Le mail arrive un mardi matin, 7 h 42. Objet : « Votre colis est bloqué en douane ». Je n'attends aucun colis. Je clique quand même. Pas parce que je suis naïf — parce que le message est propre, l'expéditeur affiche « Mondial Relay », et le logo est le bon. Il m'a fallu huit secondes pour comprendre que j'avais affaire à du phishing, et huit secondes, c'est déjà trop.
Je gère des sites et des boîtes mail clients depuis assez longtemps pour avoir vu passer des centaines de tentatives. Et pourtant, chaque année, les attaques deviennent plus difficiles à repérer à l'œil nu. Les fautes d'orthographe grossières, les « Cher client » maladroits, c'est terminé. Le phishing moderne se cache derrière des services que vous utilisez tous les jours — Google Forms, Dropbox, Notion — et il franchise sans problème les filtres anti-spam.
Voici ce que j'ai appris en me faisant avoir, en analysant des en-têtes email à 23 h pour un client paniqué, et en ratant des choses évidentes que je croyais maîtriser.
Points clés à retenir
- Un expéditeur qui affiche un nom connu ne signifie rien : le champ « De » se falsifie en trois lignes de code.
- HTTPS n'est pas un gage de légitimité. Il indique que la connexion est chiffrée, pas que le site est honnête.
- Les pièces jointes HTML et les QR codes contournent souvent les passerelles email, car elles ne contiennent aucun lien cliquable à analyser.
- Le smishing (SMS) et le vishing (appel) précèdent ou suivent souvent un email de phishing — l'arnaque se joue en plusieurs actes.
- Le bon réflexe n'est pas de « regarder attentivement », c'est de ne jamais cliquer et de vérifier par un autre canal.
Les 4 signes qui trahissent un email de phishing
On me pose souvent la question, et c'est une bonne question, parce que la liste des « indices » qu'on trouve partout est devenue largement obsolète. Un mail peut réunir zéro faute, un logo parfait, un ton impeccable — et être une arnaque. Les quatre signes ci-dessous restent, en revanche, étonnamment fiables. Je les vérifie dans cet ordre.
1. L'adresse de l'expéditeur, pas le nom affiché
Le nom affiché (« Service client », « PayPal », « votre banque ») est du texte libre. N'importe qui peut y écrire ce qu'il veut. Ce qui compte, c'est l'adresse réelle, celle entre crochets ou derrière le nom. Regardez le domaine, pas le préfixe. Un mail de votre banque ne viendra jamais de banque-securite@gmail.com, ni de securite@bnp-paribas-info.net. Méfiance particulière sur les sous-domaines trompeurs : login.votrebanque.evil-site.com n'a rien à voir avec votre banque — le vrai domaine est evil-site.com, ce qui suit le premier slash.
J'ai vu des clients se faire piéger par des adresses où seul un caractère changeait : un « l » remplacé par un « I » majuscule. En police serif, la différence est invisible. Recopiez toujours l'adresse à la main si un doute subsiste.
2. L'urgence ou la menace dans le message
« Sous 24 heures, votre compte sera suspendu. » « Sans action de votre part, une amende de 148 € sera prélevée. » Cette pression temporelle est l'outil le plus efficace du phishing, parce qu'elle court-circuite la partie du cerveau qui réfléchit. L'idée est simple : vous faire agir avant de vérifier.
Un service légitime ne vous menace pas pour obtenir vos identifiants. Votre banque ne vous envoie pas un message alarmant à 3 h du matin pour vous demander de « confirmer » votre mot de passe. Si le message crée un sentiment d'urgence artificiel, considérez-le comme suspect jusqu'à preuve du contraire — et la preuve, vous irez la chercher ailleurs qu'en cliquant sur le lien.
3. Le lien dont l'URL ne correspond pas au texte affiché
Sur mobile, vous ne voyez pas l'URL. Sur ordinateur, survolez sans cliquer : en bas du navigateur s'affiche la vraie destination. Si le texte dit « https://www.votre-banque.fr » et que le survol montre « https://votre-banque.securite-verif.xyz », vous savez à quoi vous avez affaire. Le texte du lien est purement décoratif. Seule l'URL réelle compte.
Un piège que je vois de plus en plus : les liens raccourcis (bit.ly, tinyurl). Ils peuvent pointer vers n'importe quoi. En cas de doute, collez le lien dans un service qui le déplie, ou tapez directement l'adresse officielle dans votre navigateur.
4. La formulation générique et impersonnelle
« Cher client », « Bonjour Monsieur/Madame », « Nous avons détecté une activité inhabituelle sur votre compte » : ces formules vagues ne nomment ni votre prénom, ni votre numéro de contrat, ni la dernière transaction que vous avez effectuée. Votre vrai fournisseur d'accès ou votre vrai opérateur a ces informations. Une formule impersonnelle n'est pas une preuve à elle seule — beaucoup de services légitimes écrivent « Bonjour » — mais combinée aux trois autres signes, elle enfonce le clou.
Le problème ? Ce signe devient de moins en moins fiable. Les attaquants achètent des bases de données volées où votre prénom figure à côté de votre adresse email. Le mail personnalisé n'est plus un gage de sérieux. Il faut donc regarder l'écosystème complet du message, pas signe par signe.
Les techniques qui passent sous les radars en 2026
Le phishing de 2018 était grossier. Celui d'aujourd'hui est chirurgical. Et trois méthodes en particulier déjouent les protections classiques — je les ai rencontrées plusieurs fois chez des clients, et j'admets que la première m'a pris de court.
Le quishing : quand le QR code remplace le lien
Un mail avec une pièce jointe image — un QR code — et un texte du type : « Scannez pour valider votre paiement. » Aucun lien cliquable. Votre passerelle email n'a rien à analyser : pas d'URL suspecte, pas de fichier exécutable, juste une image. Le lien malveillant vit dans le QR code, que seul votre téléphone lira. Ce qui contourne deux protections d'un coup : le filtre de la messagerie, et le contrôle de sécurité de votre ordinateur.
La règle est simple : ne scannez jamais un QR code reçu par email ou courrier non sollicité. Si un service veut que vous scanniez un code, allez sur son application officielle. Elle vous demandera ce qu'elle doit vous demander, sans QR code intermédiaire.
Les pièces jointes HTML qui ressemblent à des pages web
Vous recevez un fichier « facture.html ». Vous l'ouvrez : une page s'affiche, avec un formulaire de connexion. Vous croyez être sur un site. Vous êtes sur un fichier local, qui envoie vos identifiants ailleurs. La pièce jointe HTML ne contient pas d'URL malveillante visible côté serveur, donc de nombreux filtres la laissent passer. J'ai mis deux heures un soir à comprendre pourquoi un mail de ce type avait atterri en boîte de réception chez un client alors que sa protection était correcte.
Le détournement de services légitimes
Google Forms, Dropbox, Notion, SharePoint, WeTransfer : ces plateformes ont une excellente réputation d'expédition. Les attaquants le savent. Ils y créent un formulaire ou un fichier partagé, puis envoient le lien depuis le service lui-même. Votre filtre ne voit rien d'anormal — le domaine expéditeur est légitime, le certificat est valide. Le piège est dans le contenu hébergé, pas dans l'enveloppe.
Un mail « votre colis » envoyé depuis un formulaire Google, avec un lien google.com, ça passe. J'ai vu la technique utilisée pour de faux remboursements d'impôts en début d'année. La victime clique, arrive sur un formulaire propre, y saisit son numéro de carte. Fini.
| Type d'attaque | Canal | Ce qui trompe | Réflexe à avoir |
|---|---|---|---|
| Phishing email classique | Nom expéditeur, logo, urgence | Vérifier l'URL réelle, ne pas cliquer | |
| Quishing | Email + QR code | Absence de lien analysable | Ne jamais scanner un QR non sollicité |
| Pièce jointe HTML | Formulaire local ressemblant à un site | Ne pas ouvrir les .html reçus | |
| Détournement de service légitime | Google Forms, Dropbox… | Domaine expéditeur de confiance | Lire le contenu, pas l'expéditeur |
| Smishing / vishing | SMS ou téléphone | Numéro usurpé, faux conseiller | Raccrocher, rappeler le numéro officiel |
Smishing et vishing : l'arnaque qui se joue en deux actes
Le schéma classique du faux conseiller bancaire commence presque toujours par un email ou un SMS. Vous recevez un message « votre compte a été débité de 1 200 €, si ce n'est pas vous, appelez ce numéro ». Vous appelez — évidemment paniqué. Un « conseiller » décroche, professionnel, rassurant, et vous demande de « sécuriser votre compte » en lui communiquant des codes reçus par SMS.
Le vrai conseiller bancaire ne vous demandera jamais un code OTP par téléphone. Jamais. Cette phrase-là, si vous ne retenez qu'une seule chose de cet article, retenez celle-ci. Un code reçu par SMS, c'est votre clé. Vous ne la donnez à personne, pas même à quelqu'un qui prétend vous aider à bloquer une fraude — surtout pas dans ce cas, d'ailleurs.
L'usurpation de numéro de téléphone est d'une facilité déconcertante. Le numéro qui s'affiche peut être celui de votre banque, celui de votre opérateur, celui du service des impôts. La confiance automatique qu'on accorde au numéro affiché est exactement ce que les escrocs exploitent. Raccrochez, prenez votre carte bancaire, appelez le numéro au dos. Vous perdrez trois minutes. Vous ne perdrez pas 4 000 €.
Que faire si vous avez cliqué (et pourquoi il ne faut pas paniquer)
Cliquer n'est pas la fin du monde. Saisir quelque chose après avoir cliqué, c'est là que ça devient grave. La distinction est essentielle, parce qu'elle détermine votre réaction.
- Vous avez cliqué mais rien saisi : fermez l'onglet, videz le cache du navigateur si un formulaire s'est affiché, passez à autre chose.
- Vous avez saisi vos identifiants : changez immédiatement le mot de passe concerné, et celui de tout service où vous utilisez le même (ce que vous ne devriez jamais faire, mais je sais comment ça se passe dans la vraie vie).
- Vous avez communiqué un numéro de carte : appelez votre banque pour faire opposition. C'est gratuit et immédiat.
- Vous avez partagé un code OTP : appelez votre banque immédiatement. Les transactions frauduleuses par OTP partagé se déroulent en quelques minutes.
- Vous avez ouvert une pièce jointe : lancez une analyse antivirus complète, et surveillez vos comptes pendant quelques jours.
Une chose que je fais systématiquement après un incident : signaler le mail. Sur les adresses dédiées des autorités (signal-spam.fr pour l'email, 33700 pour le SMS), en quelques clics. Ça ne vous sauvera pas, mais ça alimente les bases de données qui protègent les suivants. J'ai vu un retournement de situation cocasse une fois : un client a signalé, deux semaines plus tard, un mail identique — le signalement avait permis le blocage avant même qu'il n'arrive.
Se protéger durablement : au-delà des réflexes ponctuels
Les bons réflexes, c'est bien. Les bons outils, c'est mieux. Trois mesures concrètes changent vraiment la donne, et aucune ne demande de compétences techniques.
L'authentification multifacteur, mais pas n'importe laquelle
Le SMS comme second facteur, c'est mieux que rien. Ce n'est pas suffisant en 2026, parce que les techniques de détournement de carte SIM existent et fonctionnent. Préférez une application d'authentification (Authy, Google Authenticator, 1Password) ou, mieux, une clé physique type YubiKey. Le surcoût pour une clé de base est dérisoire face au coût d'un compte piraté. J'en ai une sur chaque trousseau depuis qu'un client a perdu l'accès à sa messagerie professionnelle pendant trois jours.
Un gestionnaire de mots de passe, sans exception
La vraie raison pour laquelle les gens réutilisent leurs mots de passe, c'est qu'ils en ont trente à retenir. Un gestionnaire règle ce problème d'un coup. Il remplit automatiquement les champs, ce qui a un effet secondaire précieux : il refuse de remplir un formulaire dont le domaine ne correspond pas. C'est une alerte gratuite que beaucoup ignorent parce qu'ils n'ont jamais installé le gestionnaire.
Vérifier en tapant soi-même l'adresse officielle
Le réflexe ultime, celui qui sauve dans 98 % des cas : ne jamais utiliser le lien du mail. Tapez l'adresse dans votre navigateur, ou passez par l'application officielle du service. Si le message est authentique, l'information sera là. Si elle n'y est pas, c'était une arnaque. Le coût de cette vérification : trente secondes. Le coût de ne pas la faire : parfois plusieurs milliers d'euros et des semaines de démarches.
J'ai fini par installer une règle simple chez moi : tout mail qui demande une action (paiement, connexion, mise à jour d'info) est traité comme suspect par défaut. Ça paraît extrême. En pratique, je perds peut-être deux minutes par semaine à vérifier des messages légitimes. Et je n'ai plus cliqué sur un phishing depuis ma mésaventure du colis bloqué en douane.
Car le vrai problème n'est pas de reconnaître un mail d'arnaque. C'est de croire qu'on y arrive toujours. La personne la plus vulnérable au phishing, c'est celle qui pense ne jamais tomber dedans — et vous en connaissez probablement une. Peut-être que ce n'est pas vous. Peut-être que si.
