Message d’hameçonnage : la checklist pour le reconnaître avant de cliquer

Un message d’hameçonnage cherche à vous faire réaliser une action sous pression : ouvrir une pièce jointe, saisir un mot de passe, communiquer un code ou effectuer un paiement. Il peut arriver par e-mail, SMS, messagerie instantanée ou réseau social, avec une présentation suffisamment crédible pour tromper une personne attentive.

La bonne réaction n’est pas de repérer une faute d’orthographe isolée, mais de vérifier plusieurs signaux avant toute action. Cette checklist vous aide à analyser un message suspect, à contrôler un lien et à réagir si vous avez déjà cliqué.

Commencez par suspendre l’action demandée

Un message frauduleux essaie souvent de réduire votre temps de réflexion. Il évoque un compte bientôt bloqué, une livraison en attente, une facture impayée ou une activité inhabituelle. Cette urgence peut pousser à cliquer avant de vérifier.

Lorsque le message vous demande une action inhabituelle, ne répondez pas et n’utilisez pas le lien fourni. Ouvrez plutôt le site ou l’application concernée depuis votre favori habituel, saisissez vous-même son adresse connue ou utilisez un autre canal officiel. Pour une demande de paiement ou de changement de coordonnées bancaires, contactez votre interlocuteur avec un numéro déjà enregistré, et non avec les coordonnées présentes dans le message.

Les six vérifications à effectuer sur un message suspect

1. L’expéditeur correspond-il réellement à l’organisation annoncée ?

Le nom affiché dans une boîte de réception peut être facilement imité. Il faut donc examiner l’adresse complète, et pas seulement le nom visible. Une adresse qui utilise un domaine voisin, une suite de caractères inhabituelle ou un service de messagerie sans rapport avec l’organisation mérite votre méfiance.

Attention toutefois : une adresse apparemment correcte ne suffit pas à prouver qu’un message est légitime. Un compte compromis peut envoyer de vrais messages depuis une boîte connue. L’identité de l’expéditeur doit être rapprochée du contexte, du contenu et du canal utilisé.

2. Le message crée-t-il une pression disproportionnée ?

La menace de perdre immédiatement l’accès à un compte, l’annonce d’un remboursement à réclamer ou la promesse d’un avantage exceptionnel sont des ressorts fréquents. La pression n’est pas une preuve de fraude, mais elle justifie une vérification indépendante.

Posez-vous une question simple : attendais-je réellement cette demande ? Si vous n’avez pas de compte auprès de l’organisation citée, si vous n’avez pas passé la commande évoquée ou si le sujet arrive sans contexte, ne poursuivez pas la procédure proposée.

3. Le lien mène-t-il vers le bon domaine ?

Sur ordinateur, placez le pointeur sur le lien sans cliquer afin d’afficher son adresse. Sur téléphone, une pression prolongée permet généralement de la prévisualiser, mais évitez d’ouvrir le lien si vous n’êtes pas certain de l’action produite par votre appareil.

Examinez le domaine principal, c’est-à-dire la partie située juste avant l’extension finale comme .fr ou .com. Les fraudeurs peuvent ajouter le nom d’une marque dans un sous-domaine ou utiliser une variante très proche. Une adresse qui commence par le nom d’une entreprise mais se termine par un domaine sans rapport n’est pas le site officiel annoncé.

La présence de HTTPS et d’un cadenas ne suffit pas à rendre une page fiable. Ces éléments indiquent principalement que la connexion est chiffrée ; ils ne prouvent pas que le site appartient à la bonne organisation.

4. Le message réclame-t-il une information sensible ?

Un mot de passe, un code reçu par SMS, une copie de pièce d’identité, des coordonnées bancaires ou une clé de récupération doivent être considérés comme des informations à haut risque. Un service sérieux ne devrait pas vous demander de communiquer un mot de passe ou un code d’authentification par retour de message.

Les demandes de validation sont également à surveiller. Un fraudeur peut vous demander d’approuver une notification de connexion ou de confirmer une opération que vous n’avez pas initiée. N’approuvez jamais une demande simplement parce qu’elle est arrivée sur votre téléphone.

5. Le contexte et le ton sont-ils cohérents ?

Comparez le message avec les échanges habituels : vocabulaire, signature, adresse d’envoi, facture attendue et canal utilisé. Un fournisseur qui échange normalement avec vous par une adresse professionnelle et vous réclame soudainement une action urgente depuis une messagerie générique doit être vérifié par un autre moyen.

Les fautes, la mise en page inhabituelle ou une formule de politesse incohérente peuvent constituer des indices, mais leur absence ne garantit rien. Les campagnes d’hameçonnage peuvent être bien rédigées et reprendre le logo ou la charte graphique d’une organisation.

6. La pièce jointe est-elle vraiment nécessaire ?

Une facture, un document partagé ou un formulaire inattendu peut contenir un fichier malveillant ou vous rediriger vers une fausse page de connexion. N’ouvrez pas une pièce jointe dont vous n’attendiez pas l’arrivée, même si son nom semble familier.

Un fichier compressé, un document qui demande d’activer des macros ou une pièce jointe qui vous invite à contourner une protection doivent être traités avec une prudence particulière. Demandez confirmation à l’expéditeur par un canal indépendant.

La grille de décision en moins d’une minute

Ce qu’il faut faire selon la situation

Vous avez reçu le message mais n’avez pas cliqué

Ne répondez pas au message et ne cliquez pas sur le lien de désinscription si celui-ci paraît suspect. Signalez-le avec les outils prévus par votre messagerie, puis supprimez-le. Dans un cadre professionnel, transmettez l’information au responsable ou au service chargé de la sécurité, sans renvoyer inutilement la pièce jointe à d’autres collègues.

Si le message usurpe une entreprise connue, vous pouvez utiliser le canal de signalement officiel de cette organisation. Évitez de chercher ce canal à partir du message lui-même.

Vous avez cliqué mais n’avez fourni aucune information

Fermez la page et ne téléchargez rien. Si un fichier a été enregistré, ne l’ouvrez pas et demandez une vérification à votre support informatique ou à votre solution de sécurité. Vérifiez ensuite l’historique de connexion du compte concerné depuis son application officielle.

Le risque dépend de ce qui s’est passé après le clic : une page simplement consultée, un téléchargement, une installation ou une saisie d’identifiants ne présentent pas exactement les mêmes conséquences. Notez l’heure, l’appareil utilisé et les actions réalisées pour faciliter le diagnostic.

Vous avez saisi un mot de passe ou un code

Depuis un appareil de confiance, changez immédiatement le mot de passe du compte concerné. S’il était réutilisé ailleurs, remplacez-le également sur les autres services. Activez l’authentification multifacteur lorsque le service la propose et consultez les sessions ou appareils connectés pour fermer ceux que vous ne reconnaissez pas.

Si vous avez communiqué un code de validation, contrôlez les opérations récentes et les alertes de sécurité. Une entreprise peut aussi devoir prévenir son prestataire informatique, sa banque ou ses utilisateurs selon la nature de l’incident.

Vous avez transmis des informations bancaires ou effectué un paiement

Contactez rapidement votre banque en utilisant ses coordonnées officielles. Expliquez précisément ce qui a été communiqué ou payé et suivez les instructions données. Conservez le message, les captures d’écran, les références de transaction et les horaires utiles au traitement du dossier.

Les erreurs qui rendent l’hameçonnage plus efficace

• Se fier uniquement au logo, à la mise en page ou au nom affiché de l’expéditeur.
• Cliquer sur un lien pour vérifier s’il est frauduleux au lieu d’ouvrir le service par son adresse habituelle.
• Répondre au message pour demander s’il est authentique.
• Communiquer un code reçu par SMS parce que l’interlocuteur connaît déjà votre nom ou votre adresse.
• Transférer un message suspect à toute une équipe sans avertissement, ce qui augmente le risque d’un clic.
• Supprimer les preuves avant d’avoir signalé l’incident ou contacté le support compétent.

La prévention repose aussi sur des habitudes simples : utiliser des mots de passe uniques, maintenir les appareils à jour, limiter les droits administrateur et activer l’authentification multifacteur sur les comptes importants. Ces mesures ne remplacent pas la vigilance, mais elles réduisent l’impact d’une erreur ponctuelle.

Face à un message inhabituel, retenez cette séquence : stopper, vérifier par un canal indépendant, puis signaler. Si une information sensible a été communiquée, la rapidité de réaction compte davantage que la recherche d’une certitude parfaite sur l’origine du message.