Reconnaître un mail de phishing en quelques secondes : le guide

Un mail arrive. Expéditeur : « Service client - Banque Populaire ». Objet : « Votre compte sera suspendu sous 48 h ». Vous avez deux secondes pour décider si c'est vrai ou si c'est une arnaque.

Ce délai n'est pas un caprice de ma part. Un mail de phishing bien fait se juge en moins de dix secondes, mais pas en lisant le texte : en regardant trois choses précises, dans un ordre précis. J'ai mis des années à comprendre que la plupart des gens font l'inverse — ils lisent le message en entier, se laissent embarquer par le ton, puis cherchent des indices après coup. C'est le meilleur moyen de se faire avoir.

Dans mon ancienne boîte, on a reçu pendant deux mois une vague de faux mails « ANTAI » tellement bien imités qu'un collègue a payé 90 € de fausse amende. Le mail était propre. Le logo était bon. Le lien semblait correct. Ce qui l'a trahi, c'est une lettre dans le nom de domaine que personne n'avait regardée.

Reconnaître un mail de phishing en quelques secondes : la méthode en trois regards

Oubliez la lecture complète. Le protocole que j'utilise maintenant tient en trois vérifications, dans cet ordre, et il fonctionne mieux que n'importe quelle analyse du contenu.

Premier regard : l'adresse, pas le nom affiché

Votre messagerie affiche presque toujours un nom (« Impots.gouv », « Netflix », « Chronopost ») avant l'adresse technique. Ce nom est du texte libre. N'importe qui peut écrire ce qu'il veut dans ce champ. Donc on l'ignore.

Ce qu'on cherche : la partie après le @. Et pas seulement le domaine principal — aussi ce qui vient devant. impots.gouv.fr n'est pas la même chose que impots.gouv.fr.secure-login.com. Dans le second cas, le vrai domaine est secure-login.com, et « impots.gouv.fr » n'est qu'un sous-domaine décoratif. C'est une technique banale et redoutablement efficace.

Le test tient en une seconde : lisez l'adresse de droite à gauche, en vous arrêtant au premier point qui précède un domaine connu. Si ce qui reste ne correspond pas à l'organisation, c'est mort.

Deuxième regard : les domaines pièges qui imitent à une lettre près

Voici la partie que presque personne ne fait, et c'est dommage. Les arnaqueurs achètent des domaines qui ressemblent visuellement au vrai. Quelques motifs que j'ai rencontrés sur de vrais mails reçus :

• rnicrosoft.com — le « rn » remplace le « m », quasi invisible en petite police
• paypa1.com — le chiffre 1 à la place du « l »
• arnazon.fr — encore le « rn »
• antai-amendes.net — un vrai service public ne passe pas par un .net
• laposte-suivi-colis.info — le mot du service public collé à un domaine quelconque

Vous remarquerez que ces cinq exemples n'ont pas la même construction. C'est normal : il n'y a pas une seule recette, mais une logique constante — coller un mot rassurant à côté d'un domaine qui ne l'est pas.

Tendez l'œil. La plupart du temps, le piège se voit en agrandissant la police d'un cran.

Troisième regard : le lien, sans jamais cliquer

Sur ordinateur, survolez le lien avec la souris et regardez la barre d'état en bas de la fenêtre. Sur mobile, appuyez longuement sur le lien : l'aperçu s'affiche sans ouvrir la page. C'est une manipulation de deux secondes qui évite 95 % des désastres.

Le texte affiché du lien et sa destination réelle n'ont rien à voir l'un avec l'autre dans un phishing. On vous montre www.impots.gouv.fr, et le lien pointe vers bit.ly/xxxx ou vers un domaine inconnu. Le raccourcisseur d'URL est d'ailleurs un signal à lui seul : une administration ou une banque ne vous enverra presque jamais un lien masqué.

Bref, trois regards : expéditeur, domaine, lien. Comptez cinq secondes une fois que vous avez le coup.

À quoi ressemble un vrai mail de phishing : un exemple décortiqué

Le texte ci-dessous, je l'ai reçu il y a quelques mois sur une adresse perso. Je le reconstitue de mémoire, en gardant les éléments qui comptent.

De : Amende Forfaitaire - ANTAI <[email protected]>
Objet : Dernier rappel avant majoration — dossier 2024-XXXX
Corps : « Vous avez été verbalisé pour excès de vitesse le [date]. Le paiement de 135 € doit être effectué sous 72 heures, sous peine de majoration à 375 €. Régularisez en ligne. »

Ce mail coche quatre cases :

1. Il imite une autorité qui fait peur — une amende, c'est crédible et désagréable.
2. L'expéditeur est un faux domaine, mais assez proche pour qu'on ne le voie pas au premier regard.
3. Le délai est court. 72 heures, c'est fait pour vous empêcher de vérifier.
4. Le montant est réaliste. 135 € correspond à une amende réelle — c'est justement ce qui rend le piège solide.

Ce qui m'a mis la puce à l'oreille, ce n'est rien de tout ça. C'est que je n'avais pas conduit cette semaine-là. Toujours vérifier l'événement avant de vérifier le mail. Si le fait déclencheur n'existe pas, le reste est un décor.

Comment reconnaître un faux mail ANTAI

Je m'y attarde parce que c'est la vague que je vois le plus passer. L'ANTAI — l'Agence nationale de traitement automatisé des infractions — ne vous écrit jamais depuis un domaine commercial, et ne vous met jamais une pression à 72 heures dans un mail non sollicité. Les avis de contravention arrivent par courrier, ou via un service que vous avez vous-même initié. Si vous doutez, ne cliquez pas : ouvrez votre navigateur et tapez l'adresse du site officiel à la main. Vous saurez immédiatement s'il y a un dossier à votre nom.

Bon, à ce stade, une question revient toujours : et si le domaine est correct, cette fois ?

« Le domaine est bon, donc c'est légitime » — l'erreur qui coûte cher

Ça, c'est le piège de niveau supérieur. De plus en plus de messages frauduleux passent par des domaines réellement compromis, ou par des services légitimes détournés. Un compte Gmail piraté, un formulaire de partage de fichiers connu, un vrai nom de marque mais un expéditeur qui n'a rien à voir.

Vérifier les en-têtes pour trancher

Quand le doute persiste, on regarde l'en-tête du message. Dans Gmail ou Outlook, l'option « Afficher l'original » ou « Afficher la source » vous donne le détail technique. Trois lignes comptent : SPF, DKIM et DMARC. Ce sont des mécanismes d'authentification d'envoi. S'ils sont en échec ou absents, l'expéditeur n'est pas celui qu'il prétend être, même si le nom affiché est correct.

Je ne vais pas vous mentir : lire un en-tête brut, c'est rébarbatif la première fois. Mais vous n'avez pas besoin de tout comprendre. Vous cherchez seulement si ces trois mécanismes passent ou échouent. Un échec sur les trois, sur un mail qui vous demande une action sensible, c'est une conclusion suffisante.

Et voici le cas le plus embarrassant : le faux positif. Un vrai mail de votre banque qui ressemble à un phishing parce qu'il utilise un domaine d'envoi marketing différent du site principal. Ça arrive. Le réflexe reste le même : on ne clique pas dans le mail, on passe par l'application ou on tape l'adresse soi-même. Résultat identique, zéro risque.

Comparer les vérifications : rapidité et fiabilité

Voici un tableau que je me suis fait pour moi, à force de trancher sur le pouce. Il compare les vérifications par ce qu'elles rapportent vraiment.

Vérification	Temps	Fiabilité	Limite
Domaine réel de l'expéditeur	2 s	Très élevée	Inefficace si le domaine est réellement piraté
Cohérence texte / lien survolé	3 s	Très élevée	Nécessite un survol ou un appui long
Ton et urgence du message	immédiat	Faible	Beaucoup de mails légitimes sont aussi alarmistes
Faute d'orthographe	1 s	Faible	Les bons phishing n'en font plus
En-têtes SPF / DKIM / DMARC	30 s	Très élevée	Technique, à réserver au doute persistant

Le message que je veux faire passer avec ce tableau : les deux vérifications les plus fiables sont aussi les plus rapides. À l'inverse, les signaux « classiques » qu'on lit partout — les fautes, le ton menaçant — sont les moins utiles, parce que les arnaqueurs les ont corrigés.

Que faire en cas de phishing, et comment savoir si vous êtes déjà tombé dedans

Deux situations, deux réponses. Et elles n'ont rien à voir.

Vous avez reçu un mail suspect

Ne cliquez pas. Ne répondez pas. Ne transférez pas à vos contacts pour demander leur avis — vous risqueriez de propager le lien. En revanche, signalez-le à votre service informatique s'il s'agit d'une adresse professionnelle, et à l'expéditeur prétendu si vous voulez confirmer.

Pour signaler officiellement en France, il existe une plateforme nationale dédiée à la lutte contre le phishing, où l'on transmet un mail frauduleux en quelques clics. Votre messagerie propose aussi, presque toujours, un bouton « Signaler comme phishing ». Ces signalements servent : ils alimentent les filtres qui protègent tout le monde. Phishing Initiative fonctionne sur ce principe — plus on signale, plus les blocages automatiques s'améliorent pour les autres.

Vous pensez avoir été victime

Le doute est souvent plus désagréable que le fait lui-même. Voici les vérifications que je conseille, dans l'ordre de priorité :

• Changez immédiatement le mot de passe du compte concerné, et partout où vous l'avez réutilisé. Un mot de passe unique par service, c'est la seule façon de limiter les dégâts.
• Activez la double authentification. Elle bloque la grande majorité des réutilisations d'identifiants volés, même si le mot de passe a fuité.
• Surveillez vos relevés bancaires pendant quelques semaines — un petit prélèvement peut précéder un plus gros.
• Prévenez votre banque si des coordonnées bancaires ont été saisies. Un changement de carte se fait vite.

Ce que vous ne faites pas : attendre de voir si « ça va passer ». Dans mon expérience, les personnes qui réagissent dans l'heure s'en sortent sans frais. Celles qui attendent deux jours courent après leur argent.

Faut-il se fier à une liste d'adresses mail frauduleuses ?

Non, pas pour décider. Une liste est toujours en retard : les arnaqueurs créent des domaines en série et les abandonnent après quelques jours. Ce qui reste utile, ce n'est pas la liste des adresses, mais la liste des motifs — domaine approximatif, mot du service public collé à un autre domaine, sous-domaine trompeur. Les motifs, eux, ne changent presque jamais.

Voilà où je veux en venir. Reconnaître un mail de phishing en quelques secondes n'est pas une question de vigilance, c'est une question d'ordre. Regardez le domaine avant de lire le message, et l'arnaque se révèle toute seule. Faites l'inverse — lisez d'abord, vérifiez ensuite — et vous serez déjà convaincu avant d'avoir cherché la preuve.

Le jour où un faux mail sera parfait, sans faute, sans urgence, avec un domaine crédible, ce ne sera plus vos yeux qui vous sauveront, mais une habitude : ne jamais cliquer, toujours retaper l'adresse soi-même. Cette habitude-là, personne ne peut la fabriquer à votre place.