent. L'appel téléphonique, lui, se détecte surtout à sa mise en scène : un interlocuteur qui se dit de votre banque, qui vous demande un code reçu par SMS pour « sécuriser une opération », qui vous pousse à agir vite. Vous ne devez jamais donner un code de validation à quelqu'un qui vous appelle, même s'il prétend le contraire.

Le cas des faux mails administratifs

Les organismes publics sont des cibles de choix, parce que la peur de l'amende fonctionne à merveille. Un faux mail de l'ANTAI vous annonçant un excès de vitesse non réglé, avec un lien de paiement et une date limite, c'est un grand classique. Le réflexe : ne payez jamais une amende depuis un lien reçu par mail ou par SMS. Passez systématiquement par le site officiel, en tapant l'adresse vous-même.

Le détail qui trahit presque toujours

Les fautes d'orthographe, la mise en page approximative, les logos légèrement flous, les formules de politesse génériques du type « Cher client » sans votre nom. Ce ne sont pas des preuves, mais ce sont des faisceaux. Un mail authentique de votre banque connaît généralement votre identité et adapte son contenu en conséquence.

Que faire en cas de tentative de phishing ?

Vous avez identifié le message. Maintenant, on fait quoi ?

• Ne cliquez sur rien, ne répondez à rien. Le simple fait de répondre confirme à l'attaquant que votre adresse est active, et vous serez ciblé davantage.
• Signalez l'email à l'organisme prétendument émetteur, en le transférant à son adresse de contact officielle. La plupart des banques et services publics ont une procédure dédiée.
• Signalez le SMS en le transférant à la plateforme gouvernementale de signalement des messages frauduleux.
• Si vous avez cliqué et saisi vos identifiants, changez immédiatement votre mot de passe depuis un appareil sain, et contactez votre banque sans attendre.

Quels sont les signes qu'un téléphone a été piré ?

Un point important, souvent noyé : même sans ouvrir un lien, un message frauduleux peut viser à vous faire installer quelque chose. Et là, les signes changent de nature.

Les anomalies qui doivent vous alerter

• Une batterie qui se vide anormalement vite, sans changement d'usage, sur plusieurs jours.
• Une consommation de données qui explose alors que vous naviguez normalement.
• Des applications que vous n'avez jamais installées, ou une lenteur générale devenue chronique.
• Des pop-ups intrusifs qui s'invitent même dans des applications simples.
• Et le plus direct : des messages envoyés à vos contacts, avec votre nom, que vous n'avez jamais écrits.

Ces symptômes ne sont pas des preuves à eux seuls. Un téléphone lent n'est pas forcément infecté. Mais plusieurs simultanément, oui, ça mérite un passage par les mises à jour système, une revue des applications installées, et parfois une réinitialisation complète.

Récapitulatif : les réflexes face à un message douteux

Situation	Ce que fait un attaquant	Votre réflexe
Email de votre banque avec un lien urgent	Urgence artificielle, bouton « vérifier » qui pointe vers un faux site	Inspectez le domaine réel. Connectez-vous via votre application ou en tapant l'adresse manuellement.
SMS de livraison avec frais à payer	Montant faible pour vous faire accepter, formulaire de carte bancaire	Vérifiez directement le suivi sur le site officiel du transporteur.
Appel d'un prétendu conseiller bancaire	Ton rassurant, demande d'un code reçu par SMS	Raccrochez et rappelez le numéro figurant au dos de votre carte.
Faux mail administratif (amende, remboursement)	Peur ou appât du gain, date limite factice	Passez impérativement par le site officiel de l'organisme.

Un détail m'étonne toujours : on parle de sécurité informatique comme d'un sujet technique, alors qu'il repose en grande partie sur des gestes simples. Vérifier une adresse. Survoler un lien. Refuser de donner un code au téléphone. Ce ne sont pas des compétences de spécialiste, ce sont des habitudes.

Ce que je retiens après plusieurs années de recul

La personne qui m'a transféré ce mail la semaine dernière a bien réagi : elle a douté, elle a cherché un deuxième avis, elle n'a pas cliqué. C'est exactement ce qu'il faut faire. Le phishing ne gagne pas parce qu'il est techniquement brillant. Il gagne parce qu'il arrive au mauvais moment, sur quelqu'un de pressé, fatigué, ou inquiet.

Le meilleur outil que vous possédez contre lui, ce n'est pas un logiciel. C'est l'habitude de ralentir trente secondes avant d'agir sur un message qui vous met sous pression. Trente secondes. C'est souvent tout ce qui sépare une fraude réussie d'une tentative qu'on a démasquée.

Et si un jour vous hésitez, transférez le message à quelqu'un en qui vous avez confiance, comme ce lecteur l'a fait avec moi. Un regard extérieur, même rapide, démasque ce que la panique avait rendu invisible.